Cómo revisar la seguridad de Microsoft 365: 6 controles en una hora

La seguridad de Microsoft 365 se puede revisar en una hora sin ayuda externa: seis controles en los centros de administración de Microsoft Entra, Exchange, SharePoint y Purview muestran si los inicios de sesión están protegidos, quién tiene todos los permisos, si se escapa el correo y si quedará rastro cuando algo pase. Cada control tiene un resultado bueno y uno malo claros, así que enseguida ves qué arreglar primero.

Los puede hacer un administrador de IT, o el dueño junto a él. Para mirar suele bastar el rol Global Reader (lo ve todo, no cambia nada). Los nombres de los menús siguen la documentación de Microsoft a octubre de 2026. Microsoft cambia nombres a menudo, así que si una ruta es algo distinta, escribe el nombre de la sección en el buscador del centro de administración.

En resumen

• MFA (un segundo paso al iniciar sesión: un código o una confirmación en el móvil) debe cubrir a todos, también a los administradores y a las cuentas de emergencia.
• Los protocolos de inicio de sesión antiguos no admiten MFA y dejan entrar solo con la contraseña, por eso se bloquean.
• Global Administrator (todos los permisos sobre Microsoft 365) lo tienen menos de cinco cuentas, y conoces al titular de cada una.
• El reenvío automático de correo a direcciones externas está desactivado, y alguien puede explicar cada reenvío que exista.
• Los archivos no circulan con enlaces «para cualquiera» sin caducidad.
• El registro de auditoría está activado. En los planes Business hay que comprobarlo aparte: ahí viene desactivado.

Los seis controles de un vistazo

1. MFA para todos, también administradores y cuentas de emergencia

Dónde mirar. El centro de administración de Microsoft Entra (entra.microsoft.com): Entra ID > Authentication methods > Activity, pestaña Registration y luego User registration details. Filtra la columna MFA Capable por Not capable.

Después comprueba que la MFA de verdad se exige y no solo está configurada para algunos. Una opción: Entra ID > Overview > Properties > Manage security defaults, la protección básica de Microsoft que exige MFA y bloquea los protocolos antiguos. ^[1] La otra: Entra ID > Conditional Access > Policies (reglas de acceso condicional) con una directiva activa que exija MFA a todos los usuarios y en todas las aplicaciones.

Buen resultado. No hay ninguna persona activa en la lista Not capable. Existen dos cuentas de emergencia (break glass: una forma de entrar cuando los demás administradores no pueden). Microsoft recomienda protegerlas con una llave FIDO2 o un certificado, separadas de los administradores habituales, y probar el acceso con ellas al menos cada 90 días. ^[2] Microsoft ya exige MFA para entrar en sus centros de administración, así que una cuenta de emergencia sin MFA puede fallar justo cuando la necesitas. ^[3]

Qué significa un mal resultado. Una cuenta sin MFA se abre solo con la contraseña, y las contraseñas se filtran por phishing y por bases de datos robadas a otros. Si un administrador no tiene MFA, todo el tenant está en riesgo, es decir, tu instancia de Microsoft 365 con todo el correo y los archivos.

2. Protocolos de inicio de sesión antiguos bloqueados

Los protocolos antiguos (legacy authentication) son formas de iniciar sesión que no admiten MFA: IMAP, POP, SMTP AUTH, programas de correo viejos. Con ellos la contraseña funciona aunque la MFA esté activada.

Dónde mirar. Entra ID > Monitoring & health > Sign-in logs. Añade la columna Client App, luego un filtro Client App con todos los protocolos antiguos, y mira los inicios correctos. ^[4] Después comprueba que hay bloqueo: o Security defaults, o una directiva de Conditional Access con la condición Client apps (Exchange ActiveSync clients y Other clients) y el control Block access.

Buen resultado. El bloqueo se aplica a todos los usuarios, y el registro no muestra inicios correctos con protocolos antiguos en las últimas semanas.

Qué significa un mal resultado. Los inicios correctos por IMAP o SMTP indican que alguien entra solo con la contraseña. Si es un escáner o un programa que envía facturas, busca para él un método de acceso moderno. Si nadie reconoce esos inicios, cambia la contraseña y revisa el buzón. Muchos intentos fallidos desde distintos países suelen indicar que intentan adivinar contraseñas.

3. Cuántos administradores y quién tiene Global Admin

Dónde mirar. Entra ID > Roles & admins, el rol Global Administrator y su lista de asignaciones. Lo mismo se ve en el centro de administración de Microsoft 365 (admin.microsoft.com): Roles > Role assignments.

Buen resultado. Microsoft recomienda tener menos de cinco Global Administrator. ^[5] Para una empresa pequeña, un esquema razonable son dos administradores nominales y dos cuentas de emergencia. Cada cuenta tiene MFA y su titular sigue trabajando contigo. El trabajo diario se hace con roles más limitados: User Administrator, Exchange Administrator, Billing Administrator.

Qué significa un mal resultado. Global Administrator en manos de un exempleado, de un proveedor, de una cuenta compartida como office@ o de un director «por si acaso». Cada una de esas cuentas es una llave de todo: correo, archivos y ajustes de seguridad. Cuantas más llaves, más probable es que roben una.

4. Reenvío de correo a direcciones externas

Tras entrar en un buzón, un atacante puede crear una regla que reenvía en silencio copias del correo a una dirección externa. La contraseña ya se cambió, pero el correo sigue saliendo. Microsoft llama a este reenvío riesgo de fuga de datos sin rodeos. ^[6]

Dónde mirar. El portal de Microsoft Defender (security.microsoft.com): Email & collaboration > Policies & rules > Threat policies > Anti-spam, la directiva Anti-spam outbound policy, el ajuste Automatic forwarding rules. Después, en el nuevo centro de administración de Exchange (admin.exchange.microsoft.com), abre el informe Auto forwarded messages en Reports > Mail flow: muestra quién reenvía correo y adónde.

Buen resultado. El ajuste está en Off, o en Automatic (System-controlled), que desde 2021 también significa desactivado. ^[6] Las excepciones necesarias están en una directiva aparte para personas concretas. El informe está vacío, o alguien puede explicar cada reenvío.

Qué significa un mal resultado. El reenvío está activado para todos, o el informe muestra direcciones personales que nadie configuró a propósito. Trata ese buzón como comprometido hasta que se demuestre lo contrario: cambia la contraseña, cierra las sesiones, borra la regla y revisa qué se envió desde él.

Hay otra vía al correo sin contraseña: aplicaciones de terceros con permiso para leer los mensajes. Esas aplicaciones, junto con los accesos y los procesos, las revisamos en un Security Assessment.

5. Archivos compartidos fuera en SharePoint y OneDrive

Dónde mirar. El centro de administración de SharePoint: Policies > Sharing. Ahí están los niveles de uso compartido externo para SharePoint y OneDrive: Anyone (el enlace funciona sin iniciar sesión), New and existing guests, Existing guests, Only people in your organization. ^[7] En la misma página se fija el tipo de enlace por defecto y la caducidad de los enlaces Anyone.

Buen resultado. Anyone está desactivado, o se permite solo para ver y con una caducidad corta. El enlace por defecto es Specific people, es decir, acceso solo para personas concretas. Los invitados entran por invitación, y alguien revisa la lista.

Qué significa un mal resultado. Enlaces Anyone sin caducidad y con permiso de edición, «cualquiera» como enlace por defecto. Ese archivo lo abre quien reciba el enlace reenviado, y no sabrás quién. Así acaban a la vista contratos, nóminas y copias de pasaportes.

6. Registros: auditoría activa y alguien revisa los inicios

El registro de auditoría (lo que hicieron usuarios y administradores). El portal de Microsoft Purview (purview.microsoft.com): la tarjeta Audit en Solutions. Si la auditoría está desactivada, arriba aparece un aviso que ofrece empezar a registrar la actividad. La comprobación exacta en Exchange Online PowerShell: Get-AdminAuditLogConfig | Format-List UnifiedAuditLogIngestionEnabled, que debe dar True. ^[8] Importante: en Business Basic, Business Standard y Business Premium la auditoría no viene activada. Una vez activa, los registros se guardan 180 días.

El registro de inicios de sesión. Entra ID > Monitoring & health > Sign-in logs, columna Location. Busca viajes imposibles: un inicio desde Kyiv y, media hora después, otro desde otro continente. Entra ID Protection los detecta solo, pero únicamente con licencia Entra ID P2 o con Defender for Cloud Apps. ^[9] En planes más sencillos, míralo tú. Los inicios de sesión se guardan 7 días en Entra ID gratuito y 30 días en P1 y P2, así que conviene revisarlos cada semana. ^[10]

Buen resultado. La auditoría está activa. Una vez por semana alguien revisa los inicios de los administradores, los intentos fallidos y los accesos desde países poco habituales.

Qué significa un mal resultado. Sin auditoría, tras un incidente nadie podrá decir qué se leyó ni qué se llevaron. Un inicio correcto desde un país donde no tienes a nadie, sobre todo si después cambiaron las reglas del correo, es motivo para cambiar la contraseña y cerrar todas las sesiones de inmediato.

Qué arreglar primero

1. Administradores sin MFA: el camino más corto a todo el tenant.
2. Reenvíos desconocidos: puede que la fuga ya esté en marcha.
3. Auditoría desactivada: se activa en minutos y empieza a registrar enseguida.
4. Protocolos antiguos: primero averigua quién los usa, luego bloquea.
5. Enlaces Anyone y administradores de sobra: limpia poco a poco, avisando antes a la gente.

Estos seis controles no cubren dispositivos, copias de seguridad, aplicaciones de terceros ni cómo se conceden los accesos. Eso lo vemos en un Security Assessment. La web, el área de clientes o la API que funcionan junto a Microsoft 365 se revisan con un pentest.

Checklist de una hora

• Todos los usuarios activos tienen MFA, también los administradores.
• Hay dos cuentas de emergencia con llave FIDO2 o certificado, y el acceso con ellas está probado.
• Los protocolos de inicio de sesión antiguos están bloqueados, sin inicios correctos por ellos en el registro.
• Menos de cinco Global Administrator, todas las cuentas nominales y conocidas.
• El reenvío automático a direcciones externas está desactivado, el informe de reenvíos está vacío o explicado.
• Los enlaces Anyone están desactivados o tienen caducidad y solo lectura.
• El registro de auditoría está activo, UnifiedAuditLogIngestionEnabled es True.
• Alguien revisa el registro de inicios de sesión cada semana.

Descargar la lista de preparación (PDF)PDF · A4

Preguntas frecuentes

¿Cuánto tardan estos controles?

Para una empresa de hasta unas decenas de personas, alrededor de una hora si el administrador conoce los centros de administración. Las correcciones llevan más: cada cambio conviene acordarlo antes y probarlo con unas pocas personas.

¿Qué permisos hacen falta?

El rol Global Reader muestra casi todos los ajustes sin permiso para cambiar nada. El comando de PowerShell sobre el estado de la auditoría puede necesitar un rol adicional en Exchange Online.

¿Bloquear los protocolos antiguos romperá algo?

Puede parar escáneres, impresoras o programas viejos que envían correo por SMTP. Por eso, primero mira el registro de inicios de sesión, averigua quién los usa y aplica la directiva de Conditional Access en modo Report-only (solo informe) durante una semana.

¿Y si encontramos un reenvío que nadie configuró?

Trata el buzón como comprometido: cambia la contraseña, cierra todas las sesiones, borra la regla, revisa los métodos de MFA (el atacante pudo añadir su propio teléfono) y el registro de auditoría de ese buzón. Si por él pudieron salir facturas o datos bancarios, avisa a contabilidad y a tus socios.

¿Esto sustituye a una evaluación de seguridad?

No, es una autocomprobación básica de la configuración. Un Security Assessment mira más amplio: accesos, aplicaciones de terceros, dispositivos, procesos. Tus propias webs y aplicaciones se revisan con un pentest.

Referencias

1. Microsoft Learn: Configure Security Defaults for Microsoft Entra ID learn.microsoft.com
2. Microsoft Learn: Manage emergency access admin accounts learn.microsoft.com
3. Microsoft Learn: Plan for mandatory Microsoft Entra multifactor authentication learn.microsoft.com
4. Microsoft Learn: Block legacy authentication with Conditional Access learn.microsoft.com
5. Microsoft Learn: Best practices for Microsoft Entra roles learn.microsoft.com
6. Microsoft Learn: Control external email forwarding learn.microsoft.com
7. Microsoft Learn: Manage sharing settings for SharePoint and OneDrive learn.microsoft.com
8. Microsoft Learn: Turn auditing on or off learn.microsoft.com
9. Microsoft Learn: What are risk detections? (Microsoft Entra ID Protection) learn.microsoft.com
10. Microsoft Learn: Microsoft Entra data retention learn.microsoft.com