El hardening avanzado de Microsoft 365 añade al baseline de seguridad controles contra el robo de tokens, el abuso de accesos privilegiados, los ataques de consentimiento OAuth, el uso de protocolos heredados y la fuga de datos. Estos controles se alinean con el nivel 2 del CIS Microsoft 365 Foundations Benchmark y con las guías CCN-STIC del Centro Criptológico Nacional.
La mayoría de las organizaciones ya han desplegado MFA, algunas políticas de acceso condicional y la protección de correo por defecto. Esa base es imprescindible, pero los atacantes se han adaptado a ella.
Muchas de las intrusiones más graves comienzan hoy después de que el usuario complete la MFA. El atacante roba el token de sesión, consigue que el usuario autorice una aplicación maliciosa o aprovecha un protocolo que nadie recordaba que seguía activo.
Cerrar esas vías exige un enfoque distinto: un bastionado basado en amenazas reales, que vaya más allá del baseline.
Un baseline de seguridad establece la configuración mínima obligatoria de Microsoft 365 y el modelo operativo para mantenerla. Se corresponde, en líneas generales, con el nivel 1 del CIS Microsoft 365 Foundations Benchmark: controles prácticos y de bajo impacto para la mayoría de las organizaciones.
El hardening avanzado va más allá y se alinea con el nivel 2, que añade defensa en profundidad para entornos con mayores exigencias. Estos controles pueden limitar alguna funcionalidad, pero cierran vías de ataque que el nivel 1 deja abiertas.
Las diferencias principales son:
Si su organización todavía no ha definido un baseline, conviene empezar por ahí. El hardening se construye sobre él, no lo sustituye.
Su organización no necesita diseñar el bastionado desde cero. Existen cinco referencias principales, cada una con un papel distinto:
| Marco | Alcance | Herramienta de evaluación | Coste | Para quién |
|---|---|---|---|---|
| CIS Microsoft 365 Foundations Benchmark v7.0.0 | Entra, Exchange, SharePoint, OneDrive, Teams, Defender, Purview e Intune, con niveles 1 y 2 | CIS-CAT Pro y herramientas de la comunidad | PDF gratuito; automatización con CIS SecureSuite | Organizaciones que buscan una referencia internacional auditable |
| Guías CCN-STIC serie 884/885 | Office 365, SharePoint Online, Exchange Online, Teams, Defender, Intune y Azure | Cuadros resumen de configuración de cada guía | Gratuitas | Sector público y proveedores sujetos al ENS |
| Microsoft Baseline Security Mode | Aplicaciones de Office, SharePoint, Exchange Online, Teams y Entra ID | Panel nativo en el centro de administración de Microsoft 365 | Incluido | Punto de partida nativo y de bajo impacto |
| CISA SCuBA | Entra ID, Exchange Online, Defender, SharePoint, OneDrive, Teams, Power Platform y Power BI | ScubaGear (código abierto) | Gratuito | Validación independiente sin coste |
| Microsoft Zero Trust Assessment | Pilares de identidad, dispositivos, datos y red | Módulo de PowerShell de solo lectura | Gratuito | Evaluación de madurez Zero Trust |
La guía CCN-STIC 885A, cuya edición vigente es de mayo de 2024, es la referencia general para Office 365 en el contexto del ENS. Debe consultarse junto con las guías específicas de cada servicio: 885B (SharePoint Online), 885C (Exchange Online) y 885D (Microsoft Teams).
La recomendación práctica es usar Microsoft Baseline Security Mode como suelo mínimo, el CIS como estándar técnico y las guías CCN-STIC cuando la organización esté sujeta al ENS. Las demás herramientas sirven como validación independiente.
Estas técnicas eluden o sortean de forma habitual la MFA estándar.
Tras el inicio de sesión, Microsoft Entra ID emite tokens de sesión y de actualización. Un atacante que los roba, mediante malware o desde un dispositivo comprometido, puede reutilizarlos y acceder a la cuenta sin volver a pasar por la MFA.
Los kits de phishing AiTM se interponen entre el usuario y la página real de inicio de sesión de Microsoft. El usuario introduce sus credenciales y completa la MFA con normalidad, mientras el proxy captura la cookie de sesión. Las notificaciones push, los SMS y los códigos de un solo uso son vulnerables a esta técnica.
Con una contraseña válida, el atacante envía solicitudes de MFA repetidas hasta que el usuario aprueba una. La coincidencia de números de Microsoft Authenticator reduce este riesgo, pero no elimina la ingeniería social.
En lugar de robar credenciales, el atacante convence al usuario de que autorice una aplicación maliciosa con acceso a su correo o sus archivos. La aplicación conserva ese acceso aunque el usuario cambie su contraseña.
Una vez dentro de un buzón, el atacante crea reglas de reenvío, suplanta a directivos y desvía pagos. Una configuración débil de SPF, DKIM y DMARC facilita además la suplantación desde el exterior.
Tras comprometer una cuenta, el atacante busca roles privilegiados permanentes, aplicaciones con permisos excesivos o entidades de servicio con permisos amplios en Microsoft Graph que le permitan extender su control sobre el tenant.
La identidad es el punto de entrada de la mayoría de las intrusiones en Microsoft 365, y por eso es donde el hardening ofrece mayor retorno.
Qué es: métodos de autenticación que un proxy de phishing no puede retransmitir, como las llaves de seguridad FIDO2, las claves de acceso (passkeys, incluidas las de Microsoft Authenticator) y Windows Hello para empresas.
Ataque que mitiga: phishing AiTM y fatiga de MFA.
Dónde se configura: seguridad de autenticación (authentication strengths) en las políticas de acceso condicional.
Licencia: Microsoft Entra ID P1.
Impacto en los usuarios: moderado. Requiere campañas de registro, así que conviene empezar por administradores y usuarios de alto riesgo.
Qué es: un control de sesión del acceso condicional que vincula los tokens al dispositivo para el que se emitieron. Un token robado no puede usarse desde otro equipo. El CIS Benchmark v7.0.0 la incluye para Exchange Online, SharePoint Online y Teams.
Ataque que mitiga: robo y reutilización de tokens.
Dónde se configura: controles de sesión del acceso condicional.
Licencia: Microsoft Entra ID P1.
Impacto en los usuarios: bajo en clientes compatibles. Despliéguela primero en modo solo informe, porque bloquea los clientes no compatibles.
Qué es: revocación del acceso casi en tiempo real ante eventos críticos, como la desactivación de la cuenta, el cambio de contraseña o la detección de riesgo.
Ataque que mitiga: uso continuado de sesiones comprometidas.
Licencia: Microsoft Entra ID P1.
Impacto en los usuarios: mínimo.
Qué es: condiciones del acceso condicional que bloquean el flujo de código de dispositivo y la transferencia de autenticación entre dispositivos, salvo en los casos expresamente necesarios.
Ataque que mitiga: phishing mediante código de dispositivo, una técnica cada vez más usada para obtener tokens sin robar contraseñas.
Licencia: Microsoft Entra ID P1.
Impacto en los usuarios: bajo. Excluya solo escenarios documentados, como determinados dispositivos de salas de reuniones.
Qué es: políticas de acceso condicional que responden a las señales de riesgo de usuario y de inicio de sesión de Microsoft Entra ID Protection, exigiendo un cambio de contraseña o bloqueando el acceso.
Ataque que mitiga: credenciales comprometidas detectadas por comportamiento anómalo.
Licencia: Microsoft Entra ID P2, incluido en Microsoft 365 E5.
Impacto en los usuarios: bajo si los umbrales de riesgo están bien ajustados.
Para desplegar estos controles sin interrumpir la operativa, consulte nuestra guía sobre cómo diseñar políticas de acceso condicional sin afectar al negocio.
Asignar roles de administrador no equivale a proteger el acceso privilegiado.
Qué es: Privileged Identity Management (PIM) convierte los roles de administrador en roles elegibles en lugar de permanentes. Los usuarios los activan durante un tiempo limitado, con justificación, MFA y, para los roles más sensibles, aprobación previa.
Ataque que mitiga: escalada de privilegios y uso indebido del acceso administrativo permanente.
Licencia: Microsoft Entra ID P2.
Impacto en los usuarios: bajo para los administradores, una vez que la activación se vuelve rutinaria.
Limite las asignaciones permanentes de Administrador global a las cuentas de emergencia supervisadas. El resto de administradores debe recibir el rol de mínimo privilegio que requieran sus tareas, mediante control de acceso basado en roles (RBAC). Revise las asignaciones cada trimestre.
Las cuentas administrativas deben existir solo en Microsoft Entra ID, sin sincronizarse desde el Active Directory local. Así se evita que un compromiso del entorno local escale directamente al control administrativo de la nube.
Exija que los administradores usen dispositivos dedicados y bastionados para las tareas privilegiadas, y aplíquelo mediante el cumplimiento del dispositivo y los filtros de dispositivo del acceso condicional.
Qué es: unidades administrativas que protegen cuentas sensibles, como las de directivos o las de emergencia, frente a modificaciones por parte de administradores del tenant que no estén asignados expresamente a ellas.
Ataque que mitiga: toma de control de cuentas a través de roles comprometidos de soporte o de administración de usuarios.
Licencia: Microsoft Entra ID P1.
Las aplicaciones son una de las partes menos gobernadas de Microsoft 365.
Impida que los usuarios autoricen aplicaciones no verificadas. Permita solo permisos de bajo riesgo de editores verificados y canalice el resto de solicitudes a través del flujo de consentimiento del administrador.
Ataque que mitiga: concesiones de consentimiento ilícitas.
Licencia: incluida.
Impacto en los usuarios: bajo, siempre que exista un proceso claro de solicitud.
La gobernanza de aplicaciones supervisa las aplicaciones OAuth para detectar actividad inusual, permisos excesivos y accesos sospechosos a datos.
Licencia: Microsoft Defender for Cloud Apps, incluido en Microsoft 365 E5.
Audite todas las aplicaciones con permisos de alto privilegio en Microsoft Graph, como Mail.ReadWrite o Directory.ReadWrite.All. Elimine las que no se usan y reduzca el resto al mínimo privilegio.
Aplique acceso condicional y detección de riesgo a las entidades de servicio, bloqueándolas cuando se autentiquen desde ubicaciones inesperadas o muestren comportamientos de riesgo.
Licencia: Microsoft Entra Workload ID.
El correo sigue siendo el principal vector de phishing y de compromiso del correo corporativo.
Microsoft está retirando Exchange Web Services en Exchange Online en favor de Microsoft Graph:
Trate esta retirada como una cuestión de continuidad y, a la vez, como una oportunidad de bastionado:
Exchange Server local no se ve afectado.
Bloquee los protocolos de autenticación heredada, incluida la autenticación básica en IMAP, POP y SMTP AUTH, mediante acceso condicional y directivas de autenticación de Exchange Online. Use los registros de inicio de sesión y PowerShell para identificar los clientes que aún los usan antes de aplicar el bloqueo.
Publique registros SPF y DKIM para todos los dominios que envían correo, incluidos los dominios aparcados. Después, avance progresivamente con DMARC desde el modo de supervisión a cuarentena y, por último, a rechazo. Antes, inventaríe todos los remitentes legítimos de terceros.
Ataque que mitiga: suplantación de dominio.
Aplique la directiva de seguridad preestablecida Estricta de Microsoft Defender para Office 365 a los usuarios de mayor valor: dirección, finanzas y administradores. Activa la configuración más exigente de antiphishing, Vínculos seguros y Datos adjuntos seguros, incluida la protección contra la suplantación.
Licencia: Defender para Office 365 Plan 1 (incluido en Microsoft 365 Business Premium) o Plan 2 (incluido en Microsoft 365 E5).
Si su organización no necesita el envío directo (Direct Send) sin autenticar, actívelo con el parámetro de PowerShell de Exchange Online Set-OrganizationConfig -RejectDirectSend $true. Direct Send puede aprovecharse para suplantar remitentes internos.
Bloquee además el reenvío automático a dominios externos mediante la directiva de correo no deseado saliente. Es una de las técnicas de persistencia más comunes en buzones comprometidos.
Las plataformas de colaboración contienen los datos que el atacante busca en última instancia.
Aplique etiquetas de confidencialidad a los sitios de SharePoint, los grupos de Microsoft 365 y los equipos de Teams. Permiten imponer, a nivel de contenedor, la privacidad, los límites de uso compartido externo y el acceso desde dispositivos no administrados.
El control de acceso restringido limita el acceso a sitios concretos de SharePoint y OneDrive a grupos de seguridad definidos, aunque existan permisos más amplios. Así se contienen de inmediato los sitios sensibles sobreexpuestos mientras se corrigen los permisos.
Forma parte de SharePoint Advanced Management, que está incluido en los tenants con al menos una licencia de Microsoft 365 Copilot.
Permita solo el acceso desde el navegador, sin descargas, a SharePoint y OneDrive desde dispositivos no administrados, o bloquéelo por completo para los sitios sensibles mediante las restricciones aplicadas por la aplicación del acceso condicional.
Configure la caducidad automática del acceso de invitados, exija revisiones de acceso periódicas para los usuarios externos y limite el acceso externo de Teams a dominios aprobados.
Los dispositivos comprometidos son el origen del robo de tokens, así que el bastionado de los equipos protege también la identidad.
Las reglas de reducción de la superficie de ataque (ASR) de Defender for Endpoint bloquean comportamientos habituales del malware: que las aplicaciones de Office creen procesos secundarios, el robo de credenciales de LSASS o la ejecución de scripts ofuscados. Despliéguelas primero en modo auditoría y después actívelas.
Windows LAPS rota y protege automáticamente la contraseña del administrador local de cada dispositivo, gestionada con Microsoft Intune. Así se impide que un atacante reutilice una misma contraseña de administrador local para moverse lateralmente.
Use las directivas de cumplimiento de Intune para exigir cifrado, una versión mínima del sistema operativo y un estado correcto de Defender. Después, convierta el cumplimiento del dispositivo en un requisito del acceso condicional para los recursos sensibles.
Active la protección contra alteraciones (tamper protection) para que un atacante no pueda desactivar las protecciones de Defender for Endpoint, aunque tenga derechos de administrador local.
Microsoft 365 Copilot no crea permisos nuevos, pero hace mucho más fácil aprovechar los existentes. Los agentes de IA añaden además una nueva clase de identidad capaz de actuar a gran velocidad.
Use los informes de gobernanza del acceso a datos de SharePoint Advanced Management para identificar los sitios sobreexpuestos. Contenga los sensibles con el control de acceso restringido mientras sus responsables corrigen los permisos. La detección de contenido restringido permite, además, impedir que determinados sitios aparezcan en los resultados de Copilot.
La gestión de la postura de seguridad de datos (DSPM) para IA de Microsoft Purview ofrece visibilidad sobre las interacciones con Copilot y con aplicaciones de IA de terceros que implican datos sensibles. Combínela con directivas DLP aplicadas a Microsoft 365 Copilot, como recomienda el CIS v7.0.0, para impedir que el contenido etiquetado o sensible se procese en sus respuestas.
Registre los agentes como identidades gobernadas a través de Microsoft Entra Agent ID, asigne a cada uno un responsable y aplique políticas de acceso condicional donde su licencia lo permita. Esto requiere Microsoft Agent 365 o Microsoft 365 E7.
Revise a qué puede acceder cada agente de Copilot Studio y qué puede hacer. Limite los conectores, las acciones de escritura y las comunicaciones externas, y exija aprobación humana para las operaciones de alto impacto..
| Control | Ataque que mitiga (MITRE ATT&CK) | Licencia | Referencia | Prioridad |
|---|---|---|---|---|
| MFA resistente al phishing para administradores y usuarios de alto riesgo | Phishing AiTM, fatiga de MFA (T1557, T1621) | Entra ID P1 | CIS, CCN-STIC 885A | Crítica |
| Protección de tokens | Robo y reutilización de tokens (T1539, T1550.004) | Entra ID P1 | CIS v7 | Alta |
| Bloqueo del flujo de código de dispositivo | Phishing de código de dispositivo (T1528) | Entra ID P1 | CIS | Alta |
| PIM con aprobación y sin Global Admins permanentes | Escalada de privilegios (T1098.003) | Entra ID P2 | CIS, CCN-STIC 885A | Crítica |
| Restricción del consentimiento de usuario | Consentimiento ilícito (T1528) | Incluida | CIS | Crítica |
| Migración de dependencias de EWS | Abuso de API heredada, interrupción del servicio | Incluida | Microsoft | Crítica (ahora) |
| Bloqueo de la autenticación heredada | Password spraying (T1110.003) | Entra ID P1 | CIS, CCN-STIC 885C | Crítica |
| DMARC en modo rechazo | Suplantación de dominio (T1566) | Incluida | CIS, CCN-STIC 885C | Alta |
| Bloqueo del reenvío externo automático | Persistencia en buzones (T1114.003) | Incluida | CIS, CCN-STIC 885C | Alta |
| Control de acceso restringido en sitios sensibles | Recopilación de datos de SharePoint (T1213.002) | SAM / licencia de Copilot | CIS, CCN-STIC 885B | Alta |
| Reglas ASR | Ejecución maliciosa de Office y scripts (T1204, T1003.001) | Defender for Endpoint | CIS | Alta |
| DLP para Copilot | Exposición de datos sensibles a través de IA (T1213) | Microsoft 365 E5 o E5 Compliance | CIS v7 | Alta |
Los controles avanzados aportan más valor cuando se ordenan por riesgo, no cuando se despliegan todos a la vez.
Un tenant bastionado y documentado contribuye a cumplir los marcos normativos españoles y europeos, aunque no garantiza por sí solo su cumplimiento.
ENS. Para las organizaciones sujetas al Esquema Nacional de Seguridad (RD 311/2022), las guías CCN-STIC de la serie 885 traducen las medidas del ENS en configuraciones concretas de Microsoft 365, con un cuadro resumen que permite valorar qué medidas se cumplen. El hardening avanzado refuerza en particular:
NIS2. La directiva exige medidas de gestión de riesgos como el control de acceso, la autenticación multifactor y la seguridad de la cadena de suministro. A octubre de 2026, la ley española de transposición, la Ley de Coordinación y Gobernanza de la Ciberseguridad, sigue en tramitación parlamentaria. Aun así, las entidades que quedarán dentro de su ámbito pueden usar el hardening como evidencia técnica de esas medidas desde ahora.
DORA. Para las entidades financieras, en vigor desde enero de 2025, el bastionado de Microsoft 365 respalda los requisitos de protección y prevención de su marco de gestión del riesgo TIC.
Un baseline de Microsoft 365 demuestra que los controles mínimos están en su sitio. El hardening avanzado demuestra que las vías de ataque que todavía se usan contra tenants bien gestionados están cerradas.
La diferencia es relevante. El robo de tokens, el phishing AiTM, el abuso del consentimiento OAuth o la sobreexposición de datos no aparecen en un resumen de Secure Score, pero sí en los informes de incidentes.
Las organizaciones que invierten en un bastionado basado en amenazas reales obtienen más que una mayor seguridad:
ne Digital acompaña a las organizaciones en todo el proceso:
Solicite una evaluación de hardening avanzado de Microsoft 365.