Configuración del filtrado de conexiones en organizaciones en la nube

Sugerencia

¿Sabía que puede probar las características de Microsoft Defender para Office 365 Plan 2 de forma gratuita? Use la prueba de 90 días de Defender para Office 365 en el Centro de pruebas del portal de Microsoft Defender. Obtenga información sobre quién puede registrarse y probar los términos en Probar Microsoft Defender para Office 365.

En todas las organizaciones con buzones de correo en la nube, el filtrado de conexiones a través de la directiva de filtro de conexión predeterminada está disponible para permitir o bloquear las conexiones de correo electrónico SMTP entrantes (entrega de correo electrónico) desde direcciones IP especificadas. Los componentes clave de la directiva de filtro de conexión predeterminada son:

• Lista de direcciones IP permitidas: omita el filtrado de correo no deseado para todos los mensajes entrantes de las direcciones IP de origen o intervalos de direcciones IP especificados. Todos los mensajes entrantes siguen analizándose para detectar malware y phishing con un alto nivel de confianza. Para otros escenarios en los que todavía se produce el filtrado de correo no deseado, consulte Escenarios en los que los mensajes de los orígenes de la lista de direcciones IP permitidas se siguen filtrando. Para obtener más información sobre cómo debe encajar la lista de direcciones IP permitidas en tu estrategia general de listas de permitidos, consulta Crear listas de remitentes permitidos.

• Lista de direcciones IP bloqueadas: bloquee todos los mensajes entrantes de las direcciones IP de origen o intervalos de direcciones IP especificados. Los mensajes entrantes se rechazan, no se marcan como correo no deseado y no se produce ningún otro filtrado. Para obtener más información sobre cómo debe caber la lista de direcciones IP bloqueadas en la estrategia general de remitentes bloqueados, consulte Creación de listas de bloqueos de remitentes.

• Lista segura: la lista segura de la directiva de filtro de conexión predeterminada es una lista de permitidos dinámica que no requiere ninguna configuración del cliente. Microsoft identifica estos orígenes de correo electrónico de confianza de suscripciones a varias listas que no son de Microsoft. Habilite o deshabilite el uso de la lista segura; no puede configurar los servidores de la lista. El filtrado de correo no deseado se omite en los mensajes entrantes de los servidores de correo electrónico de la lista segura.

En este artículo se describe cómo configurar la directiva de filtro de conexión predeterminada en el portal de Microsoft 365 Microsoft Defender o en Exchange Online PowerShell. Para obtener más información sobre cómo se ajusta el filtrado de conexiones a la configuración general contra correo no deseado de su organización en Microsoft 365, consulte Protección contra correo no deseado.

Nota:

La lista de direcciones IP permitidas, la lista segura y la lista de direcciones IP bloqueadas forman parte de la estrategia general para permitir o bloquear el correo electrónico en su organización. Para obtener más información, consulte Crear listas de permitidos para remitentes y Crear listas de bloqueados para remitentes.

No se admiten los rangos IPv6. Puede crear y administrar entradas para direcciones IPv6 en la lista de permitidos o bloqueados de inquilinos.

Los mensajes de orígenes bloqueados en la lista de direcciones IP bloqueadas no están disponibles en el seguimiento de mensajes.

¿Qué necesita saber antes de empezar?

Antes de comenzar, revise los siguientes requisitos e información de configuración.

• Abra el portal de Microsoft Defender en https://security.microsoft.com. Para ir directamente a la página Directivas contra correo no deseado, use https://security.microsoft.com/antispam.

• Para conectarse al PowerShell de Exchange Online, consulte Conexión a Exchange Online PowerShell.

• Para poder realizar los procedimientos de este artículo, deberá tener asignados los permisos necesarios. Tiene las siguientes opciones:

  • Control de acceso basado en roles (RBAC) unificado de Microsoft Defender XDR (Si los permisos de Correo electrónico y colaboración>Defender para Office 365 están Activos. Afecta solo al portal de Defender, no a PowerShell): Autorización y configuración/Configuración de seguridad/Configuración de seguridad básica (administrar) o Autorización y configuración/Configuración de seguridad/Configuración de seguridad básica (lectura).

  • Permisos de Exchange Online:

    • Modificar políticas: Pertenencia a los grupos de roles Administración de la organización o Administrador de seguridad.
    • Acceso de solo lectura a las directivas: pertenencia a los grupos de roles Lector global, Lector de seguridad o Administración de la organización de solo lectura.

  • Permisos de Microsoft Entra: pertenencia a los roles de Administrador global^*, Administrador de seguridad, Lector global o Lector de seguridad otorga a los usuarios los permisos necesarios y los permisos para otras características en Microsoft 365.

    Importante

    ^* Microsoft promueve encarecidamente el principio de privilegios mínimos. Asignar a las cuentas solo los permisos mínimos necesarios para realizar sus tareas ayuda a reducir los riesgos de seguridad y refuerza la protección general de la organización. El administrador global es un rol con muchos privilegios que debe limitar a escenarios de emergencia o cuando no puede usar un rol diferente.

  Sugerencia

  Si los cambios de directiva no se pueden guardar con un error 403 o CmdletAccessDeniedException y ha comprobado que tiene los permisos necesarios, el problema podría estar relacionado con un problema de configuración de control de acceso basado en rol (RBAC) Exchange Online. Algunas organizaciones requieren una actualización de la configuración de RBAC del backend antes de que los cambios de directiva se apliquen correctamente. Si el problema persiste, póngase en contacto con Soporte técnico de Microsoft y haga referencia a "Actualización de configuración de RBAC".

• Para encontrar las direcciones IP de origen de los servidores de correo electrónico (remitentes) que quiera permitir o bloquear, puede consultar el campo de encabezado IP de conexión (CIP) en el encabezado del mensaje. Para ver un encabezado de mensaje en varios clientes de correo electrónico, vea Ver encabezados de mensajes de Internet en Outlook.

• La lista de direcciones IP permitidas tiene prioridad sobre la lista de direcciones IP bloqueadas (no se bloquea una dirección en ambas listas).

• La lista de direcciones IP permitidas y la lista de direcciones IP bloqueadas admiten un máximo de 1.273 entradas, donde una entrada es una única dirección IP, un intervalo de direcciones IP o una dirección IP de enrutamiento de interdominios sin clase (CIDR).

Use el portal de Microsoft Defender para modificar la directiva de filtro de conexión predeterminada.

Siga estos pasos para modificar la directiva de filtro de conexión predeterminada en el portal de Microsoft Defender.

1. En el portal de Microsoft Defender, en https://security.microsoft.com, vaya a Correo electrónico y colaboración>Directivas y reglas>Directivas contra amenazas>Antispam en la sección Directivas. O bien, para ir directamente a la página Directivas contra correo no deseado , use https://security.microsoft.com/antispam.

2. En la página Directivas contra correo no deseado , seleccione Directiva de filtro de conexión (predeterminada) en la lista haciendo clic en cualquier lugar de la fila que no sea la casilla situada junto al nombre.

3. En el panel flotante de detalles de la directiva que se abre, use los enlaces Editar para modificar la configuración de la directiva:

   • Sección Descripción : seleccione Editar descripción para escribir una descripción de la directiva en el cuadro Descripción del control flotante Editar nombre y descripción que se abre. No se puede modificar el nombre de la directiva.

     Cuando haya terminado en el panel flotante Editar nombre y descripción, seleccione Guardar.

   • Sección de filtrado de conexiones : seleccione Editar directiva de filtro de conexión. En el panel desplegable que se abre, configure la siguiente configuración:

     • Permitir siempre mensajes desde las siguientes direcciones IP o intervalo de direcciones: esta configuración es la lista de direcciones IP permitidas. En la caja de la Lista de Permisos de IP, introduzca la dirección IP o el rango de direcciones y pulse Enter. La entrada se añade como un elemento separado (mostrado como un recuadro gris con un icono de X ). Después de confirmar que aparece la entrada, selecciona Guardar. Los valores admitidos son:

       • Ip única: por ejemplo, 192.168.1.1.
       • Intervalo IP: por ejemplo, 192.168.0.1-192.168.0.254.
       • IP CIDR: por ejemplo, 192.168.0.1/25. Los valores de máscara de subred válidos son /24 a /32. Para omitir el filtrado de correo no deseado para /1 a /23, consulte Omitir el filtrado de correo no deseado para una dirección IP CIDR fuera del intervalo disponible.

       Repita este paso tantas veces como sea necesario. Para quitar una entrada existente, seleccione junto a la entrada.

   • Bloquear siempre los mensajes de las siguientes direcciones IP o intervalo de direcciones: esta configuración es la lista de direcciones IP bloqueadas. Introduce una IP única (por ejemplo, 192.168.1.1), rango de IP (por ejemplo, 192.168.0.1-192.168.0.254) o IP CIDR (por ejemplo, 192.168.0.1/25) en la caja y pulsa Enter. La entrada se añade como un elemento separado (mostrado como un recuadro gris con un icono de X ). Después de confirmar que aparece la entrada, selecciona Guardar.

   • Activar lista segura: habilite o deshabilite el uso de la lista segura que especifica los remitentes conocidos y correctos para omitir el filtrado de correo no deseado. Para usar la lista segura, active la casilla .

   Cuando hayas terminado en el menú desplegable, selecciona Guardar.

4. De vuelta en el menú desplegable de detalles de la directiva, selecciona Cerrar.

Sugerencia

Si los intervalos de direcciones IP que agregó no aparecen inmediatamente en la directiva de filtro de conexión, siga estos pasos:

• Intente actualizar el portal o compruebe los cambios en Exchange Online PowerShell:

  Get-HostedConnectionFilterPolicy -Identity Default
  

• Compruebe que tiene los permisos de Microsoft Entra ID necesarios, tal como se describe en la sección ¿Qué necesita saber antes de empezar?

Si el problema persiste, podría indicar un retraso de sincronización o un problema de servicio.

Uso del portal de Microsoft Defender para ver la directiva de filtro de conexión predeterminada

En el portal de Microsoft Defender, en https://security.microsoft.com, vaya a Correo electrónico y colaboración>Directivas y reglas>Directivas contra amenazas>Antispam en la sección Directivas. O bien, para ir directamente a la página Directivas contra correo no deseado , use https://security.microsoft.com/antispam.

En la página Directivas contra correo no deseado , se muestran las siguientes propiedades en la lista de directivas:

• Nombre: la directiva de filtro de conexión predeterminada se denomina Directiva de filtro de conexión (valor predeterminado).
• Estado: el valor es Always On para la directiva de filtro de conexión predeterminada.
• Prioridad: el valor es Más bajo para la directiva de filtro de conexión predeterminada.
• Tipo: el valor está en blanco para la directiva de filtro de conexión predeterminada.

Para cambiar la lista de directivas de espaciado normal a compacto, seleccione Cambiar espaciado de lista a compacto o normal y, a continuación, seleccione Lista compacta.

Use el cuadro de búsqueda y el valor correspondiente para buscar directivas específicas.

Seleccione la directiva de filtro de conexión predeterminada haciendo clic en cualquier parte de la fila, excepto en la casilla de verificación situada junto al nombre, para abrir el panel flotante de detalles de la directiva.

Uso de PowerShell para modificar la directiva de filtro de conexión predeterminada

En Exchange Online PowerShell, use el cmdlet Set-HostedConnectionFilterPolicy para configurar la directiva de filtro de conexión predeterminada, incluidas las listas de direcciones IP permitidas y de bloqueo:

Set-HostedConnectionFilterPolicy -Identity Default [-AdminDisplayName <"Optional Comment">] [-EnableSafeList <$true | $false>] [-IPAllowList <IPAddressOrRange1,IPAddressOrRange2...>] [-IPBlockList <IPAddressOrRange1,IPAddressOrRange2...>]

• Los valores válidos de dirección IP o de intervalo de direcciones son:
  • Ip única: por ejemplo, 192.168.1.1.
  • Intervalo IP: por ejemplo, 192.168.0.1-192.168.0.254.
  • IP CIDR: por ejemplo, 192.168.0.1/25. Los valores de máscara de red válidos son /24 a /32.
• Para sobrescribir las entradas existentes con los valores especificados, use la sintaxis siguiente: IPAddressOrRange1,IPAddressOrRange2,...,IPAddressOrRangeN.
• Para agregar o quitar direcciones IP o intervalos de direcciones sin afectar a otras entradas existentes, use la sintaxis siguiente: @{Add="IPAddressOrRange1","IPAddressOrRange2",...,"IPAddressOrRangeN";Remove="IPAddressOrRange3","IPAddressOrRange4",...,"IPAddressOrRangeN"}.
• Para vaciar la lista de direcciones IP permitidas o la lista de direcciones IP bloqueadas, use el valor $null.

En el ejemplo siguiente se sobrescribe la lista de direcciones IP permitidas y la lista de bloqueados de IP en la directiva de filtro de conexión predeterminada con las direcciones IP y los intervalos de direcciones especificados.

Set-HostedConnectionFilterPolicy -Identity Default -IPAllowList 192.168.1.10,192.168.1.23 -IPBlockList 10.10.10.0/25,172.17.17.0/24

En el ejemplo siguiente se agregan nuevas direcciones IP y intervalos de direcciones a la lista de direcciones IP permitidas existente y se quita una entrada antigua, sin reemplazar toda la lista.

Set-HostedConnectionFilterPolicy -Identity Default -IPAllowList @{Add="192.168.2.10","192.169.3.0/24","192.168.4.1-192.168.4.5";Remove="192.168.1.10"}

Para obtener información detallada sobre la sintaxis y los parámetros, vea Set-HostedConnectionFilterPolicy.

¿Cómo saber si estos procedimientos han funcionado?

Para comprobar que ha modificado correctamente la directiva de filtro de conexión predeterminada, siga estos pasos:

• En la página Directivas contra correo no deseado del portal de Microsoft Defender en https://security.microsoft.com/antispam, seleccione Directiva de filtro de conexión (predeterminada) en la lista haciendo clic en cualquier lugar de la fila que no sea la casilla situada junto al nombre y compruebe la configuración de la directiva en el control flotante de detalles que se abre.

• En Exchange Online PowerShell, ejecute el siguiente comando para revisar la configuración actual de la directiva de filtro de conexión predeterminada y comprobar los cambios:

  Get-HostedConnectionFilterPolicy -Identity Default
  

• Envíe un mensaje de prueba desde una entrada en la lista de direcciones IP permitidas.

Otras consideraciones para la lista de direcciones IP permitidas

En esta sección se describen las limitaciones de ip CIDR, el filtrado selectivo de dominios y los escenarios en los que los mensajes de la lista de direcciones IP permitidas se siguen filtrando.

Nota:

Todos los mensajes entrantes se examinan en busca de malware y suplantación de identidad de alta confianza, independientemente de si el origen del mensaje está en la lista de direcciones IP permitidas.

Omitir el filtrado de correo no deseado para una dirección IP CIDR fuera del intervalo disponible

La lista de direcciones IP permitidas solo admite direcciones IP CIDR con una máscara de red de /24 a /32.

Para saltarte el filtrado de spam en mensajes de servidores de correo fuente en el rango /1 a /23, puedes usar las reglas de flujo de correo de Exchange (reglas de transporte). Sin embargo, no se recomienda usar reglas de flujo de correo. Los mensajes se bloquean si una dirección IP del intervalo CIDR de direcciones IP de /1 a /23 aparece en cualquiera de las listas de bloqueo propietarias de Microsoft o en listas de bloqueo no pertenecientes a Microsoft.

Ahora que es totalmente consciente de los posibles problemas, puede crear una regla de flujo de correo con la siguiente configuración (como mínimo) para asegurarse de que los mensajes de estas direcciones IP omiten el filtrado de correo no deseado:

• Condición de regla: Aplique esta regla si>El remitente>La dirección IP está en cualquiera de estos intervalos o coincide exactamente> (introduzca la dirección IP CIDR con una máscara de red de /1 a /23).
• Acción de regla: modifique las propiedades> del mensajeEstablecer el nivel de confianza de correo no deseado (SCL)>Omitir el filtrado de correo no deseado.

Puede auditar la regla, probarla, activarla durante un período de tiempo específico y otras selecciones. Recomendamos probar la regla durante un tiempo antes de aplicarla. Para obtener más información, vea Administrar reglas de flujo de correo en Exchange Online.

Omitir el filtrado de correo no deseado en dominios de correo electrónico selectivos desde el mismo origen

Normalmente, agregar una dirección IP o un intervalo de direcciones a la lista de direcciones IP permitidas significa que confía en todos los mensajes entrantes de ese origen de correo electrónico. ¿Qué ocurre si ese origen envía correo electrónico desde varios dominios y quiere omitir el filtrado de correo no deseado para algunos de esos dominios, pero no para otros? Puede usar la lista de direcciones IP permitidas en combinación con una regla de flujo de correo.

Por ejemplo, el servidor de correo electrónico de origen 192.168.1.25 envía correo electrónico desde los dominios contoso.com, fabrikam.com y tailspintoys.com, pero solo quiere omitir el filtrado de correo no deseado para los mensajes de los remitentes de fabrikam.com:

1. Agregue 192.168.1.25 a la lista de direcciones IP permitidas.

2. Configure una regla de flujo de correo con los siguientes valores (como mínimo):

   • Condición de regla: Aplique esta regla si>El remitente>La dirección IP está en cualquiera de estos intervalos o coincide exactamente con> 192.168.1.25 (la misma dirección IP o el mismo intervalo de direcciones que agregó a la lista de direcciones IP permitidas en el paso anterior).
   • Acción de regla: modifique las propiedades> del mensajeEstablecer el nivel de confianza de correo no deseado (SCL)>0.
   • Excepción de regla: el dominio del remitente>es> fabrikam.com (solo el dominio o dominios que desea omitir el filtrado de correo no deseado).

Añadir la dirección IP de origen a la lista de direcciones IP permitidas debería omitir el filtrado de spam para todos los dominios procedentes de esa dirección IP. Sin embargo, esta omisión es un dato de entrada, no una decisión final. Al igual que la acción Omitir el filtrado de spam (SCL -1) en una regla de flujo de correo, la omisión de la lista de direcciones IP permitidas está sujeta a Seguro de forma predeterminada, que evalúa la solicitud y podría no aceptarla. Algunos mensajes de la fuente aún pueden ser filtrados.

El Establecer el nivel de confianza de spam (SCL) a 0 podría dejar de devolver esos dominios de forma fiable al filtrado, porque el valor SCL solicitado es una entrada, no una decisión.

Casos en los que los mensajes de fuentes incluidas en la lista de direcciones IP permitidas se siguen filtrando

Nota:

Estos escenarios se aplican a todos los entornos: independientes, híbridos, multigeográficos y entre bosques. El comportamiento de filtrado se basa en comprobaciones de seguridad (por ejemplo, detección de malware, protección contra phishing o reglas de flujo de correo, no en el modelo de despliegue).

Los mensajes de un servidor de correo electrónico de la lista de direcciones IP permitidas siguen estando sujetos al filtrado de correo no deseado en los siguientes escenarios:

• Una dirección IP de su lista de direcciones IP permitidas también está configurada en un conector de entrada basado en IP en el entorno local en cualquier organización de Microsoft 365, y esa organización de Microsoft 365 y el primer servidor de Microsoft 365 que encuentra el mensaje resulta que están ambas en el mismo bosque en los centros de datos de Microsoft. En este escenario, IPV:CALse agrega a los encabezados de mensajes antispam del mensaje (lo que indica que el mensaje omitió el filtrado de correo no deseado), pero el mensaje sigue estando sujeto al filtrado de correo no deseado.

• La organización que contiene la lista de direcciones IP permitidas y el servidor de Microsoft 365 que encuentra por primera vez el mensaje se encuentran en bosques diferentes en los centros de datos de Microsoft. En este escenario, IPV:CALno se agrega a los encabezados de mensaje, por lo que el mensaje sigue estando sujeto al filtrado de correo no deseado.

Si encuentra cualquiera de estos escenarios, puede crear una regla de flujo de correo con la siguiente configuración (como mínimo) para asegurarse de que los mensajes de las direcciones IP problemáticas omiten el filtrado de correo no deseado:

• Condición de regla: aplique esta regla si> la dirección IP delremitente>está en cualquiera de estos intervalos o coincide> exactamente (su dirección IP o direcciones).
• Acción de regla: modifique las propiedades> del mensajeEstablecer el nivel de confianza de correo no deseado (SCL)>Omitir el filtrado de correo no deseado.

Contenido relacionado

Directivas de seguridad preestablecidas en organizaciones en la nube