Protección de las identidades de la organización con el identificador de Microsoft Entra ID
Artículo
Tratar de proteger a sus trabajadores en el mundo actual puede parecer desalentador, especialmente cuando tiene que responder rápidamente y proporcionar acceso a muchos servicios con rapidez. Este artículo ayuda a proporcionar una lista concisa de las acciones que se deben realizar, lo que le ayuda a identificar las características y asignarles prioridades en función del tipo de licencia que posee.
Microsoft Entra ID ofrece muchas características y proporciona muchos niveles de seguridad para las identidades, ya que determinar qué característica es relevante puede resultar abrumador en ocasiones. Este documento está diseñado para ayudar a las organizaciones a implementar servicios rápidamente, pensando principalmente en las identidades seguras.
En cada tabla se proporcionan recomendaciones de seguridad para proteger las identidades frente a ataques de seguridad frecuentes y, al mismo tiempo, se minimiza la fricción del usuario.
Esta guía ayudan a:
Configurar el acceso a aplicaciones de software como servicio (SaaS) y locales de forma segura y protegida
Tanto las identidades híbridas y en la nube
Usuarios que trabajan de forma remota o presencial
Microsoft recomienda que las organizaciones tengan dos cuentas de acceso de emergencia de solo nube con el rol de administrador global asignado permanentemente. Estas cuentas tienen privilegios elevados y no se asignan a usuarios específicos. Las cuentas se limitan a escenarios de emergencia o de "romper el vidrio" en los que las cuentas normales no se pueden usar o todos los demás administradores se bloquean accidentalmente. Estas cuentas deben crearse siguiendo las recomendaciones de cuentas de acceso de emergencia.
Tutorial guiado
Para ver un tutorial guiado de muchas de las recomendaciones de este artículo, consulte la guía Configuración de Microsoft Entra ID al iniciar sesión en el Centro de Administración de Microsoft 365. Para revisar las prácticas recomendadas sin iniciar sesión ni activar las funciones de configuración automática, vaya al Portal de configuración de Microsoft 365.
Guía para clientes de Microsoft Entra ID Free, Office 365 o Microsoft 365
Existen muchas recomendaciones que deben seguir los clientes de aplicaciones Microsoft Entra ID Free, Office 365 o Microsoft 365 para proteger las identidades de sus usuarios. La tabla siguiente tiene como objetivo resaltar acciones clave de las suscripciones de licencia siguientes:
Proporcione redundancia para la autenticación y mejore la seguridad (incluido el bloqueo inteligente, el bloqueo de IP y la capacidad de detectar las credenciales filtradas).
El bloqueo inteligente ayuda a bloquear a los actores malintencionados que intentan adivinar las contraseñas de los usuarios o que usan métodos de fuerza bruta para obtenerlas.
El flujo de trabajo de consentimiento del administrador proporciona a los administradores una manera segura de conceder acceso a las aplicaciones que requieren la aprobación del administrador, de modo que los usuarios finales no expongan los datos de la empresa. Microsoft recomienda deshabilitar las operaciones futuras de consentimiento del usuario para ayudar a reducir el área expuesta y a mitigar este riesgo.
Microsoft Entra ID incluye una galería que contiene miles de aplicaciones previamente integradas. Algunas de las aplicaciones que su organización usa probablemente estén en la galería y se pueda acceder a ellas desde Azure Portal. Proporcione acceso a las aplicaciones SaaS corporativas de forma remota y segura con una experiencia de usuario mejorada (inicio de sesión único (SSO)).
Cree automáticamente roles e identidades de usuario en las aplicaciones en la nube (SaaS) a las que los usuarios necesitan acceder. Además de crear identidades de usuario, el aprovisionamiento automático incluye el mantenimiento y la eliminación de identidades de usuario a medida que el estado o los roles cambian, de modo que mejora la seguridad de su organización.
Publique y proteja sus aplicaciones de autenticación heredadas locales y en la nube conectándolas a Microsoft Entra ID con su red o controlador de entrega de aplicaciones existentes.
Esta capacidad reduce las llamadas al departamento de soporte técnico y la pérdida de productividad cuando un usuario no puede iniciar sesión en su dispositivo o en una aplicación.
Olvídese de solicitar a los usuarios que cambien periódicamente la contraseña, deshabilite los requisitos de complejidad y a los usuarios les será más fácil recordar la contraseña y mantener una segura.
Guía para Microsoft Entra clientes de ID P1
La tabla siguiente tiene como objetivo resaltar las acciones clave de las siguientes suscripciones de licencia:
Permita que los usuarios se registren para una de las experiencias comunes: Microsoft Entra Multi-Factor Authentication o el autoservicio de restablecimiento de contraseña.
Esta capacidad reduce las llamadas al departamento de soporte técnico y la pérdida de productividad cuando un usuario no puede iniciar sesión en su dispositivo o en una aplicación.
Proporcione redundancia para la autenticación y mejore la seguridad (incluido el bloqueo inteligente, el bloqueo de IP y la capacidad de detectar las credenciales filtradas).
El bloqueo inteligente ayuda a bloquear a los actores malintencionados que intentan adivinar las contraseñas de los usuarios o que usan métodos de fuerza bruta para obtenerlas.
El flujo de trabajo de consentimiento del administrador proporciona a los administradores una manera segura de conceder acceso a las aplicaciones que requieren la aprobación del administrador, de modo que los usuarios finales no expongan los datos de la empresa. Microsoft recomienda deshabilitar las operaciones futuras de consentimiento del usuario para ayudar a reducir el área expuesta y a mitigar este riesgo.
Habilite Microsoft Entra Application Proxy e intégrela con aplicaciones heredadas para que los usuarios tengan acceso seguro a aplicaciones locales, iniciando sesión con su cuenta de Microsoft Entra.
Publique y proteja sus aplicaciones de autenticación heredadas locales y en la nube conectándolas a Microsoft Entra ID con su red o controlador de entrega de aplicaciones existentes.
Microsoft Entra ID incluye una galería que contiene miles de aplicaciones previamente integradas. Algunas de las aplicaciones que su organización usa probablemente estén en la galería y se pueda acceder a ellas desde Azure Portal. Proporcione acceso a las aplicaciones SaaS empresariales de forma remota y segura mediante una experiencia de usuario mejorada (SSO).
Cree automáticamente roles e identidades de usuario en las aplicaciones en la nube (SaaS) a las que los usuarios necesitan acceder. Además de crear identidades de usuario, el aprovisionamiento automático incluye el mantenimiento y la eliminación de identidades de usuario a medida que el estado o los roles cambian, de modo que mejora la seguridad de su organización.
Mejore la seguridad y las experiencias de usuario con el acceso condicional basado en dispositivos. Este paso garantiza que los usuarios solo pueden tener acceso desde dispositivos que cumplen los estándares de seguridad y cumplimiento. A estos dispositivos también se les conoce como dispositivos administrados. Los dispositivos administrados pueden ser conformes con Intune o dispositivos unidos a Microsoft Entra híbrido.
Olvídese de solicitar a los usuarios que cambien periódicamente la contraseña, deshabilite los requisitos de complejidad y a los usuarios les será más fácil recordar la contraseña y mantener una segura.
Colabore con los usuarios invitados y permítales iniciar sesión en las aplicaciones y los servicios con sus propias identidades profesionales, educativas o sociales.
Guía para clientes Microsoft Entra ID P2
La tabla siguiente tiene como objetivo resaltar las acciones clave de las siguientes suscripciones de licencia:
Permita que los usuarios se registren para una de las experiencias comunes: Microsoft Entra Multi-Factor Authentication o el autoservicio de restablecimiento de contraseña.
Esta capacidad reduce las llamadas al departamento de soporte técnico y la pérdida de productividad cuando un usuario no puede iniciar sesión en su dispositivo o en una aplicación.
La directiva de inicio de sesión recomendada es centrarse en los inicios de sesión de riesgo medio y exigir una autenticación multifactor. En el caso de las directivas de usuario, debe dirigirse a los usuarios de alto riesgo que necesitan la acción de cambio de contraseña.
Crear y habilitar directivas de acceso condicional
Proporcione redundancia para la autenticación y mejore la seguridad (incluido el bloqueo inteligente, el bloqueo de IP y la capacidad de detectar las credenciales filtradas).
El bloqueo inteligente ayuda a bloquear a los actores malintencionados que intentan adivinar las contraseñas de los usuarios o que usan métodos de fuerza bruta para obtenerlas.
El flujo de trabajo de consentimiento del administrador proporciona a los administradores una manera segura de conceder acceso a las aplicaciones que requieren la aprobación del administrador, de modo que los usuarios finales no expongan los datos de la empresa. Microsoft recomienda deshabilitar las operaciones futuras de consentimiento del usuario para ayudar a reducir el área expuesta y a mitigar este riesgo.
Habilite Microsoft Entra Application Proxy e intégrela con aplicaciones heredadas para que los usuarios tengan acceso seguro a aplicaciones locales, iniciando sesión con su cuenta de Microsoft Entra.
Publique y proteja sus aplicaciones de autenticación heredadas locales y en la nube conectándolas a Microsoft Entra ID con su red o controlador de entrega de aplicaciones existentes.
Microsoft Entra ID incluye una galería que contiene miles de aplicaciones previamente integradas. Algunas de las aplicaciones que su organización usa probablemente estén en la galería y se pueda acceder a ellas desde Azure Portal. Proporcione acceso a las aplicaciones SaaS empresariales de forma remota y segura mediante una experiencia de usuario mejorada (SSO).
Cree automáticamente roles e identidades de usuario en las aplicaciones en la nube (SaaS) a las que los usuarios necesitan acceder. Además de crear identidades de usuario, el aprovisionamiento automático incluye el mantenimiento y la eliminación de identidades de usuario a medida que el estado o los roles cambian, de modo que mejora la seguridad de su organización.
Mejore la seguridad y las experiencias de usuario con el acceso condicional basado en dispositivos. Este paso garantiza que los usuarios solo pueden tener acceso desde dispositivos que cumplen los estándares de seguridad y cumplimiento. A estos dispositivos también se les conoce como dispositivos administrados. Los dispositivos administrados pueden ser conformes con Intune o dispositivos unidos a Microsoft Entra híbrido.
Olvídese de solicitar a los usuarios que cambien periódicamente la contraseña, deshabilite los requisitos de complejidad y a los usuarios les será más fácil recordar la contraseña y mantener una segura.
Colabore con los usuarios invitados y permítales iniciar sesión en las aplicaciones y los servicios con sus propias identidades profesionales, educativas o sociales.
Permite administrar, controlar y supervisar el acceso a recursos importantes de la organización, lo que garantiza que los administradores tengan acceso solo cuando sea necesario y reciban aprobación.
Trabaje con los equipos de seguridad y dirección para crear una directiva de revisión de acceso para revisar el acceso de los administradores de conformidad con las directivas de la organización.
Confianza cero
Esta característica ayuda a las organizaciones a alinear sus identidades con los tres principios rectores de una arquitectura de Confianza cero:
Comprobación explícita
Usar privilegios mínimos
Presunción de intrusiones al sistema
Para obtener más información sobre Confianza cero y otras formas de alinear su organización con los principios rectores, consulte el Centro de instrucciones de Confianza cero.
Las organizaciones pueden usar la puntuación segura de la identidad para supervisar su progreso en lo que respecta a otras recomendaciones de Microsoft.
Confianza cero no es un producto o una herramienta, sino una estrategia de seguridad esencial que busca comprobar continuamente cada transacción, valida el acceso con privilegios mínimos y supone que cada transacción podría ser un posible ataque. A través de los módulos de esta ruta de aprendizaje, comprenderá la Confianza cero y cómo se aplica a la identidad, los puntos de conexión, las aplicaciones, las redes, la infraestructura y los datos.
Muestre las características de Microsoft Entra ID para modernizar las soluciones de identidad, implementar soluciones híbridas e implementar la gobernanza de identidades.
Obtenga más información sobre la familia Microsoft Entra de soluciones de acceso a redes e identidades multinube. Encuentre contenido que ayude a resolver las necesidades de acceso seguro en el panorama digital multifacético, proteja el acceso a cualquier aplicación o recurso para cualquier usuario, verifique y proteja cada identidad y cada solicitud de acceso, descubra permisos y controle el acceso, y simplifique la experiencia del usuario con controles de acceso inteligentes en tiempo real.
Preguntas y respuestas frecuentes sobre Microsoft Entra, Microsoft Entra ID y Azure, por ejemplo, sobre administración de contraseñas y acceso a las aplicaciones.