Microsoft 365 / Revisar políticas de protección contra phishing, malware y spam

Para revisar la protección de Microsoft 365 contra phishing y correo malicioso, compruebe los destinatarios, la prioridad de cada directiva y los resultados de cuarentena y notificación. Un interruptor activado por sí solo no basta. Existen directivas de protección predeterminadas; los perfiles de seguridad preestablecidos Standard y Strict y las directivas personalizadas ofrecen opciones adicionales según las funciones disponibles.

Distinguir los tipos de protección

La guía de Microsoft sobre directivas de seguridad preestablecidas explica la relación entre las directivas predeterminadas, los perfiles Standard y Strict, y las directivas personalizadas. Cuando varias directivas coinciden para un mismo usuario, su prioridad puede hacer que se apliquen ajustes distintos de los esperados. No todas las suscripciones de Microsoft 365 incluyen todas las funciones.

Registrar las funciones disponibles y la configuración actual

Diferencie entre la protección básica de correo electrónico de Exchange Online y las funciones adicionales de Defender para Office 365. Por ejemplo, si se necesitan Safe Links, Safe Attachments o ciertas funciones de protección contra suplantación de identidad, debe verificar las autorizaciones del servicio para los usuarios a quienes se aplicará. Un menú visible no demuestra que todos los destinatarios tengan derecho a todas las funciones. La protección integrada se aplica automáticamente en organizaciones con licencias de Defender para Office 365; esa base no significa que todos los destinatarios estén autorizados para todas las capacidades de Defender o las funciones de políticas personalizadas.

El permiso para ver la configuración de la política no otorga necesariamente permiso para cambiarla. Use el acceso aprobado de seguridad o administración de correo electrónico para registrar el nombre de cada política, estado habilitado, destinatarios, exclusiones, prioridad y acción de cuarentena. Lea la configuración real del inquilino en lugar de asumir los valores predeterminados. Verifique que cada excepción comercial existente todavía tenga un propietario y un propósito documentado.

Comprenda qué política tiene prioridad

Para un tipo de protección determinado, la configuración de la directiva no se combina: solo la primera directiva coincidente se aplica a un destinatario. El orden es Strict → Standard → directivas de evaluación, si están habilitadas → directivas personalizadas → directivas predeterminadas o protección integrada. Las directivas de evaluación cubren las funciones compatibles de Defender para Office 365; no son una directiva de evaluación separada para cada tipo de protección. Entre las directivas personalizadas del mismo tipo, un número de prioridad más bajo tiene precedencia. La protección integrada proporciona la protección predeterminada de Vínculos seguros y Archivos adjuntos seguros en Defender para Office 365; las directivas predeterminadas de anti-malware, anti-spam y anti-phishing son directivas separadas.

Si un usuario de prueba está incluido tanto en el perfil Standard como en una directiva personalizada de spam, Standard tiene prioridad aunque la directiva personalizada tenga prioridad 0. Ante un resultado inesperado, revise primero los perfiles preestablecidos que incluyen al destinatario. No confunda la secuencia de inspección de diferentes tipos de protección, como malware y spam, con la prioridad entre directivas del mismo tipo.

Utilice las reglas de prioridad anteriores para comprobar la directiva efectiva de un destinatario en cada tipo de protección. Los ajustes más estrictos de varias directivas no se combinan: una directiva de menor prioridad del mismo tipo puede quedar completamente sin aplicar.

Revise las políticas actuales

1. En el portal de Microsoft Defender, abra Correo electrónico y colaboración → Directivas y reglas → Directivas de amenazas. Los menús pueden variar según el idioma de la pantalla y la licencia.
2. Verifique el estado de activación y los objetivos de aplicación de las políticas de seguridad preestablecidas. También verifique si se están aplicando políticas separadas a ejecutivos o cuentas de trabajo sensibles.

3. Revise las excepciones y las listas de permitidos para las políticas de phishing, malware y correo no deseado. Asegúrese de que las excepciones comerciales antiguas no sean excesivamente amplias.
4. Si el mismo destinatario está incluido en múltiples políticas, la política realmente aplicable se determina de acuerdo con la guía de precedencia de políticas de Microsoft.
5. Verifique los resultados esperados con los mensajes realmente puestos en cuarentena o con correos electrónicos de prueba preparados de manera segura. Además, verifique si se envían notificaciones a los usuarios y quién puede liberar un mensaje en cuarentena.

Probar Standard o Strict con un grupo piloto

Standard ofrece un punto de partida para la protección general; Strict contiene ajustes más exigentes para los destinatarios que los necesitan. Strict no es automáticamente adecuado para todos los puestos. Microsoft administra la mayoría de los ajustes de los perfiles preestablecidos, mientras que las directivas personalizadas permiten más cambios. Antes de buscar opciones individuales, evalúe si el perfil y sus destinatarios cumplen los requisitos de la organización.

1. Abra Directivas de amenazas → Directivas de seguridad preestablecidas y registre el estado actual de Standard o Strict, los destinatarios y las exclusiones. Para configurar un perfil, seleccione Administrar la configuración de protección; si está deshabilitado, el flujo de configuración documentado primero lo activa. Revise cuidadosamente el alcance de destinatarios del asistente antes de confirmar los cambios.
2. Para la protección que desea cambiar, especifique usuarios o grupos de prueba y revise las excepciones. Si el asistente muestra por separado el alcance de la protección básica y la protección de Defender, compare cada uno con los objetivos y las licencias.
3. Compare los elementos que requieren ingreso, como usuarios y dominios que deben protegerse contra suplantación, con la información organizativa real. Verifique no solo los nombres para mostrar, sino también las cuentas y dominios que desea proteger.
4. Revise la pantalla de revisión y aplíquela al alcance aprobado, luego lea nuevamente el estado de guardado y la lista de objetivos. Al modificar configuraciones preestablecidas existentes, también verifique que los objetivos fuera del programa piloto no se modifiquen.
5. Verifique la entrega, la carpeta de correo no deseado, la cuarentena y las notificaciones utilizando correos electrónicos enviados por rutas normales críticas para el negocio. No incluya adjuntos maliciosos ni sitios de phishing reales en los correos de prueba general.

Las pruebas simples de envío y recepción de correos electrónicos normales no verifican todas las capacidades de detección de ataques. Las pruebas de seguridad reales deben realizarse por separado usando herramientas y dentro del alcance aprobado por la organización. El propósito de esta verificación es confirmar que los objetivos de la política, el impacto en el negocio, la cuarentena y las notificaciones coinciden con las expectativas.

Verificar la cuarentena y las notificaciones al usuario

Las políticas de cuarentena controlan qué mensajes pueden ver los destinatarios y si pueden liberarlos o solicitar la aprobación de un administrador. Una notificación por sí misma no concede permiso de liberación. Los usuarios no pueden liberar directamente sus propios mensajes puestos en cuarentena como malware por políticas anti-malware, como malware o phishing por Safe Attachments, o como phishing de alta confianza por políticas anti-spam, independientemente de la configuración de liberación de la política de cuarentena. Cuando de otro modo se aplicaría un permiso de liberación en estos casos, los usuarios pueden solicitar la liberación; verifique la política asignada y el proceso de aprobación del administrador.

El administrador revisa el motivo de detección, la directiva aplicada y el estado de las acciones automáticas, y determina quién aprobará una liberación. El correo no deseado, los mensajes en cuarentena y los rechazados por el servidor requieren seguimientos distintos. Interprete estos resultados junto con los resultados del seguimiento de mensajes.

Si se bloquea correo legítimo

No desactive la protección contra phishing de toda la organización por un problema de entrega de correo legítimo. Compruebe el seguimiento de mensajes, el motivo de cuarentena, la autenticación del remitente y la directiva efectiva. Si es un falso positivo, limite la corrección a los remitentes y condiciones afectados y verifique que el correo legítimo previsto llegue sin abrir una excepción amplia para mensajes dañinos. Si el phishing llega a la bandeja de entrada, examine las listas de permitidos, la prioridad de las directivas y la autenticación del dominio.

No permita un dominio completo únicamente porque el remitente lo solicite. Verifique la fuente de envío real y los resultados de Sender Policy Framework (SPF), DomainKeys Identified Mail (DKIM) y Domain-based Message Authentication, Reporting and Conformance (DMARC). Agregar una dirección a la lista de remitentes seguros de un buzón no evita la detección de malware ni de phishing de alta confianza; un contacto en la libreta de direcciones es un concepto separado. Para falsos positivos que requieran envío o una entrada permitida, utilice el método de envío oficial compatible con ese tipo de detección y registre el objetivo, la expiración y la justificación.

Después de cambiar una política, vuelva a probar la misma ruta de envío legítima y verifique si hay brechas de protección que afecten a otros destinatarios. Mantenga un registro de la política, los destinatarios y las exclusiones para poder restaurar solo los cambios problemáticos a sus valores anteriores. Asigne un responsable para revisar o eliminar las entradas de permiso temporal antes de su vencimiento. No considere que un problema esté resuelto únicamente porque un correo electrónico haya llegado después de que la protección se debilitó.