EIDFED-005: Revisión de la configuración de Azure AD Connect

Plataforma: Entra ID / M365
Categoría: Entra ID Federation & Hybrid Identity
Severidad: High
Pilar de Zero Trust: Identity (peso 2)
Fixtures de referencia: 3
Cobertura de ramas: Observada: los fixtures prueban los veredictos que ejercitan
Procedencia: baseline

Qué comprueba

Azure AD Connect sincroniza los objetos de Active Directory local con Entra ID y es un componente crítico de la arquitectura de identidad híbrida. Una configuración incorrecta de Azure AD Connect puede exponer atributos confidenciales a la nube, crear rutas de escalada de privilegios no deseadas o permitir que atacantes con acceso local manipulen identidades en la nube. Los permisos de la cuenta de conector, las reglas de sincronización y la configuración de funciones deben revisarse frente a las prácticas recomendadas de seguridad.

Valor recomendado

Azure AD Connect configurado con cuentas de conector de privilegio mínimo, reglas de sincronización reforzadas y todas las funciones de seguridad habilitadas

Remediación

Revise la configuración de Azure AD Connect, incluidos los permisos de la cuenta de conector, las reglas de sincronización y las funciones habilitadas. Asegúrese de que la cuenta de conector de AD DS use los permisos mínimos necesarios y de que la cuenta de conector de Entra ID sea una cuenta de servicio dedicada exclusivamente en la nube. Verifique que el servidor de Azure AD Connect se trate como un activo de Tier 0 con acceso administrativo restringido y supervisión exhaustiva.

Veredictos probados con fixtures

Cada veredicto de esta tabla está probado por un fixture de referencia en la suite de pruebas que valida el módulo. La tabla se deriva de la última ejecución en verde; no puede editarse a mano.

Escenarios de veredicto de EIDFED-005
Escenario	Veredicto esperado
clean	PASS
known-bad	WARN
no-data	Not Assessed

Mapeos a marcos de referencia

NIST SP 800-53: CM-6
MITRE ATT&CK: T1078.004