GWS-K12-011: Reenvío automático de estudiantes deshabilitado
- Plataforma
- Google Workspace
- Categoría
- K12 Baseline
- Severidad
- Medium
- Pilar de Zero Trust
- Data (peso 1)
- Fixtures de referencia
- 6
- Cobertura de ramas
- Rutas de veredicto declaradas, cada una probada con un fixture
- Procedencia
- original
- Alcance
- Por unidad organizativa: requiere el parámetro -StudentOU (o el campo Student OUs en Show-Guerrilla). Sin él, esta comprobación informa No evaluado.
Línea base K12 de Guerrilla (candidata)
Esta comprobación evalúa el control K12-DATA-004 de la Línea Base de Configuración Segura K12, versión 0.1.0, una línea base comunitaria candidata escrita por Guerrilla. Está publicada abiertamente y abierta a comentarios; no es un estándar de consenso, y este bloque está deliberadamente separado de los mapeos a marcos externos de más abajo.
Qué comprueba
Una sola regla de reenvío automático de Gmail copia de forma silenciosa cada mensaje futuro a una dirección externa, y sobrevive a un restablecimiento de contraseña porque es una configuración, no una sesión. El personal a veces tiene una necesidad legítima; una OU de estudiantes no la tiene, y dejar la capacidad activada es una vía permanente de exfiltración y persistencia de cuentas. Esta comprobación resuelve la configuración de usuario final de reenvío automático de Gmail para cada OU de estudiantes.
Valor recomendado
El reenvío automático de correo está deshabilitado para las OU de estudiantes
Remediación
Consola de administración > Aplicaciones > Google Workspace > Gmail > Acceso del usuario final. Seleccione la unidad organizativa de estudiantes y desactive 'Automatic forwarding' para que los usuarios de la OU no puedan configurar reglas de reenvío. Aplique lo mismo a cualquier OU de personal sin necesidad de negocio.
Veredictos probados con fixtures
Cada veredicto de esta tabla está probado por un fixture de referencia en la suite de pruebas que valida el módulo. La tabla se deriva de la última ejecución en verde; no puede editarse a mano.
| Escenario | Veredicto esperado |
|---|---|
| clean | PASS |
| known-bad | FAIL |
| no-policy | WARN |
| no-scope | Not Assessed |
| not-assessed | Not Assessed |
| ou-absent | Not Assessed |
Mapeos a marcos de referencia
- NIST SP 800-53
- AC-4
- MITRE ATT&CK
- T1114.003