M365EXO-008: Inventario y análisis de reglas de transporte
- Plataforma
- Entra ID / M365
- Categoría
- Advanced Threat Protection
- Severidad
- Medium
- Pilar de Zero Trust
- Applications & Workloads (peso 1)
- Fixtures de referencia
- 3
- Cobertura de ramas
- Observada: los fixtures prueban los veredictos que ejercitan
- Procedencia
- baseline
Qué comprueba
Las reglas de transporte de Exchange Online (reglas de flujo de correo) procesan los mensajes de correo en tránsito y pueden modificar encabezados, redirigir mensajes, añadir avisos de declinación de responsabilidad o eludir controles de seguridad. Las reglas de transporte maliciosas o mal configuradas pueden redirigir el correo de forma silenciosa, eliminar encabezados de seguridad o eludir el filtrado de spam para remitentes específicos. Una auditoría integral de todas las reglas de transporte es necesaria para identificar las reglas que puedan debilitar la seguridad o facilitar la exfiltración de datos.
Valor recomendado
Todas las reglas de transporte documentadas con justificación de negocio; ninguna regla que eluda el filtrado de spam o los controles de seguridad sin aprobación explícita
Remediación
Exporte y revise todas las reglas de transporte de Exchange Online, prestando especial atención a las reglas que eluden el filtrado de spam, redirigen el correo a direcciones externas o modifican los encabezados de los mensajes. Elimine o deshabilite cualquier regla que carezca de una justificación de negocio documentada o que haya sido creada por cuentas que desde entonces se hayan visto comprometidas o dado de baja. Implemente un proceso de gestión de cambios para la creación y modificación de reglas de transporte, y configure alertas del registro de auditoría para los cambios en las reglas de transporte.
Veredictos probados con fixtures
Cada veredicto de esta tabla está probado por un fixture de referencia en la suite de pruebas que valida el módulo. La tabla se deriva de la última ejecución en verde; no puede editarse a mano.
| Escenario | Veredicto esperado |
|---|---|
| clean | PASS |
| known-bad | FAIL |
| throttled | Not Assessed |
Mapeos a marcos de referencia
- NIST SP 800-53
- AC-4