M365EXO-014: Lista de IP de envío aprobadas mantenida (MS.EXO.2.1)

Plataforma: Entra ID / M365
Categoría: Advanced Threat Protection
Severidad: Medium
Pilar de Zero Trust: Applications & Workloads (peso 1)
Fixtures de referencia: 2
Cobertura de ramas: Observada: los fixtures prueban los veredictos que ejercitan
Procedencia: baseline

Qué comprueba

SCuBA MS.EXO.2.1 exige que se mantenga una lista de direcciones IP aprobadas para el envío de correo, que constituye la base de un registro SPF preciso. La lista de remitentes aprobados es la entrada autorizada que determina qué hosts pueden enviar correo legítimamente para cada dominio. Sin una lista mantenida, una directiva SPF no puede delimitarse correctamente y, o bien no bloquea a los suplantadores, o bien bloquea a los remitentes legítimos.

Valor recomendado

Una lista documentada y actualizada de todos los orígenes de envío aprobados por dominio (la inclusión de Exchange Online más cualquier remitente de terceros), reflejada en el registro SPF publicado

Remediación

Inventaríe todos los sistemas que envían correo legítimamente en nombre de cada dominio aceptado, incluidos Exchange Online (spf.protection.outlook.com), las plataformas de marketing, los sistemas de tickets y los retransmisores locales. Registre esta lista de remitentes aprobados como fuente de verdad y asegúrese de que el registro SPF publicado haga referencia exactamente a esos orígenes. Revise la lista cada vez que se incorpore o se retire un nuevo servicio de envío para que el registro SPF se mantenga preciso.

Veredictos probados con fixtures

Cada veredicto de esta tabla está probado por un fixture de referencia en la suite de pruebas que valida el módulo. La tabla se deriva de la última ejecución en verde; no puede editarse a mano.

Escenarios de veredicto de M365EXO-014
Escenario	Veredicto esperado
always-warn	WARN
throttled	Not Assessed

Mapeos a marcos de referencia

NIST SP 800-53: SI-8
MITRE ATT&CK: T1566.001