M365EXO-020: SMTP AUTH deshabilitado en toda la organización (MS.EXO.5.1)
- Plataforma
- Entra ID / M365
- Categoría
- Advanced Threat Protection
- Severidad
- High
- Pilar de Zero Trust
- Identity (peso 3)
- Fixtures de referencia
- 3
- Cobertura de ramas
- Observada: los fixtures prueban los veredictos que ejercitan
- Procedencia
- baseline
Qué comprueba
SCuBA MS.EXO.5.1 exige que SMTP AUTH esté deshabilitado. SMTP AUTH es un protocolo de envío heredado que se autentica con nombre de usuario y contraseña y no puede aplicar la autenticación multifactor. Dejarlo habilitado como valor predeterminado del inquilino da a los atacantes una vía para enviar correo usando credenciales robadas eludiendo MFA y el Acceso condicional.
Valor recomendado
SMTP AUTH deshabilitado como valor predeterminado de la organización (SmtpClientAuthenticationDisabled = True), con excepciones por buzón únicamente para cuentas de servicio documentadas
Remediación
Deshabilite SMTP AUTH como valor predeterminado global estableciendo SmtpClientAuthenticationDisabled en True en la configuración de transporte. Cuando una cuenta de servicio específica requiera realmente SMTP AUTH, habilítelo únicamente en ese buzón individual y documente la justificación. Supervise la telemetría de inicio de sesión en busca del uso de SMTP AUTH y migre las aplicaciones heredadas a la autenticación moderna.
Veredictos probados con fixtures
Cada veredicto de esta tabla está probado por un fixture de referencia en la suite de pruebas que valida el módulo. La tabla se deriva de la última ejecución en verde; no puede editarse a mano.
| Escenario | Veredicto esperado |
|---|---|
| clean | PASS |
| known-bad | FAIL |
| throttled | Not Assessed |
Mapeos a marcos de referencia
- CISA SCuBA
- MS.EXO.5.1v1
- NIST SP 800-53
- IA-2
- MITRE ATT&CK
- T1078, T1110