M365EXO-027: El filtro de datos adjuntos evalúa el tipo de archivo real (MS.EXO.9.2)

Plataforma: Entra ID / M365
Categoría: Advanced Threat Protection
Severidad: Medium
Pilar de Zero Trust: Applications & Workloads (peso 1)
Fixtures de referencia: 3
Cobertura de ramas: Observada: los fixtures prueban los veredictos que ejercitan
Procedencia: baseline

Qué comprueba

SCuBA MS.EXO.9.2 recomienda que el filtro de datos adjuntos intente determinar el tipo de archivo real y evalúe la extensión del archivo. Los atacantes renombran los archivos para disfrazar los tipos peligrosos (por ejemplo, renombrando un ejecutable a un .txt). La detección del tipo real detecta las discrepancias en las que la extensión no coincide con el contenido real del archivo, lo que cierra una técnica de evasión habitual.

Valor recomendado

Filtrado de datos adjuntos configurado para inspeccionar el tipo de archivo real en lugar de basarse únicamente en la extensión del archivo

Remediación

Asegúrese de que la solución de filtrado de datos adjuntos inspeccione el contenido real del archivo para determinar el tipo verdadero en lugar de confiar en la extensión del archivo. En la solución nativa, esto lo proporciona la detección de tipos del filtro de datos adjuntos comunes; verifique que esté habilitada. Para las puertas de enlace de terceros, confirme que esté configurada la inspección de tipo real o basada en contenido para que los archivos peligrosos renombrados sigan detectándose.

Veredictos probados con fixtures

Cada veredicto de esta tabla está probado por un fixture de referencia en la suite de pruebas que valida el módulo. La tabla se deriva de la última ejecución en verde; no puede editarse a mano.

Escenarios de veredicto de M365EXO-027
Escenario	Veredicto esperado
clean	PASS
known-bad	FAIL
throttled	Not Assessed

Mapeos a marcos de referencia

NIST SP 800-53: SI-3
MITRE ATT&CK: T1036.008