M365EXO-046: Registro de Purview Audit (Estándar) habilitado (MS.EXO.17.1)
- Plataforma
- Entra ID / M365
- Categoría
- Advanced Threat Protection
- Severidad
- High
- Pilar de Zero Trust
- Visibility & Analytics (peso 2)
- Fixtures de referencia
- 3
- Cobertura de ramas
- Observada: los fixtures prueban los veredictos que ejercitan
- Procedencia
- baseline
Qué comprueba
SCuBA MS.EXO.17.1 exige que se habilite el registro de Microsoft Purview Audit (Estándar), el registro de auditoría unificado. El registro de auditoría unificado captura la actividad de usuarios y administradores en Microsoft 365 y es fundamental para la respuesta a incidentes y la detección de amenazas. Si la ingesta del registro de auditoría unificado está deshabilitada, no se recopilan pruebas de la actividad y las investigaciones se ven gravemente obstaculizadas.
Valor recomendado
Ingesta del registro de auditoría unificado habilitada (UnifiedAuditLogIngestionEnabled = True)
Remediación
Verifique que la ingesta del registro de auditoría unificado esté habilitada (UnifiedAuditLogIngestionEnabled = True) para que la actividad de usuarios y administradores se capture en el registro de auditoría de Microsoft 365. Si está deshabilitada, habilítela mediante la configuración del registro de auditoría. Confirme que el registro esté activo consultando eventos recientes después de habilitarlo.
Veredictos probados con fixtures
Cada veredicto de esta tabla está probado por un fixture de referencia en la suite de pruebas que valida el módulo. La tabla se deriva de la última ejecución en verde; no puede editarse a mano.
| Escenario | Veredicto esperado |
|---|---|
| clean | PASS |
| known-bad | FAIL |
| throttled | Not Assessed |
Mapeos a marcos de referencia
- CISA SCuBA
- MS.DEFENDER.6.1v1
- NIST SP 800-53
- AU-2, AU-3, AU-12
- MITRE ATT&CK
- T1562.008