M365EXO-047: Registro de Purview Audit (Premium) habilitado (MS.EXO.17.2)
- Plataforma
- Entra ID / M365
- Categoría
- Advanced Threat Protection
- Severidad
- Medium
- Pilar de Zero Trust
- Visibility & Analytics (peso 1)
- Fixtures de referencia
- 1
- Cobertura de ramas
- Observada: los fixtures prueban los veredictos que ejercitan
- Procedencia
- baseline
Qué comprueba
SCuBA MS.EXO.17.2 exige que se habilite el registro de Microsoft Purview Audit (Premium). La auditoría Premium añade tipos de eventos de alto valor (como MailItemsAccessed) y una retención predeterminada más larga que la Estándar no incluye, lo que mejora materialmente la visibilidad durante una investigación. La auditoría Premium requiere licencias E5/G5 o un complemento equivalente.
Valor recomendado
Tipos de eventos de auditoría Premium (p. ej., MailItemsAccessed) y funciones de retención de auditoría habilitados, sujetos a licencias E5/G5 o complemento
Remediación
Habilite las funciones de Microsoft Purview Audit (Premium) para que se capturen tipos de eventos adicionales como MailItemsAccessed. Confirme que el inquilino disponga de las licencias E5/G5 requeridas o del complemento de cumplimiento; cuando no tenga licencia, este control no puede cumplirse y debe registrarse como no evaluado en lugar de aprobado. Valide que los eventos de auditoría de alto valor se estén registrando después de habilitarlos.
Veredictos probados con fixtures
Cada veredicto de esta tabla está probado por un fixture de referencia en la suite de pruebas que valida el módulo. La tabla se deriva de la última ejecución en verde; no puede editarse a mano.
| Escenario | Veredicto esperado |
|---|---|
| not-implemented | Not Assessed |
Mapeos a marcos de referencia
- NIST SP 800-53
- AU-2, AU-3, AU-12
- MITRE ATT&CK
- T1114