M365EXO-048: La retención del registro de auditoría cumple el mínimo (MS.EXO.17.3)

Plataforma: Entra ID / M365
Categoría: Advanced Threat Protection
Severidad: Medium
Pilar de Zero Trust: Visibility & Analytics (peso 1)
Fixtures de referencia: 1
Cobertura de ramas: Observada: los fixtures prueban los veredictos que ejercitan
Procedencia: baseline

Qué comprueba

SCuBA MS.EXO.17.3 exige que los registros de auditoría se retengan durante al menos la duración mínima que dicta la OMB M-21-31 (Apéndice C), que exige al menos doce meses en almacenamiento activo. La retención predeterminada puede ser más corta de lo requerido, y los registros no disponibles cuando se necesitan impiden la investigación de incidentes más antiguos. Una directiva explícita de retención del registro de auditoría aplica la duración requerida.

Valor recomendado

Una directiva de retención del registro de auditoría que retenga los registros de auditoría unificados durante al menos 12 meses en almacenamiento activo (según la OMB M-21-31 Apéndice C)

Remediación

Cree una directiva de retención del registro de auditoría que retenga los registros de auditoría unificados durante al menos doce meses en almacenamiento activo, según exige la OMB M-21-31 Apéndice C, con retención adicional en almacenamiento en frío cuando corresponda. Confirme que la licencia del inquilino admita la retención de auditoría personalizada (E5/G5 o complemento); cuando no tenga licencia, regístrelo como no evaluado en lugar de aprobado. Valide que el ámbito de la directiva cubra los tipos de registro pertinentes de Exchange y del registro de auditoría unificado.

Veredictos probados con fixtures

Cada veredicto de esta tabla está probado por un fixture de referencia en la suite de pruebas que valida el módulo. La tabla se deriva de la última ejecución en verde; no puede editarse a mano.

Escenarios de veredicto de M365EXO-048
Escenario	Veredicto esperado
not-implemented	Not Assessed

Mapeos a marcos de referencia

CISA SCuBA: MS.DEFENDER.6.3v1
NIST SP 800-53: AU-11
MITRE ATT&CK: T1070