Durante años, la seguridad corporativa se construyó alrededor de un perímetro físico: firewall, VPN, red interna “de confianza” y red externa “hostil”. Ese modelo llevaba tiempo agrietándose con el cloud y el teletrabajo, y con la adopción masiva de Microsoft 365 ha terminado por desaparecer.
Hoy el perímetro no es la red. Es la identidad.
Cada usuario que se autentica en Entra ID (antes Azure AD) es, de facto, un punto de entrada a correo, archivos, Teams, aplicaciones SaaS conectadas y, en muchos casos, a la propia infraestructura on-premise vía sincronización híbrida. Si esa identidad se compromete, el atacante no necesita saltarse ningún firewall: ya está dentro.
El problema: Entra ID se despliega, no se configura
La mayoría de empresas que migran a Microsoft 365 heredan una configuración de Entra ID prácticamente por defecto. Funciona, el correo llega, los usuarios entran… y ahí se queda. Sin revisión posterior.
Esto significa, en la práctica:
- MFA no aplicado de forma universal, o aplicado solo a algunos usuarios/grupos.
- Acceso condicional inexistente o mal calibrado: no se distingue entre un login desde la oficina y uno desde un país donde la empresa no opera.
- Roles privilegiados sin control: administradores globales que nunca se revisan, cuentas de servicio con permisos de administrador “porque en su día hacía falta”.
- Invitados externos acumulándose sin caducidad ni revisión periódica, con acceso a recursos que ya no deberían tocar.
- Aplicaciones de terceros con permisos OAuth amplios, autorizadas por un usuario en dos clics, sin que IT lo sepa.
Ninguno de estos puntos requiere una vulnerabilidad técnica sofisticada para ser explotado. Requiere, simplemente, que nadie lo haya revisado.
Por qué esto es más urgente que nunca
El vector de ataque que más está creciendo no es el malware clásico, es el compromiso de identidad: phishing dirigido, robo de tokens de sesión, ataques de “MFA fatigue”, relleno de credenciales (credential stuffing) reutilizando contraseñas filtradas en otros servicios.
Una vez que un atacante controla una identidad válida en Entra ID, se mueve con la legitimidad de un empleado real. No salta alarmas de “acceso no autorizado” porque, técnicamente, es un acceso autorizado. Ahí es donde entran soluciones de ITDR (Identity Threat Detection and Response) como Sophos ITDR: no sustituyen a Entra ID, monitorizan comportamientos anómalos dentro de identidades ya autenticadas, algo que la configuración nativa de M365 no cubre por sí sola.
Qué significa tratar la identidad como perímetro
Tratar Entra ID como el perímetro real de seguridad implica pasar de una configuración pasiva a una gestión activa:
- Acceso condicional basado en riesgo, no solo en usuario/contraseña: ubicación, dispositivo gestionado, nivel de riesgo del login.
- MFA resistente a phishing (FIDO2, Windows Hello for Business) en roles críticos, no solo MFA por SMS o app.
- Revisión periódica de accesos privilegiados (Privileged Identity Management), con roles temporales en lugar de permanentes.
- Gobierno de identidades externas: caducidad automática de invitados, revisión trimestral de accesos.
- Auditoría de aplicaciones OAuth conectadas al tenant, muchas veces el punto ciego más grande.
- Monitorización de comportamiento anómalo post-autenticación, complementando Entra ID con capas de detección como ITDR.
El coste de no hacerlo
No es un ejercicio teórico. El patrón habitual en un incidente de este tipo no es “vulnerabilidad de día cero”, es: contraseña reutilizada + sin MFA + rol de administrador sin revisar + sin detección de comportamiento anómalo. Cuatro huecos que, por separado, parecen menores, y que juntos son la puerta abierta.
La buena noticia es que, a diferencia de una reestructuración de red, endurecer la identidad en Entra ID no requiere cambiar de infraestructura. Requiere auditar lo que ya tienes desplegado y aplicar las capas de control que Microsoft 365 ya pone a tu disposición pero que rara vez se activan por defecto.
En Asnet realizamos auditorías de configuración de Entra ID para identificar estos puntos ciegos antes de que se conviertan en un incidente: acceso condicional, roles privilegiados, MFA, aplicaciones de terceros y gobierno de identidades externas. Si quieres saber en qué estado está tu tenant, hablemos.