Saltar al contenido
MS Scripts

Playbooks de implementación

Varios scripts en orden para resolver un problema completo. Las empresas son ejemplos ficticios.

Primer chequeo de seguridad de una pyme

Tiempo estimado: Una tarde. Una distribuidora en Guadalajara con 60 personas nunca ha revisado su tenant y el dueño pregunta qué tan expuestos están.

  1. Usuarios sin MFA registrado Solo lectura
    Empieza aquí: una cuenta sin MFA es la entrada más común.
  2. Administradores con roles activos y su MFA Solo lectura
    Confirma quién puede administrar todo y si esa persona todavía debería poder.
  3. Estado de la auditoría unificada Solo lectura
    Sin auditoría activa no podrás investigar un incidente después.
  4. Microsoft Secure Score y su tendencia Solo lectura
    Te da una línea base para mostrar el avance cada mes.
  5. Licencias sin usar Solo lectura
    Lo que recuperes en licencias ayuda a justificar el proyecto.

Al terminar: cinco CSV y una lista corta de pendientes, ordenada por riesgo, para llevar a dirección.

Baja de personal sin dejar puertas abiertas

Tiempo estimado: 30 minutos por lote. Una maquiladora en Ciudad Juárez tiene rotación alta y RH manda cada quincena la lista de bajas.

  1. Actividad de auditoría de un usuario Solo lectura
    Si la salida fue conflictiva, guarda primero la evidencia de lo que hizo esa cuenta.
  2. Baja de empleados desde CSV Alto impacto
    Corre primero con -WhatIf, revisa la lista con RH y después aplica.
  3. Permisos delegados en buzones Solo lectura
    Con -Usuario, ve a qué buzones tenía acceso directo para retirarlo. Si no aparece nada, revisa también sus grupos.
  4. Convertir buzones en compartidos Hace cambios
    Si hay que conservar su correo, conviértelo en compartido con -WhatIf primero. No bloquea el inicio de sesión: la cuenta debe seguir bloqueada.
  5. Licencias sin usar Solo lectura
    Identifica usuarios deshabilitados que aún consumen licencia.
  6. Cuentas inactivas Solo lectura
    Una vez al mes detecta las bajas que nunca llegaron a TI.

Al terminar: accesos bloqueados, licencias por reasignar y un registro de qué se hizo en cada baja.

Inventario y limpieza de computadoras

Tiempo estimado: Una mañana. Una red de clínicas en Mérida con ocho sucursales no sabe cuántas computadoras tiene en realidad.

  1. Dispositivos inactivos que no se reportan en Intune Solo lectura
    Separa los equipos que dejaron de reportarse hace 60 días o más.
  2. Reporte de cumplimiento de dispositivos Solo lectura
    Revisa el estado de cumplimiento de los equipos que sí están activos.
  3. Preparación para Windows 11 Solo lectura
    Sirve para planear el presupuesto de reemplazo.
  4. Estado del antivirus en computadoras Windows Solo lectura
    Busca definiciones viejas y protección en tiempo real apagada.

Al terminar: un inventario real por sucursal y la lista de equipos por dar de baja o reemplazar.

Reunir evidencia sobre datos personales

Tiempo estimado: Un día. El área legal de una escuela privada en Puebla pide evidencia de sus medidas de seguridad. Esto ayuda a documentarlas; que sean suficientes lo decide legal.

  1. Estado de la auditoría unificada Solo lectura
    Confirma que se está guardando la actividad.
  2. Tipos de información confidencial para México Solo lectura
    Muestra qué datos mexicanos detecta Purview por sí solo. RFC, INE y CLABE no tienen tipo integrado documentado.
  3. Políticas DLP apagadas o en modo prueba Solo lectura
    Documenta lo que ya existe y qué está apagado.
  4. Crear política DLP de CURP en modo prueba Hace cambios
    Crea la política en modo de prueba, sin bloquear a nadie, y revisa qué detecta.
  5. Archivos compartidos con personas externas Solo lectura
    Muestra qué archivos salieron de la organización y a quién.

Al terminar: un expediente con reportes fechados y una política DLP en modo de prueba para evaluar.

Alguien cayó en un correo de phishing

Tiempo estimado: De 30 a 60 minutos. En una agencia aduanal de Laredo llegó una falsa factura y un empleado escribió su contraseña. Los dos primeros pasos piden Defender for Office 365 Plan 2.

PrimeroSi alguien ya escribió su contraseña, no esperes a investigar: restablécela y revoca sus sesiones desde el centro de administración de Microsoft Entra. Después sigue estos pasos.

Con Business Premium: sin complementos no alcanza para los pasos 1, 2 y 4, que piden Defender for Office 365 Plan 2 y Microsoft Entra ID P2. Empieza por los pasos 3 y 5.

  1. Correo malicioso por remitente y dominio Solo lectura
    Averigua quién más recibió la campaña.
  2. Quién hizo clic en ligas maliciosas Solo lectura
    Confirma quién hizo clic en la liga.
  3. Inicios de sesión fuera de México Solo lectura
    Busca accesos desde países donde la empresa no opera.
  4. Usuarios en riesgo de Identity Protection Solo lectura
    Revisa si Identity Protection ya marcó a alguien. Requiere Microsoft Entra ID P2.
  5. Incidentes abiertos de Microsoft Defender XDR Solo lectura
    Une lo anterior con lo que Defender ya correlacionó.
  6. Reglas de bandeja sospechosas Solo lectura
    Con -Usuario, busca reglas que reenvíen o escondan correo en la cuenta afectada. Requiere Administrador de Exchange.
  7. Buzones con reenvío de correo Solo lectura
    Confirma que nadie configuró un reenvío a una dirección externa.

Al terminar: la lista de cuentas afectadas para restablecer contraseñas y los hechos que necesita legal para evaluar si hay que avisar a los titulares.

Limpieza y control de buzones

Tiempo estimado: Una mañana. Una constructora en Hermosillo con 120 personas recibe quejas de buzones llenos y nadie sabe quién revisa los compartidos de cada obra. Todos estos pasos solo leen: no cambian nada.

  1. Ranking de buzones por tamaño Solo lectura
    Empieza por el ranking para ver dónde se concentra el espacio.
  2. Buzones cerca de su cuota de envío Solo lectura
    Atiende primero a quien está por dejar de enviar correo.
  3. Revisión de buzones compartidos Solo lectura
    Localiza compartidos sin delegados, con el inicio de sesión abierto o que ya piden licencia por tamaño.
  4. Buzones sin actividad del usuario Solo lectura
    Ubica buzones sin actividad en 90 días o más. Confírmalo con el responsable antes de tocarlos.
  5. Alias de correo por destinatario Solo lectura
    Revisa alias acumulados de personas que cambiaron de área o de marcas que ya no existen.

Al terminar: una lista de buzones por archivar, compartidos sin responsable y alias por retirar, con el dueño de cada decisión.

Revisar si una cuenta de correo fue comprometida

Tiempo estimado: De 30 a 60 minutos. Un proveedor de un despacho contable en Monterrey recibió una factura con otra cuenta bancaria desde un correo legítimo, y la persona dice que nunca la envió.

PrimeroSi hay señales claras, no esperes a investigar: restablece la contraseña y revoca las sesiones desde el centro de administración de Microsoft Entra. Las reglas y los reenvíos siguen ahí después de cambiar la contraseña, y hay que retirarlos a mano.

Con Business Premium: alcanza para estos pasos, pero la auditoría estándar conserva los eventos 180 días y debe estar activa. Compruébalo con Estado de la auditoría unificada.

  1. Reglas de bandeja sospechosas Solo lectura
    Con -Usuario, busca reglas que reenvíen, borren o escondan correo. Requiere Administrador de Exchange.
  2. Buzones con reenvío de correo Solo lectura
    Revisa si el buzón reenvía a una dirección externa. Las reglas del paso anterior no aparecen aquí.
  3. Permisos delegados en buzones Solo lectura
    Ve quién más tiene acceso a ese buzón. Solo muestra permisos directos: los que vienen de un grupo aparecen a nombre del grupo.
  4. Actividad de auditoría de un usuario Solo lectura
    Reúne lo que hizo la cuenta en esas fechas. El reporte contiene datos personales: limita quién lo ve.
  5. Rastreo de mensajes Solo lectura
    Confirma qué mensajes salieron y a quién, para saber a quién hay que avisar.

Al terminar: los hechos para retirar lo que dejó el atacante, avisar a los contactos afectados y que legal evalúe si hay que notificar a los titulares.

Bajar el gasto y la exposición en Azure

Tiempo estimado: Una tarde. Una empresa de logística en Monterrey ve subir su factura de Azure cada trimestre y nadie sabe por qué.

  1. Gasto del mes por grupo de recursos Solo lectura
    Identifica dónde se concentra el gasto del mes.
  2. Discos, IP públicas y NIC sin uso Solo lectura
    Localiza discos, IP y tarjetas de red sin uso.
  3. VMs apagadas que siguen cobrando cómputo Solo lectura
    Encuentra VMs apagadas que siguen cobrando cómputo.
  4. NSG con puertos sensibles abiertos a Internet Solo lectura
    Revisa si RDP, SSH o SQL están abiertos a Internet.
  5. Recursos fuera de las regiones permitidas Solo lectura
    Ten claro en qué regiones están tus recursos.

Al terminar: una lista de ahorros con su responsable y los puertos por cerrar primero.