SharePoint, un pilar fundamental de la colaboración y el uso compartido de archivos en Microsoft 365, ha evolucionado desde su inicio como servidor en 2001 hasta convertirse en una tecnología alojada por Microsoft. Aunque muchas organizaciones utilizan SharePoint Online, su complejidad inherente puede ocultar serios riesgos de seguridad, especialmente en lo que respecta a los permisos ocultos. Este artículo se centrará en estos desafíos y cómo los profesionales de IT pueden mitigarlos.
La brecha de visibilidad de permisos en SharePoint
Uno de los principales problemas de seguridad en SharePoint es la falta de visibilidad en la gestión de permisos. Los sitios de SharePoint, utilizados tanto para equipos y departamentos como para el almacenamiento de archivos backend en OneDrive for Business y Microsoft Teams, presentan una estructura de permisos que no siempre es fácil de auditar. Esto se agrava con la falta de una jerarquía visual clara, lo que obliga a los administradores a examinar cada carpeta individualmente para determinar los permisos asignados. Los principales desafíos y problemas son la herencia de permisos y la existencia de grupos y usuarios ocultos.
Herencia de permisos y seguridad
La herencia de permisos, un legado de su origen como software local, conlleva serias implicaciones de seguridad. Los permisos heredados pueden otorgar accesos a usuarios no autorizados, creando brechas de seguridad inadvertidas. La complejidad aumenta cuando se considera que la interfaz de usuario de SharePoint no muestra claramente todos los permisos activos, especialmente cuando los grupos y usuarios están ocultos.
Existencia de grupos y usuarios ocultos
La gestión de permisos en SharePoint se complica con la existencia de grupos y usuarios ocultos. Los administradores deben navegar por diferentes portales (Microsoft 365, Entra ID y SharePoint Admin Center) para obtener una imagen completa de los permisos asignados. Además, algunos grupos no son visibles en los centros de administración principales, lo que dificulta aún más la auditoría y el control de acceso.
Niveles de permisos personalizados
SharePoint Online proporciona cuatro niveles de permisos (propietario, puede editar, puede ver y no puede descargar), pero SharePoint Server tiene más niveles y permite crear permisos personalizados. Esta capacidad de crear niveles personalizados puede generar confusión y riesgos de seguridad. Un nivel de permiso personalizado con el mismo nombre que uno predeterminado puede otorgar permisos más amplios de lo que indica su nombre, llevando a malentendidos y potenciales accesos no autorizados. Es crucial revisar y gestionar estos niveles de permisos cuidadosamente para evitar configuraciones inseguras.
Hornetsecurity fabricante del que Tech2Business es mayorista, con su solución 365 Permission Manager, detecta y corrige estos problemas al mostrar todos los niveles de permisos personalizados creados y se aseguran de que coincidan con las políticas de acceso de la organización.
Permisos del sitio y la biblioteca de documentos
Otro riesgo es que puedes establecer permisos personalizados en la biblioteca de documentos, distintos de los del sitio. Aunque estos permisos son visibles en auditorías, no se pueden cambiar desde la interfaz de usuario. 365 Permission Manager detecta estas discrepancias y prioriza su corrección, asegurando que todos los permisos se alineen con las políticas de seguridad de la organización.
Bibliotecas de documentos ocultas
Asimismo, es posible crear bibliotecas de documentos y ocultarlas, que además pueden ser utilizadas por atacantes para localizar y robar información sin ser detectados. Estas bibliotecas pueden ocultarse de la navegación del sitio y concederse permisos exclusivos, convirtiéndose en un punto ciego para la seguridad organizacional. Nuestra herramienta revela estas bibliotecas ocultas y sus permisos para corregirlas, proporcionando una capa adicional de seguridad.
Mitigación de riesgos
- Revisión regular de permisos: implementar auditorías periódicas utilizando herramientas como scripts personalizados y soluciones de terceros para obtener una visibilidad completa de los permisos heredados y explícitos.
- Políticas de seguridad estrictas: definir y aplicar políticas que limiten la herencia de permisos y aseguren revisiones exhaustivas antes de asignar permisos a nivel de elemento.
- Uso de herramientas de gestión de permisos: las herramientas como 365 Permission Manager de Hornetsecurity pueden ofrecer una visión integral de los permisos, mostrando todos los usuarios y niveles de acceso, y permitiendo ajustes rápidos y eficientes.
- Capacitación y concienciación: ofrecer formación a administradores y usuarios avanzados en la gestión adecuada de permisos y concienciar sobre los riesgos asociados puede evitar futuros ciberataques.
- Automatización de auditorías: utilizar scripts y soluciones automatizadas para realizar auditorías regulares y detectar configuraciones de permisos inseguras.
Mejora tu nivel de seguridad con 365 Permission Manager
Los permisos ocultos en SharePoint representan un desafío significativo para la seguridad de la información. Sin embargo, mediante una gestión proactiva y el uso de herramientas y prácticas adecuadas, es posible mitigar estos riesgos. Los profesionales de IT deben mantenerse alerta y actualizar constantemente sus conocimientos y herramientas para asegurar que los entornos de SharePoint permanezcan seguros y eficientes.
En Tech2Business, comprendemos la importancia de la seguridad y la visibilidad en SharePoint. La compatibilidad con versiones anteriores de SharePoint es valiosa, pero también implica riesgos de seguridad. Las empresas deben ser conscientes de que podrían estar comprometidas sin saberlo. Por ello, recomendamos el uso de 365 Permission Managerde Hornetsecurity. Con esta herramienta, podrás recuperar el control de tu entorno SharePoint y proteger tu empresa de inmediato, asegurando que los permisos se gestionan de manera efectiva y segura.
Fuente de información: Hornetsecurity.