Puntos clave
- Los clientes no gestionados que se conectan al entorno ActiveSync de una organización pueden suponer un riesgo y generar puntos ciegos de seguridad.
- Mitiga los posibles riesgos creando un marco de trabajo que gestione y mantenga los datos de los dispositivos para evaluar el cumplimiento y decidir cuáles deben actualizarse, ponerse en cuarentena o retirarse.
- Pasos para obtener los detalles de dispositivos ActiveSync y mantener esta documentación:
- Inventario de todos los dispositivos ActiveSync
- Enriquecimiento con datos de uso y sincronización
- Identificación de dispositivos obsoletos o que incumplen las políticas
- Normalización, registro y exportación de los datos
- Automatización y operación segura de la gestión de dispositivos ActiveSync
- Impulso de las acciones de seguimiento
- Cómo ayuda NinjaOne a crear los datos de dispositivos ActiveSync: despliegue y programación de trabajos, gestión de credenciales, exportación y adjunto de registros, automatización de tickets y tarjetas del cuadro de mando
- Mantén unos datos precisos de los dispositivos ActiveSync para garantizar que los dispositivos que se conectan a entornos ActiveSync cumplen los requisitos de acceso y de política definidos en tu marco de seguridad.
Microsoft ActiveSync es una herramienta esencial para conectar Microsoft Exchange con los dispositivos móviles. Sin embargo, con amenazas cada vez más sofisticadas al acecho, mantener una conexión segura entre Microsoft Exchange y los dispositivos móviles resulta fundamental. Una forma de reforzar la protección consiste en verificar que todos los clientes sean de confianza mediante un marco de trabajo que audite de forma continua las asociaciones de ActiveSync.
En esta guía te explicamos cómo usar el cmdlet Get-ActiveSyncDevice de Microsoft y otros cmdlets relacionados para realizar auditorías periódicas: obtendrás datos de dispositivos precisos y detallados, que podrás combinar con prácticas modernas de informes. Este flujo de trabajo favorece la higiene de los accesos, la aplicación de políticas y la retirada de clientes obsoletos.
Resumen
| Tarea | Finalidad y valor |
| Tarea 1: enumerar todos los dispositivos de ActiveSync | Esta tarea genera un conjunto de datos que sirve de base para las acciones de aplicación de políticas, las comprobaciones de inactividad y las revisiones de retirada de clientes. |
| Tarea 2: enriquecer con datos de uso y sincronización | Esta tarea convierte las entradas de dispositivos sin procesar en elementos accionables para las decisiones de ciclo de vida y cumplimiento. |
| Tarea 3: detectar dispositivos antiguos o que no cumplen las políticas | Permite priorizar acciones correctivas como volver a inscribir al usuario, eliminar el dispositivo o actualizar el cliente. |
| Tarea 4: normalizar, registrar y exportar | Así, los auditores, los equipos de seguridad y los clientes de MSP pueden comparar ejecuciones a lo largo del tiempo y confirmar la reducción de dispositivos de riesgo. |
| Tarea 5: automatizar y operar con seguridad | Esta tarea garantiza que siempre dispongas de datos de dispositivos actualizados sin sobrecarga operativa. |
| Tarea 6: impulsar las acciones de seguimiento | Con esto se cierra el círculo entre los informes, el cumplimiento y la reducción del riesgo. |
Requisitos previos:
Antes de abordar las tareas, debes tener en cuenta los siguientes factores:
- Módulo de PowerShell de Exchange Online y roles necesarios para consultar dispositivos móviles
- Credenciales seguras o autenticación solo de aplicación para ejecuciones desatendidas
- Ruta centralizada para los archivos CSV, JSON y los registros de ejecución
- Matriz de políticas definida para los estados de dispositivo permitido, en cuarentena y bloqueado
Tarea 1: enumerar todos los dispositivos de ActiveSync
Para empezar, debes inventariar todos los dispositivos que usan ActiveSync ejecutando el cmdlet Get-ActiveSyncDevice. Get-ActiveSyncDevice muestra las relaciones directas entre los dispositivos y los buzones. Esto es lo que debes hacer para obtener un conjunto de datos fiable para todo el análisis posterior:
- Conéctate a Exchange Online con PowerShell.
- Obtén la lista completa de dispositivos ejecutando el comando de inventario completo:
Get-ActiveSyncDevice -ResultSize Unlimited |
Select-Object Identity, UserDisplayName, DeviceType, DeviceModel, DeviceOS, DeviceAccessState, DeviceAccessStateReason, ClientVersion, WhenChanged
- Registra los totales y añade a todos los registros el TenantId, la marca de tiempo AsOf y la versión del script.
- Este cmdlet establece una asociación directa entre los dispositivos y los buzones, y sirve como referencia para el análisis posterior.
Tarea 2: enriquecer con datos de uso y sincronización
En esta tarea usarás el cmdlet Get-MobileDeviceStatistics para obtener los detalles de sincronización y el estado de las políticas de los dispositivos móviles asociados a un buzón concreto. Así enriquecerás cada registro con más contexto y capturarás información más detallada sobre la actividad, la inactividad o la vigencia de las políticas.
Estos son los pasos:
- Conéctate a PowerShell de Exchange Online.
- Recorre cada buzón o dispositivo ejecutando este comando:
Get-MobileDeviceStatistics -Mailbox <user> |
Select-Object DeviceFriendlyName, LastSuccessSync, LastPolicyUpdateTime, ClientInformation
- Combina los resultados con tu inventario de referencia (tarea 1) usando DeviceId y UserPrincipalName.
- Calcula los siguientes datos:
- Antigüedad del dispositivo
- Ventana de última sincronización
- Categoría de inactividad (30/60/más de 90 días)
Tarea 3: detectar dispositivos antiguos o que no cumplen las políticas
En este paso evaluarás cada dispositivo para determinar si sigue cumpliendo los requisitos. Estas son las acciones que debes llevar a cabo:
- Marca los dispositivos si:
- Usan versiones del SO desactualizadas
- Usan cadenas ClientVersion antiguas
- Señala los dispositivos que todavía usan autenticación básica o heredada (compáralos con tu referencia de «desactivar la autenticación heredada»).
- Identifica los dispositivos inactivos o los que están en cuarentena permanente o bloqueados.
- Prioriza la limpieza o la nueva inscripción de usuarios según la política.
Tarea 4: normalizar, registrar y exportar
Las siguientes acciones se centran en mantener una auditoría coherente: normaliza todos los campos de salida, aplica convenciones de nomenclatura uniformes y exporta en varios formatos.
Así se hace:
- Estandariza todos los campos:
- DeviceOSVersion
- LastSuccessSync
- State
- ActionRequired
- Exporta los resultados:
- CSV para las revisiones operativas
- JSON para los paneles o las herramientas de ingesta de registros
- Escribe un registro de ejecución que resuma lo siguiente:
- Parámetros
- Número de registros
- Duración
- Conserva al menos 12 meses de resultados para analizar patrones.
Tarea 5: automatizar y operar con seguridad
Esta tarea se aplica a operaciones de MSP multitenant de nivel empresarial, ya que las auditorías manuales no son recomendables en entornos a gran escala. Así puedes crear un marco de automatización para la gestión de dispositivos ActiveSync:
- Autentícate solo con aplicación y pagina los conjuntos de resultados grandes para evitar la limitación de solicitudes.
- Añade lógica de reintento para los errores transitorios y mantén salidas idempotentes.
- Programa inventarios semanales y deltas mensuales para seguir el crecimiento.
- Intégralo con flujos de trabajo de cumplimiento o de alertas para los dispositivos antiguos e inactivos.
Tarea 6: impulsar las acciones de seguimiento
Para completar el marco de trabajo, tienes que aplicar la gobernanza reforzando tanto la seguridad como los flujos de trabajo operativos. Estas son las acciones que debes llevar a cabo:
- Comunicación con los usuarios: envía un aviso e información de configuración a los usuarios cuyos dispositivos necesiten una actualización o una nueva inscripción.
- Remediación: elimina las asociaciones inactivas o aplica una política de cuarentena automatizada con aprobaciones.
- Validación de seguridad: alinea los hallazgos con el acceso condicional y las verificaciones de copia de seguridad de Exchange Online.
- Gobernanza: vincula las métricas a la prevención de ataques de password spraying y a las restricciones de los buzones compartidos.
Tabla resumen de buenas prácticas
| Práctica | Finalidad | Valor aportado |
| Combinar Get-ActiveSyncDevice y Get-MobileDeviceStatistics | Contexto completo | Cobertura de dispositivo, SO y actividad |
| Marcar los clientes inactivos y antiguos | Reducción del riesgo | Menos vías de ataque y menos problemas de sincronización |
| Normalizar y exportar | Auditabilidad | Comparaciones sencillas e informes de cumplimiento |
| Autenticación basada en aplicación | Seguridad | Automatización segura a gran escala |
| Análisis de tendencias | Mejora continua | Reducción verificable de los dispositivos de riesgo |
Ejemplo de punto de contacto con la automatización
Puedes usar la automatización para agilizar la creación, la gestión y el mantenimiento de los datos de dispositivos ActiveSync. Estos son algunos ejemplos:
- Un trabajo programado recorre los buzones
- La recopilación de datos de dispositivos mediante Get-ActiveSyncDevice y Get-MobileDeviceStatistics
- La consolidación y normalización de los resultados
- El cálculo de las categorías de riesgo y la escritura de archivos CSV, JSON y un archivo de registro
- El envío por correo de un resumen con los clientes antiguos, los dispositivos inactivos y los candidatos a cuarentena
Integración con NinjaOne
NinjaOne ofrece herramientas y funcionalidades que agilizan la prevención del robo de datos por parte de empleados.
| Servicio de NinjaOne | Qué es | Cómo ayuda a prevenir el robo de datos por parte de empleados |
| Implementación y programación de trabajos | Programa y ejecuta trabajos de PowerShell | Automatiza la recopilación de datos de dispositivos en todos los buzones |
| Gestión de credenciales | Almacena las credenciales de forma segura | Garantiza un acceso seguro a los buzones para obtener los datos de los dispositivos |
| Creación de tickets | Habilita flujos de trabajo de creación de tickets para los dispositivos marcados | Permite crear tickets mediante scripts o informes para los dispositivos inactivos, antiguos o en cuarentena |
| Tarjetas del panel | Tarjetas visuales en el panel de NinjaOne | Muestra el número de dispositivos, la vigencia de las sincronizaciones obtenida de las auditorías de ActiveSync ejecutadas por script y la reducción de endpoints de riesgo por tenant |
Guía de inicio rápido
Para obtener los detalles de los dispositivos ActiveSync a gran escala con PowerShell en NinjaOne, normalmente harías lo siguiente:
- Crear un script personalizado de PowerShell en la biblioteca de automatización
- Usar los cmdlets de Exchange Management Shell para consultar los dispositivos ActiveSync
- Programar la ejecución del script en todo tu entorno de Exchange
- Guardar los resultados en campos personalizados o exportarlos a CSV para analizarlos
Gestionar y mantener los datos de dispositivos ActiveSync
Contar con una documentación bien mantenida de los datos de dispositivos ActiveSync ayuda a los MSP y a los equipos de TI a decidir qué dispositivos hay que retirar y a tener un inventario de dispositivos preciso. También contribuye a mantener la higiene de Exchange Online para lograr una postura de seguridad más fiable y segura.
Puntos clave
- Usa Get-ActiveSyncDevice y Get-MobileDeviceStatistics para obtener una visión completa de los dispositivos.
- Identifica los clientes antiguos, las compilaciones del SO desactualizadas y las asociaciones inactivas para corregirlas.
- Normaliza y exporta con marcas de tiempo e identificadores de tenant para que las auditorías sean repetibles.
- Automatiza con autenticación basada en aplicación y gestión de errores.
- Vincula los resultados a las mejoras de la postura de seguridad y a los paneles de cumplimiento.
Usa el cmdlet Get-ActiveSyncDevice de Microsoft y aplica otras buenas prácticas para mantener un inventario de dispositivos ActiveSync que cumpla las políticas.
Temas relacionados:
