Despliega dispositivos Windows utilizando la herramienta de despliegue Microsoft Defender

La herramienta de despliegue Microsoft Defender es una aplicación ligera y autoactualizable que instala los requisitos previos e integra dispositivos Windows compatibles con Microsoft Defender para punto de conexión. Ejecuta la herramienta de forma interactiva en dispositivos individuales, o automatízala con parámetros de línea de comandos, archivos de configuración, Políticas de Grupo, Microsoft Configuration Manager u otro sistema de despliegue de software.

Utiliza la herramienta de despliegue como un método de incorporación independiente. No se integra con la incorporación a través de Microsoft Intune, Microsoft Defender para la nube u otros métodos de despliegue. Antes de empezar, revisa los sistemas operativos compatibles y los requisitos previos.

La herramienta de despliegue ofrece estas características:

• Manejo de los requisitos previos: Verifica las actualizaciones requeridas y resuelve problemas que bloquean el despliegue.
• Registro y retroalimentación: Registra las operaciones en un registro local y muestra descripciones de error en modo interactivo.
• Instalación y actualizaciones: Evita reinstalar componentes existentes y descarga los componentes actuales cuando sea necesario.
• Automatización: Soporta parámetros de línea de comandos y archivos de configuración reutilizables para despliegues automatizados.
• Staging: Descarga archivos de instalación de dispositivos objetivo que no pueden descargar los archivos directamente.
• Modo pasivo del servidor: Configura el antivirus Microsoft Defender para que funcione en modo pasivo en Windows Server.
• Infraestructura de escritorio virtual no persistente (VDI): Ayuda a que los dispositivos recreados con el mismo nombre de host aparezcan como un solo dispositivo en el portal de Defender.
• Restricciones del paquete: Requiere una clave de acceso generada por el portal para el proceso de incorporación y admite fechas de expiración del paquete de un día a un año. Utiliza el periodo de validez práctico más corto.
• Gestión de paquetes: Lista los paquetes de despliegue en el portal de Microsoft Defender y te permite filtrarlos por propiedades como estado y fecha de caducidad.
• Ayuda integrada: Muestra las opciones disponibles en línea de comandos cuando ejecutas DefenderDT.exe -?.

En modo interactivo, la herramienta solicita la clave de acceso desde el portal Defender, instala las actualizaciones necesarias y los componentes de Defender, y conecta el dispositivo a Defender para Endpoint. Si la instalación requiere reiniciar, inicia sesión tras el reinicio para que la herramienta pueda reanudarse.

Para despliegues avanzados y a gran escala, utiliza parámetros de línea de comandos o un archivo de configuración.

Sistemas operativos admitidos

La herramienta de implementación de Defender admite los siguientes sistemas operativos:

• Windows 11
• Windows 10, versión 1809 (noviembre de 2018) o posterior
• Windows 7 SP1
• Windows Server 2016 o posterior
• Windows Server 2012 R2
• Windows Server 2008 R2 SP1

Requisitos previos

Revisa los requisitos generales y los requisitos para Windows 7 SP1 y Windows Server 2008 R2 SP1 antes de desplegar la herramienta.

Requisitos previos generales

• La mayoría de las operaciones requieren privilegios administrativos.

• Permitir el acceso a definitionupdates.microsoft.com. La herramienta descarga actualizaciones y archivos de instalación desde este dominio. Como los archivos están alojados en una red de distribución de contenido, los rangos de direcciones IP asociados no son estáticos ni predecibles.

• La herramienta comprueba la conectividad con tu organización antes de la incorporación. Otras funciones de Defender para Endpoint también requieren acceso a URLs de servicio como *.endpoint.security.microsoft.com. Para conocer los requisitos completos, consulte Configurar su entorno de red para asegurar la conectividad con el servicio Defender for Endpoint.

Para una conectividad fluida, excluya de la inspección SSL/TLS, la interceptación HTTPS y la intermediación mediante proxy de tipo «man in the middle» (MITM) el tráfico dirigido a *.endpoint.security.microsoft.com. Si habilita la inspección SSL, es posible que los sensores de Defender for Endpoint no puedan comunicarse con los servicios de back-end, lo que puede provocar fallos de incorporación o de conectividad.

Requisitos previos para Windows 7 SP1 y Windows Server 2008 R2 SP1

• Los dispositivos deben ejecutar una versión x64 de Windows 7 SP1 o Windows Server 2008 R2 SP1. Instala las últimas actualizaciones disponibles para reducir el tiempo de instalación y la probabilidad de reiniciar.

• Instala soporte para firmar código SHA-2. La herramienta de despliegue requiere al menos KB4474419.

  • Instala la actualización de la pila de servicio (SSU) KB4490628. Windows Update ofrece automáticamente la SSU requerida.

  • Instala la actualización SHA-2 KB4474419, lanzada el 10 de septiembre de 2019. Windows Update ofrece la actualización necesaria automáticamente.

• En Windows Server 2008 R2 SP1, instala .NET Framework 3.5 o posterior.

Generación y descarga de un nuevo paquete de incorporación

Genera un paquete de incorporación y una clave de acceso en el portal de Microsoft Defender. Necesitas la clave de acceso cuando ejecutas la herramienta de forma interactiva o con el -Key parámetro.

1. En la página de Incorporación del portal de Microsoft Defender en https://security.microsoft.com/securitysettings/endpoints/onboarding, configura los siguientes ajustes:

   • Paso 1: Selecciona un sistema operativo para iniciar el despliegue: Selecciona Windows.
   • Paso 2: Elija una opción de implementación: Seleccione Incorporar en Implementar descargando y aplicando paquetes o archivos>Herramienta de implementación de Defender.

   

2. En la herramienta de despliegue Generate Defender con un desplegable de clave de acceso que se abre, configura el paquete:

   • Nombre: Introduce un nombre único y descriptivo de paquete.
   • Organización: Verifica la organización mostrada.
   • Caducidad: Utiliza el periodo de validez práctico más corto para reducir el riesgo de uso no autorizado del paquete:
     • En 7 días (por defecto)
     • En 30 días
     • Personalizado (hasta un año)

   Selecciona Generar.

   

3. Cuando el paquete esté listo, copia y almacena la clave de acceso de forma segura.

   

4. Selecciona Descargar herramienta de despliegue y guarda el ejecutable descargado.

Implementación de la seguridad del punto de conexión de Defender en dispositivos

Ejecuta la herramienta de despliegue de Defender de forma interactiva o no interactiva.

Uso interactivo

Utiliza el modo interactivo para un dispositivo o un pequeño número de dispositivos. Haz doble clic en el archivo ejecutable para usar la configuración predeterminada del proceso de incorporación, o ejecuta la herramienta desde el Símbolo del sistema para especificar opciones.

Para integrar un dispositivo con los ajustes por defecto:

1. Haga doble clic en el ejecutable para iniciarlo.

2. En el cuadro de diálogo que confirma que comenzará la incorporación, selecciona Continuar.

3. Escriba la clave de la herramienta de implementación de Defender que copió del portal y, a continuación, seleccione Continuar.

   

4. Espera a que termine la instalación y luego selecciona OK. Si la herramienta requiere reiniciar, inicia sesión después del reinicio para que la instalación pueda reanudarse.

Uso no interactivo

Utiliza la interfaz de línea de comandos para automatizar la instalación e incorporación o para ejecutar otras operaciones, como comprobaciones de requisitos previos.

Para los parámetros disponibles, consulte la referencia de comandos de la herramienta de despliegue de Defender. Para ver la referencia de comandos de la versión descargada de tu herramienta, ejecuta DefenderDT.exe -?.

Implementaciones avanzadas y a gran escala

Ejecuta la herramienta de despliegue de Defender de forma no interactiva desde la Directiva de Grupo, Microsoft Configuration Manager u otro sistema de despliegue de software. Utiliza parámetros de línea de comandos para personalizar la incorporación, el staging, las actualizaciones, los reinicios, los proxies y otras operaciones.

Para despliegues recurrentes, utiliza un archivo de configuración en lugar de repetir parámetros de línea de comandos. Ejecuta la herramienta con -MakeConfig para generar DefenderDTconfig.txt. Edita la configuración y luego cárgala con -Config:<path>. Si no especificas una ruta, la herramienta busca en DefenderDTconfig.txt la carpeta actual. Para un ejemplo, véase Usar un archivo de configuración.

Referencia de comandos de la herramienta de despliegue de Defender

La siguiente tabla enumera los parámetros disponibles en la herramienta de despliegue de Defender versión 1.0.0.6 (septiembre de 2026). Ejecuta DefenderDT.exe -? para verificar los parámetros disponibles en tu versión descargada.

Utiliza un Símbolo del sistema con privilegios elevados (una ventana del Símbolo del sistema que hayas abierto seleccionando Ejecutar como administrador) para la incorporación, la retirada, la desinstalación, la actualización y la generación de archivos de configuración. Las operaciones -Help, -Precheck y -Stage no requieren privilegios administrativos. Un archivo de configuración también omite la comprobación de administrador cuando solo especifica precheck o staging.

Ejemplos de uso

Sustituye las rutas de marcador de posición, las claves y las direcciones de proxy en los siguientes ejemplos por los valores de tu entorno. Usa un símbolo elevado excepto para los ejemplos de precheck y staging.

• Ejecuta la secuencia de incorporación predeterminada sin mostrar diálogos. La herramienta utiliza WindowsDefenderATP.onboarding desde la carpeta actual:

  DefenderDT.exe -Quiet
  

• Incorpora usando una clave de acceso, configura un proxy, permite un reinicio obligatorio y evita diálogos:

  DefenderDT.exe -Key:<access-key> -Proxy:https://proxy.contoso.com:8080 -AllowReboot -Quiet
  

• Incorporar mediante un archivo de incorporación en una ubicación de red sin mostrar cuadros de diálogo:

  DefenderDT.exe -File:\\server.contoso.com\share\WindowsDefenderATP.onboarding -Quiet
  

• Desincorpore el dispositivo mediante un archivo local de desincorporación sin solicitar confirmación ni mostrar cuadros de diálogo:

  DefenderDT.exe -Offboard -File:C:\Packages\WindowsDefenderATP.offboarding -Yes -Quiet
  

• Revisa los requisitos previos, muestra resultados detallados y evita diálogos:

  DefenderDT.exe -PreCheck -Verbose -Quiet
  

• Descarga los archivos de instalación de todas las versiones compatibles de Windows en una ruta de almacenamiento provisional absoluta:

  DefenderDT.exe -Stage:C:\DefenderDT\StagedFiles
  

Usar un archivo de configuración

Genera un archivo de configuración cuando quieras reutilizar los mismos parámetros en múltiples despliegues.

1. Generar DefenderDTconfig.txt en la carpeta actual:

   DefenderDT.exe -MakeConfig
   

2. Ábrelo DefenderDTconfig.txt en un editor de texto y configura los parámetros para tu despliegue. Utiliza rutas absolutas en los parámetros que aceptan una ruta.

3. Ejecute la herramienta con el archivo de configuración. El siguiente ejemplo carga el archivo desde una ubicación de red:

   DefenderDT.exe -Config:\\server.contoso.com\share\DefenderDTconfig.txt
   

   Si DefenderDTconfig.txt está en la carpeta actual, ejecuta DefenderDT.exe -Config.

Implementación mediante directiva de grupo

Utiliza una tarea programada inmediata de Política de grupo para ejecutar la herramienta de implementación como SYSTEM con privilegios elevados. Para los pasos genéricos para crear, configurar, enlazar y probar la tarea programada, consulte Dispositivos a bordo usando la Directiva de grupo.

Utiliza estos valores específicos de la herramienta de despliegue de Defender:

• Almacena DefenderDT.exe, el .onboarding archivo y cualquier DefenderDTconfig.txt archivo en una ubicación compartida de solo lectura a la que puedan acceder los dispositivos objetivo.
• Para Program/script, introduzca la ruta completa de la Convención Universal de Nombres (UNC) hacia DefenderDT.exe. Utiliza el nombre de dominio totalmente calificado (FQDN) del servidor de archivos.
• En Agregar argumentos, introduce los parámetros de línea de comandos necesarios. Por ejemplo, úsalo -File:\\server\share\WindowsDefenderATP.onboarding -Quiet cuando el archivo de incorporación no está en el directorio de trabajo de la herramienta.
• Ejecuta la tarea como NT AUTHORITY\SYSTEM, independientemente de si un usuario está conectado o no, y selecciona Ejecutar con los mayores privilegios.
• Prueba el objeto de Política de Grupo (GPO) con un grupo de dispositivos limitado antes de un despliegue más amplio.

Para más información sobre la consola de gestión, consulte Consola de Gestión de Políticas de Grupo.

Dar de baja un dispositivo

Para desconectar un dispositivo, descarga el paquete de desconexión desde el portal Defender, transfiere al dispositivo objetivo y ejecuta la herramienta de despliegue junto con el paquete.

Paso 1: Descargar el paquete de retirada

1. En la página de Retirada del portal de Microsoft Defender en https://security.microsoft.com/securitysettings/endpoints/offboarding, seleccione Windows en Seleccionar sistema operativo.

2. En la herramienta de despliegue de Defender, selecciona Descargar paquete para descargar el .zip archivo que contiene el script de desactivación.

   

Paso 2: Ejecutar el comando de retirada

Completa estos pasos en el dispositivo que quieres dar de baja:

1. Copia el .zip archivo al dispositivo destino y extrae el .offboarding archivo.

2. Ejecuta la herramienta de despliegue en un Símbolo elevado con la ruta absoluta al archivo extraído .offboarding . Por ejemplo:

   DefenderDT.exe -Offboard -File:C:\Packages\WindowsDefenderATP.offboarding
   

3. Escribe Y en el cuadro de confirmación para continuar.

4. Espera a que finalice el proceso. Tras una desvinculación correcta, la herramienta muestra el siguiente mensaje:

   Microsoft Defender deployment tool completed, exit code: 0 [Success]
   

Consideraciones y limitaciones

Revisa las limitaciones generales y las de Windows 7 SP1 y Windows Server 2008 R2 SP1.

Consideraciones y limitaciones generales

• Si la secuencia interactiva requiere reinicio, inicia sesión de nuevo después del reinicio para que la herramienta pueda reanudarse. De lo contrario, el dispositivo no se ha incorporado por completo.

• En Windows Server 2016 y posteriores, el paso de Habilitar la función 'Windows-Defender' podría fallar si se desinstalaba o eliminaba la función de Microsoft Defender Antivirus. La interfaz de usuario y el registro local muestran el código 710 de salida y EnableFeatureFailed. El log también podría contener error 14081 y 0x3701 The referenced assembly could not be found. Abre un caso de soporte para Windows Server si te encuentras con este problema.

Problemas conocidos y limitaciones para Windows 7 SP1 y Windows Server 2008 R2 SP1

• Podrías recibir alertas sobre sense1ds.dll, MpCmdRun.exe, MsSense.exe, msmplics.dll y mpsvc.dll cargadas por mpcommu.dll o por mpclient.dll. Las alertas deberían resolverse con el tiempo.

• En Windows 7 SP1 y Windows Server 2008 R2 SP1 con el paquete Desktop Experience instalado, el Centro de Acción podría mostrar que Windows no encontró software antivirus en este ordenador. La notificación no indica un problema de despliegue.

• Utiliza la versión previa de la herramienta de analizador cliente para recopilar registros y solucionar problemas de conectividad en Windows 7 SP1 y Windows Server 2008 R2 SP1. El analizador requiere PowerShell 5.1 o posterior.

• Microsoft Defender Antivirus no ofrece una interfaz de usuario local en estos sistemas operativos. Para gestionar la configuración de Microsoft Defender Antivirus localmente, instala PowerShell 5.1 o posterior.

• La configuración de la Directiva de Grupo requiere un Almacén Central con las plantillas actuales de Directiva de Grupo en un controlador de dominio. Para usar el Editor de Políticas de Grupo Local, actualiza WindowsDefender.admx manualmente y WindowsDefender.adml con las plantillas actuales de Windows 11.

• La solución de seguridad para endpoints de Defender se instala en C:\Program Files\Microsoft Defender para punto de conexión.

• El parámetro -Passive de la herramienta de implementación se aplica a Windows Server. No es compatible con Windows 7 SP1.

Solución de problemas

Revisa el registro de herramientas de despliegue de Defender para detectar problemas durante la instalación y la incorporación. El registro se encuentra en:

C:\ProgramData\Microsoft\DefenderDeploymentTool\DefenderDeploymentTool-<COMPUTERNAME>.log

La herramienta también registra eventos en estos registros de eventos de Windows:

• Incorporación: Registros de Windows > Aplicación > Origen: WDATPOnboarding
• Offboarding: Registros de Windows > Aplicación > Origen: WDATPOffboarding

Para verificar que la instalación ha sido exitosa, realiza estas comprobaciones:

1. Compruebe que los servicios se ejecutan con los siguientes comandos:

   Sc.exe query sense
   
   Sc.exe query windefend
   

   Debería ver la siguiente salida:

   SERVICE_NAME: sense
           TYPE               : 10  WIN32_OWN_PROCESS
           STATE              : 4  RUNNING
                                   (STOPPABLE, NOT_PAUSABLE, ACCEPTS_PRESHUTDOWN)
           WIN32_EXIT_CODE    : 0  (0x0)
           SERVICE_EXIT_CODE  : 0  (0x0)
           CHECKPOINT         : 0x0
           WAIT_HINT          : 0x0
   
   SERVICE_NAME: windefend
           TYPE               : 10  WIN32_OWN_PROCESS
           STATE              : 4  RUNNING
                                   (STOPPABLE, NOT_PAUSABLE, ACCEPTS_SHUTDOWN)
           WIN32_EXIT_CODE    : 0  (0x0)
           SERVICE_EXIT_CODE  : 0  (0x0)
           CHECKPOINT         : 0x0
           WAIT_HINT          : 0x0
   

2. Para los registros, ajustes y otra información de diagnóstico de Defender Antivirus, consulte Recopilar datos de diagnóstico de Microsoft Defender Antivirus.

3. Usa la herramienta de análisis cliente para recopilar registros y solucionar problemas de conectividad en Windows.

Códigos de salida

Para despliegues a gran escala a través de una solución de distribución de software, monitoriza los siguientes códigos de salida:

Contenido relacionado

• Implementación de la solución de seguridad de punto de conexión de Defender para dispositivos Windows 7 SP1 y Windows Server 2008 R2 SP1
• Restricción de acciones de respuesta en recursos de alto valor