Demostrar cómo el acceso controlado a carpetas (CFA) impide que una aplicación que no sea de confianza escriba en una carpeta protegida.

Use la herramienta de prueba de acceso controlado a carpetas (CFA) para ver cómo Microsoft Defender Antivirus evalúa y bloquea una aplicación que no es de confianza que intenta escribir un archivo en una carpeta protegida.

CFA ayuda a proteger datos valiosos de aplicaciones malintencionadas y amenazas, como ransomware, al permitir que solo las aplicaciones de confianza modifiquen o eliminen archivos en carpetas protegidas. Para obtener más información, consulte Introducción al acceso controlado a carpetas.

Prerequisites

• Windows 10, versión 1709 (octubre de 2017) o posterior.
• Microsoft Defender Antivirus habilitado y en modo activo.

Para obtener la lista completa de los requisitos, los sistemas operativos admitidos y los modos de protección, consulte Información general sobre el acceso controlado a carpetas (CFA).

Configuración de la demostración

Get-MpPreference | Format-List EnableControlledFolderAccess

1. Descargue y extraiga el script WindowsDefender_CFA_SetupScript.ps1 de instalación de este archivo ZIP: https://demo.wd.microsoft.com/Content/CFA_SetupScript.zip. El script de instalación automatiza los pasos siguientes:

   • Restablece cualquier configuración de demostración existente desactivando CFA y quitando c:\demo de la lista de carpetas protegidas (sin afectar a las demás carpetas protegidas).
   • Crea la c:\demo carpeta y la agrega a la lista de exclusión de antivirus de Microsoft Defender (sin afectar a las demás exclusiones).
   • Descarga la herramienta de prueba CFA (https://demo.wd.microsoft.com/Content/CFAtool.exe) a c:\demo\CFATestFiles.
   • Activa CFA en modo habilitado (bloquear) y agrega c:\demo a la lista de carpetas protegidas (sin afectar a las demás carpetas protegidas).

   Importante

   El script de configuración se añade c:\demo a la lista de exclusiones de Microsoft Defender Antivirus. No huyas CFAtool.exe de c:\demo ni de ninguna de sus subcarpetas. Los procesos que se ejecutan desde una ruta excluida de antivirus pueden ser tratados como confiables y pueden no generar el bloque o detección CFA esperado. Antes de ejecutar la demostración, copia CFAtool.exe a una carpeta que no esté excluida de Microsoft Defender Antivirus.

   Como WindowsDefender_CFA_SetupScript.ps1 se comparte con la demostración de ransomware, también descarga un archivo de prueba de ransomware (ransomware_testfile_unsigned.exe) y un archivo de prueba limpio (testfile_safe.txt). Estos archivos no se usan en esta demostración de CFA.

2. Antes de ejecutar el script, permita su ejecución estableciendo la directiva de ejecución en RemoteSigned para la sesión actual. Ejecute el siguiente comando en una sesión de PowerShell con privilegios elevados:

   Set-ExecutionPolicy -Scope Process -ExecutionPolicy RemoteSigned
   

   RemoteSigned es más seguro que Unrestricted porque sigue bloqueando los scripts sin firmar que se descargan desde Internet y el Process ámbito revierte el cambio al cerrar la sesión.

   Tip

   Dado que el script de instalación no está firmado, RemoteSigned lo bloquea si el script sigue llevando la marca "descargada de Internet" (la marca de la web). Si esto sucede, confirme que el script procede de un origen de confianza y, a continuación, desbloquee antes de ejecutarlo:

   Unblock-File -Path "<path>\WindowsDefender_CFA_SetupScript.ps1"
   

O bien, si prefiere no ejecutar el script, realice los pasos mínimos siguientes en su lugar. No necesita la c:\demo carpeta que crea el script, ya que la herramienta de prueba de CFA puede tener como destino cualquier carpeta protegida, incluidas las carpetas protegidas predeterminadas, como la carpeta Documentos.

1. Active CFA en modo habilitado (bloquear) ejecutando el siguiente comando en una sesión de PowerShell con privilegios elevados:

   Set-MpPreference -EnableControlledFolderAccess Enabled
   

   Para ver otras formas de activar CFA y para los modos disponibles, consulte Configuración del acceso controlado a carpetas (CFA).

2. Descargue la herramienta de prueba de CFA de https://demo.wd.microsoft.com/Content/CFAtool.exe.

Ejecución de la demostración

Si ejecutó el script de instalación, use la herramienta de pruebas que el script descargó:

1. En el Explorador de archivos, ve a c:\demo\CFATestFiles, y copia CFAtool.exe a una carpeta que no esté excluida de Microsoft Defender Antivirus. No ejecutes la herramienta ni desde c:\demo ninguna de sus subcarpetas.

2. Ejecuta CFAtool.exe desde la carpeta que no esté excluida de Microsoft Defender Antivirus.

3. En la herramienta de prueba de CFA, configure los valores siguientes:

   • Nombre de archivo: de forma predeterminada, TestFile.txt está seleccionado, pero puede cambiar el nombre de archivo y el tipo.
   • Guardar archivo en: seleccione Ruta de acceso personalizada y escriba c:\demo (que el script de instalación agregó a la lista de carpetas protegidas).
   • Volver a cargar: deje esta opción seleccionada.

   Cuando esté listo, seleccione Crear archivo.

O bien, si ha usado los pasos manuales mínimos, ejecute la herramienta de prueba en cualquier carpeta protegida:

1. Ejecute la herramienta de prueba de CFA (CFAtool.exe) que descargó.

2. En la herramienta de prueba de CFA, configure los valores siguientes:

   • Nombre de archivo: de forma predeterminada, TestFile.txt está seleccionado, pero puede cambiar el nombre de archivo y el tipo.
   • Guardar archivo en: seleccione cualquier carpeta protegida por CFA. Por ejemplo:
     • Documents
     • Imágenes
     • Música
     • Vídeos

   Cuando esté listo, seleccione Crear archivo.

En ambos casos, CFA impide que la herramienta de prueba escriba en la carpeta protegida y aparezca una notificación. Para ver los eventos resultantes de bloqueo y auditoría, consulte Supervisar la actividad de acceso controlado a carpetas (CFA).

Limpieza de la demostración

Si ejecutó el script de instalación, deshaga la demostración ejecutando el script de limpieza:

$p = Get-MpPreference;0..([math]::Min($p.AttackSurfaceReductionRules_Ids.Count,$p.AttackSurfaceReductionRules_Actions.Count)-1) | % {[pscustomobject]@{Id=$p.AttackSurfaceReductionRules_Ids[$_];Action=$p.AttackSurfaceReductionRules_Actions[$_]}} | Format-Table -AutoSize

1. Descargue y extraiga el script WindowsDefender_ASR_CFA_CleanupScript.ps1 de limpieza de este archivo ZIP: https://demo.wd.microsoft.com/Content/ASR_CFA_CleanupScript.zip. El script de limpieza realiza las siguientes tareas:

   • Desactiva CFA y quita c:\demo de la lista de carpetas protegidas (sin afectar a las otras carpetas protegidas).
   • Aunque esta demostración de CFA no usa reglas de reducción de la superficie expuesta a ataques (ASR), el script se comparte con la demostración de reglas de ASR, por lo que el script deshabilita las siguientes reglas de ASR:
     • Reglas de ASR utilizadas por la demostración de reglas de ASR
     • Impedir que Adobe Reader cree procesos secundarios (7674ba52-37eb-4a4f-a9a1-f0f9a1619a2c)
     • Impedir que la aplicación de comunicación de Office cree procesos secundarios (26190899-1602-49e8-8b27-eb1d0a1ce869)
   • Descarga una herramienta de descifrado (ransomware_cleanup_encrypt_decrypt.exe) en c:\demo\CleanupTools. Esta herramienta se utiliza en la demostración de ransomware, no en este escenario de herramienta de prueba.

2. El script de limpieza no está firmado, así que establezca la directiva de ejecución y desbloquee el script como se describe en Configuración de la demostración. A continuación, ejecute el script de limpieza en una sesión de PowerShell con privilegios elevados.

O bien, si ha usado los pasos manuales mínimos, vuelva a establecer CFA en el modo original que anotó en Configuración de la demostración ejecutando el siguiente comando en una sesión de PowerShell con privilegios elevados, donde <Mode> es uno de los modos CFA disponibles:

Set-MpPreference -EnableControlledFolderAccess <Mode>

Por ejemplo, para desactivar CFA de nuevo (el estado predeterminado), ejecute el siguiente comando:

Set-MpPreference -EnableControlledFolderAccess Disabled

Si ejecutó el script de instalación, se creó una carpeta c:\demo con archivos de prueba y se agregó una exclusión c:\demo de Microsoft Defender Antivirus, pero el script de limpieza no elimina ninguna de ellas. Para revertir completamente los cambios:

1. Elimine la c:\demo carpeta y los archivos de prueba que contiene. Realice este paso antes de quitar la exclusión en el paso siguiente. De lo contrario, cuando se reanuda la protección en tiempo real para la carpeta, Microsoft Defender Antivirus detecta los archivos de prueba restantes (como el archivo de prueba ransomware y la herramienta de descifrado) y los pone en cuarentena. Ejecute el siguiente comando en una sesión de PowerShell con privilegios elevados:

   Remove-Item -Path C:\demo -Recurse -Force
   

2. Quite la c:\demo exclusión de antivirus de Microsoft Defender ejecutando el siguiente comando en una sesión de PowerShell con privilegios elevados:

   Remove-MpPreference -ExclusionPath C:\demo
   

Contenido relacionado

• Introducción al acceso controlado a carpetas (CFA)
• Configuración del acceso controlado a carpetas (CFA)
• Supervisión de la actividad de acceso controlado a carpetas (CFA)
• Microsoft Defender para punto de conexión: escenarios de demostración