Configurar la protección de red en Microsoft Defender Antivirus

La protección de red ayuda a evitar que las aplicaciones se conecten a dominios peligrosos que puedan albergar estafas de phishing, exploits y otros contenidos maliciosos en internet. Los administradores de seguridad pueden configurar la protección de red utilizando Microsoft Intune, el portal Microsoft Defender, gestión de dispositivos móviles (MDM), Microsoft Configuration Manager, Directiva de Grupo o PowerShell.

Antes de activar la protección de red en modo bloqueo, utiliza el modo de auditoría en un entorno de prueba para identificar las aplicaciones que estarían bloqueadas.

Antes de empezar, revisa los sistemas operativos compatibles y los requisitos de Microsoft Defender Antivirus en Prerrequisitos.

Requisitos previos

Sistemas operativos admitidos

Los procedimientos de este artículo se aplican a los siguientes sistemas operativos:

• Windows 10, versión 1709 o posterior, o Windows 11 (Pro o Enterprise).
• Windows Server 2012 R2, Windows Server 2016 o Windows Server, versión 1803 o posterior.

La protección de red también está soportada en otras plataformas. Para instrucciones específicas de la plataforma, consulte Protección de red para Linux y Protección de red para macOS.

Requisitos para el antivirus Microsoft Defender

La protección de red requiere Microsoft Defender Antivirus en modo activo con protección en tiempo real activada.

• En Windows 10, Windows 11 y Windows Server, versión 1803 o posterior, activan la protección en tiempo real, la monitorización de comportamiento y la protección entregada en la nube.
• En Windows Server 2012 R2 y Windows Server 2016 con la solución unificada moderna, utiliza la versión 4.18.2001.x.x actualizada o posterior de la plataforma antivirus de Microsoft Defender.

requisitos de Windows Server

Configurar la protección de red en Microsoft Intune

Microsoft Intune es la herramienta recomendada para configurar y distribuir las funcionalidades de Defender for Endpoint en los dispositivos. Sin embargo, Intune es un producto independiente que no forma parte de Defender para punto de conexión y no se incluye en todas las suscripciones. Para usar Intune, necesita una suscripción que la incluya o puede comprarla por separado como una suscripción independiente o un complemento. Si no tiene Intune, puede usar cualquiera de los otros métodos de este artículo. Para obtener más información, consulte Licencias de Microsoft Intune.

Puedes habilitar la protección de red en Microsoft Intune usando una política antivirus o una línea base de seguridad.

Configurar la protección de red en Intune usando políticas de seguridad de endpoint

Para configurar la protección de red utilizando una política de antivirus de seguridad de endpoint de Microsoft Intune, consulte Crear políticas de seguridad de endpoint o Modificar políticas existentes (los enlaces abren nuevas pestañas en la documentación de Intune).

Cuando crees la póliza, utiliza estos ajustes específicos:

• Tipo de política: Vaya a Gestionar>Antivirus en la página Seguridad de puntos de conexión | Información general en https://intune.microsoft.com/#view/Microsoft_Intune_Workflows/SecurityManagementMenu/~/overview, y luego seleccione Crear directiva.
• Plataforma: seleccione Windows.
• Perfil: seleccione Microsoft Defender Antivirus.

Cuando crees o modifiques la política, utiliza estos ajustes específicos en la pestaña Configuración:

• Activar la protección de red en la sección Defender: Seleccione uno de los siguientes valores:
  • Activado (modo bloquear): Bloquea conexiones a dominios maliciosos o sospechosos.
  • Activado (modo de auditoría): Registra eventos de protección de red sin bloquear conexiones.
  • Desactivado: Desactiva la protección de red.
  • No configurado: Deja la configuración sin gestionar por la política.

Para más información sobre los perfiles de Microsoft Defender Antivirus en Intune, consulta la política de antivirus para la seguridad de endpoints en Intune.

Configurar la protección de red en Intune usando una línea base de seguridad

Para configurar la protección de red como parte de una línea base de seguridad en Microsoft Intune, consulte Crear un perfil para una línea base de seguridad o Editar una línea base de seguridad (los enlaces abren nuevas pestañas en la documentación de Intune).

Cuando crees el perfil, selecciona Microsoft Defender para punto de conexión Security Baseline.

Cuando crees o modifiques el perfil, utiliza estos ajustes específicos en la pestaña Configuración:

• Activar la Protección de Red en la sección Defender: Seleccione Habilitado (modo bloqueo) o Habilitado (modo auditoría).

Para obtener más información sobre las líneas de base de seguridad en Microsoft Intune, vea Más información sobre Intune líneas base de seguridad para dispositivos Windows.

Configurar la protección de red en el portal de Microsoft Defender

Si tu organización gestiona políticas de seguridad de endpoints en el portal Microsoft Defender, utiliza una política de Microsoft Defender Antivirus para configurar la protección de red.

Para instrucciones detalladas, consulte Crear una política de seguridad para endpoints o Editar una política de seguridad endpoint (los enlaces abren nuevas pestañas).

Cuando crees la póliza, utiliza estos ajustes específicos:

• Tipo de política: En la pestaña de políticas de Windows de la página de políticas de seguridad de endpoint en el portal de Microsoft Defender en https://security.microsoft.com/policy-inventory, selecciona Crear nueva política.
• Seleccionar plataforma: seleccione Windows.
• Seleccionar plantilla: seleccione Microsoft Defender Antivirus.

Cuando crees o modifiques la política, configura Habilitar protección de red en la sección Defender de la pestaña Opciones de configuración:

• Activado (modo bloquear): Bloquea conexiones a dominios maliciosos o sospechosos. El modo bloque es necesario para los indicadores de dirección IP y URL, así como para el filtrado de contenido web.
• Activado (modo de auditoría): Registra eventos de protección de red sin bloquear conexiones.
• Desactivado (por defecto): Desactiva la protección de red.
• No configurado: Deja la configuración sin gestionar por la política.

Para Windows Server 2016 y Windows Server 2012 R2, también se configura Permitir protección de red en nivel inferior en la sección de Acción por defecto de gravedad de amenaza para que la protección de red se activará en niveles inferiores.

La política también contiene las siguientes opciones de protección de red:

• Permitir el procesamiento de datagramas en Windows Server: Para roles de servidor que generen grandes volúmenes de tráfico UDP, selecciona El procesamiento de datagramas en Windows Server está deshabilitado (predeterminado). Ejemplos incluyen controladores de dominio, servidores DNS, servidores de archivos, SQL Server y Exchange Server.
• Desactivar el análisis de DNS sobre TCP: Seleccione si el análisis de DNS sobre TCP está activado o desactivado.
• Desactivar el análisis de HTTP: Seleccione si el análisis de HTTP está habilitado o deshabilitado.
• Desactivar el análisis SSH: Seleccione si el análisis SSH está habilitado o deshabilitado.
• Desactivar el análisis TLS: Seleccione si el análisis TLS está activado o deshabilitado.
• [Desautorizado] Activar el sumidero DNS: Seleccione si el sumidero DNS está activado o desactivado.

Configurar la protección de red en cualquier solución MDM usando el Policy CSP

El proveedor de servicios de configuración de políticas (CSP) permite a las organizaciones configurar políticas en dispositivos Windows utilizando cualquier solución de gestión de dispositivos móviles (MDM), no solo Microsoft Intune. Para obtener más información, consulte Policy CSP.

Configura la protección de red utilizando el CSP EnableNetworkProtection con las siguientes configuraciones:

Ruta de acceso de OMA-URI: ./Device/Vendor/MSFT/Policy/Config/Defender/EnableNetworkProtection
Tipo de datos: Entero
Valor:

• 0: La protección de red está desactivada.
• 1: La protección de red está activada en modo bloque.
• 2: La protección de red está activada en modo de auditoría.

Configurar la protección de red en Microsoft Configuration Manager

Para configurar la protección de red en Microsoft Configuration Manager, utiliza una política de Windows Defender Exploit Guard. Para instrucciones detalladas, consulte Crear y desplegar una política de Exploit Guard.

Cuando crees o modifiques la política, utiliza estos ajustes específicos:

• Componentes de Exploit Guard (solo nuevas políticas): Seleccione protección de red.
• Configurar la protección de red (políticas nuevas y existentes): Seleccione Bloquear, Auditar o Desactivar.

Eliminar la configuración de Exploit Guard del Administrador de configuración

Cuando despliegas una política de Exploit Guard usando Administrador de configuración, la configuración permanece en el cliente si eliminas el despliegue. El cliente registra Delete not supported en el archivo ExploitGuardHandler.log.

Para eliminar la configuración de Exploit Guard, ejecuta el siguiente script de PowerShell en el SYSTEM contexto. El script elimina los valores de política MDM de Defender y Exploit Guard, incluyendo reglas de reducción de superficie de ataque, acceso controlado a carpetas y protección de red:

$defenderObject = Get-WmiObject -Namespace "root/cimv2/mdm/dmmap" -Class "MDM_Policy_Config01_Defender02" -Filter "InstanceID='Defender' and ParentID='./Vendor/MSFT/Policy/Config'"

$defenderObject.AttackSurfaceReductionRules = $null

$defenderObject.AttackSurfaceReductionOnlyExclusions = $null

$defenderObject.EnableControlledFolderAccess = $null

$defenderObject.ControlledFolderAccessAllowedApplications = $null

$defenderObject.ControlledFolderAccessProtectedFolders = $null

$defenderObject.EnableNetworkProtection = $null

$defenderObject.Put()

$exploitGuardObject = Get-WmiObject -Namespace "root/cimv2/mdm/dmmap" -Class "MDM_Policy_Config01_ExploitGuard02" -Filter "InstanceID='ExploitGuard' and ParentID='./Vendor/MSFT/Policy/Config'"

$exploitGuardObject.ExploitProtectionSettings = $null

$exploitGuardObject.Put()

Configurar la protección de red utilizando la Directiva de Grupo

Para configurar la protección de red en un entorno de dominio, sigue estos pasos:

1. Abra la Consola de administración de directivas de grupo (GPMC) en el equipo de administración de directivas de grupo.

2. En el árbol de consola GPMC, expande los Objetos de Política de Grupo en el bosque y el dominio que contienen el objeto de Directiva de Grupo (GPO) que quieres editar.

3. Haga clic con el botón derecho en el GPO y seleccione Editar.

4. En el Editor de administración de directivas de grupo, ve a Configuración del equipo>Plantillas administrativas>Componentes de Windows>Microsoft Defender Antivirus>Microsoft Defender Exploit Guard>Protección de red.

   Note

   Las rutas de la Directiva de Grupo en versiones anteriores de Windows podrían usar Windows Defender Antivirus en lugar de Microsoft Defender Antivirus. Ambos nombres hacen referencia a la misma ubicación de la directiva.

5. En el panel de detalles de protección de red , abre Evitar que usuarios y aplicaciones accedan a sitios web peligrosos.

6. Selecciona Habilitado y luego selecciona una de las siguientes opciones:

   • Bloquear: Bloquea el acceso a direcciones IP y dominios maliciosos.
   • Desactivar (por defecto): Desactiva la protección de red.
   • Modo de auditoría: Registra un evento cuando un usuario visita una dirección IP o dominio malicioso sin bloquear el acceso.

   Selecciona Aceptar.

Configura la protección de red usando PowerShell

Para configurar la protección de red en PowerShell en clientes de Windows, utiliza la siguiente sintaxis en una sesión elevada de PowerShell (un prompt de PowerShell que abriste seleccionando Ejecutar como administrador):

Set-MpPreference -EnableNetworkProtection <Disabled | Enabled | AuditMode>

• Disabled: Apaga la protección de la red.
• Enabled: Activa la protección de red en modo bloqueo, lo que impide conexiones a dominios maliciosos o sospechosos.
• AuditMode: Activa la protección de red en modo auditoría, que registra eventos para conexiones a dominios maliciosos sin bloquearlos.

Para configurar la protección de red en PowerShell en servidores Windows, utiliza la siguiente sintaxis en una sesión elevada de PowerShell:

• Windows Server 2019 o posterior:

  Set-MpPreference -AllowNetworkProtectionOnWinServer $true [-AllowDatagramProcessingOnWinServer $false] -EnableNetworkProtection <Disabled | Enabled | AuditMode>
  

• Windows Server 2016 o Windows Server 2012 R2 con la solución unificada moderna para Microsoft Defender para punto de conexión:

  Set-MpPreference -AllowNetworkProtectionDownLevel $true -AllowNetworkProtectionOnWinServer $true [-AllowDatagramProcessingOnWinServer $false] -EnableNetworkProtection <Disabled | Enabled | AuditMode>
  

Para obtener información detallada sobre la sintaxis y los parámetros, consulte Set-MpPreference.

Verifica la configuración de protección de red en los dispositivos

Utiliza uno de los siguientes métodos para verificar la configuración de protección de red en un dispositivo:

• PowerShell:

  En PowerShell, ejecute el siguiente comando:

  Get-MpPreference | Select-Object EnableNetworkProtection, AllowNetworkProtectionOnWinServer, AllowNetworkProtectionDownLevel, AllowDatagramProcessingOnWinServer
  

  • EnableNetworkProtection:
    • 0: La protección de red está desactivada.
    • 1: La protección de red está activada en modo Bloque .
    • 2: La protección de red está activada en modo Auditoría .
  • AllowNetworkProtectionOnWinServer: En servidores Windows, el valor debe ser True.
  • AllowNetworkProtectionDownLevel: En Windows Server 2016 y Windows Server 2012 R2 con el agente unificado, el valor debe ser True.
  • AllowDatagramProcessingOnWinServer: En roles de servidor que generan grandes volúmenes de tráfico UDP, el valor debe ser False.

• Editor del registro:

  1. Abra el Editor del Registro. Por ejemplo, ejecute regedit.exe.

  2. Ve a HKEY_LOCAL_MACHINE>SOFTWARE>Policies>Microsoft>Windows Defender>Policy Manager.

     Si esa ruta no existe, ve a HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows Defender>Windows Defender Exploit Guard>Network Protection.

  3. Seleccione EnableNetworkProtection para ver el estado actual de la protección de red en el dispositivo:

     • 0: La protección de red está desactivada.
     • 1: La protección de red está activada en modo Bloque .
     • 2: La protección de red está activada en modo Auditoría .

     

Contenido relacionado

• Protección de red
• Protección de red para Linux
• Protección de red para macOS
• Protección de red y protocolo de enlace de tres vías de TCP
• Evaluar protección de red
• Solución de problemas de protección de red