Nota:
El acceso a esta página requiere autorización. Puede intentar iniciar sesión o cambiar directorios.
El acceso a esta página requiere autorización. Puede intentar cambiar los directorios.
Utiliza las políticas de seguridad de endpoints en el portal Microsoft Defender para configurar y probar las funciones de protección de Microsoft Defender Antivirus y Windows. La evaluación incluye protección en tiempo real, protección entregada en la nube, protección de red, reglas de reducción de superficies de ataque (ASR) y protección contra manipulaciones.
Prerequisites
Si tiene alguna pregunta sobre una detección que MDAV realiza o detecta una detección perdida, puede enviarnos un archivo en nuestro sitio de ayuda de envío de ejemplo.
Antes de empezar, asegúrese de que tiene lo siguiente:
- Windows 10 o posterior, o Windows Server 2016 o posterior.
- Dispositivos integrados en Microsoft Defender para punto de conexión y gestionados a través de Defender para la gestión de la configuración de seguridad de endpoint. Los dispositivos no necesitan estar inscritos en Microsoft Intune.
- Las licencias, permisos y configuración descritos en Requisitos previos para gestionar políticas de seguridad de endpoint.
Configurar políticas de evaluación
Crea políticas de seguridad de endpoint separadas para la configuración de Microsoft Defender Antivirus, las reglas ASR y la protección contra manipulaciones. Para los pasos completos para crear, asignar, guardar, editar y verificar políticas, consulte Crear una política de seguridad de endpoint y Editar una política de seguridad de endpoint.
Microsoft Defender Antivirus indica una detección mediante notificaciones estándar de Windows. También puedes revisar los resultados del análisis de Microsoft Defender Antivirus.
El registro de eventos de Windows también registra los eventos de detección y motor. Para obtener una lista de identificadores de eventos y sus acciones correspondientes, consulte Revisión de los registros de eventos y códigos de error para solucionar problemas con Microsoft Defender Antivirus.
Configurar la configuración del antivirus de Microsoft Defender
Para configurar la configuración de evaluación del antivirus, utiliza una política de Microsoft Defender Antivirus.
Cuando crees la política en la pestaña de políticas de Windows de la página de políticas de seguridad de endpoint en el portal de Defender en https://security.microsoft.com/policy-inventory?osPlatform=Windows, utiliza estos ajustes específicos:
- Seleccionar plataforma: seleccione Windows.
- Seleccionar plantilla: seleccione Microsoft Defender Antivirus.
Al crear o modificar la directiva, configura los siguientes ajustes de evaluación en la pestaña Configuración:
Protección en tiempo real:
Configuración Valor Permitir supervisión en tiempo real Permitido. Activa y ejecuta el servicio de monitorización en tiempo real (por defecto). Sentido de escaneo en tiempo real Monitorizar todos los archivos (bidireccionales) (por defecto). Permitir supervisión del comportamiento Permitido. Activa la monitorización de comportamiento en tiempo real (por defecto). Permitir la protección de acceso Permitido (por defecto). Protección de PUA Protección contra PUA activada. Los elementos detectados están bloqueados. Aparecen en la historia junto con otras amenazas. Características de protección en la nube:
Configuración Valor Permitir protección en la nube Permitido. Activa la protección en la nube (por defecto). Nivel de bloque de nube Alto Tiempo de espera extendido en la nube Configurado, 50 Consentimiento para enviar muestras Enviar todos los ejemplos automáticamente Las actualizaciones estándar de inteligencia de seguridad pueden tardar horas en prepararse y entregarse. La protección en la nube de Microsoft puede ofrecer una protección actualizada contra amenazas emergentes en cuestión de segundos. Para obtener más información, consulte Uso de tecnologías de última generación en Microsoft Defender Antivirus a través de la protección proporcionada en la nube.
Análisis:
Configuración Valor Permitir el análisis del correo electrónico Permitido. Activa el examen de correo electrónico. Permitir el examen de todos los archivos y datos adjuntos descargados Permitido (por defecto). Permitir el examen de scripts Permitido (por defecto). Permitir el análisis de archivos Permitido. Escanea archivos de archivo (por defecto). Permitir escanear archivos de red Permitido. Escanea archivos de red (por defecto). Permitir análisis completo en unidades extraíbles Permitido. Examina las unidades extraíbles. Protección de red:
Configuración Valor Habilitación de la protección de red Habilitado (modo de bloque) Permitir la protección de red en el nivel inferior La protección de red se habilitará en el nivel inferior. Permitir el procesamiento de datagramas en Win Server El procesamiento de datagramas en Windows Server está deshabilitado (por defecto). Deshabilitación del análisis de DNS a través de TCP El análisis de DNS sobre TCP está activado (por defecto). Deshabilitar el análisis HTTP El análisis HTTP está activado (por defecto). Deshabilitación del análisis de SSH El análisis SSH está activado (por defecto). Deshabilitación del análisis de TLS El análisis TLS está activado (por defecto). Note
Mantén desactivado Permitir el procesamiento de datagramas en Win Server en roles de servidor con mucho tráfico UDP. Activar esta configuración puede afectar al rendimiento y la fiabilidad de la red. Para más información, consulte Configurar protección de red en Microsoft Defender Antivirus.
Actualizaciones de Inteligencia de seguridad:
Configuración Valor Intervalo de actualización de firma Configurado, 4 Orden de recambio de actualizaciones de firmas - Seleccione Agregar para tantos orígenes de reserva como desee especificar.
- Escriba uno de los siguientes valores en cada cuadro en el orden que desee:
-
InternalDefinitionUpdateServer: Su propio servidor WSUS con las actualizaciones de Microsoft Defender Antivirus permitidas. -
MicrosoftUpdateServer: Microsoft Update. -
MMPC:https://www.microsoft.com/wdsi/definitions
-
Para eliminar una fuente de respaldo (poblada o vacía), selecciona la casilla de verificación junto a la casilla y luego selecciona Eliminar.AV de administrador local:
Evitar que los administradores locales cambien la configuración de Microsoft Defender Antivirus, como exclusiones. Gestiona la configuración mediante la administración de la configuración de seguridad de Defender for Endpoint.
Configuración Valor Deshabilitar la fusión del administrador local Deshabilitar la fusión del administrador local Acción predeterminada de gravedad de amenaza:
Configuración Valor Acción de corrección para amenazas de gravedad alta Cuarentena. Mueva los archivos a la cuarentena. Acción de remediación para amenazas graves Cuarentena. Mueva los archivos a la cuarentena. Acción de corrección para amenazas de gravedad baja Cuarentena. Mueva los archivos a la cuarentena. Acción de corrección para amenazas de gravedad moderada Cuarentena. Mueva los archivos a la cuarentena. Opciones de cuarentena:
Configuración Valor Días para conservar malware limpio Configurado, 60 Permitir acceso del usuario a la interfaz de usuario Permitido. Permite a los usuarios acceder a la interfaz (por defecto).
Configurar reglas de la reducción de la superficie expuesta a ataques
Para configurar los ajustes de evaluación de las reglas ASR, use una directiva Reglas de reducción de la superficie de ataque. Para más información sobre las reglas ASR, véase las reglas ASR.
Para obtener información sobre las acciones de regla disponibles, consulte Modos de las reglas ASR.
Cuando crees la política en la pestaña de políticas de Windows de la página de políticas de seguridad de endpoint en el portal de Defender en https://security.microsoft.com/policy-inventory?osPlatform=Windows, utiliza estos ajustes específicos:
- Seleccionar plataforma: seleccione Windows.
- Seleccionar plantilla: seleccione Reglas de reducción de superficie expuesta a ataques.
Al crear o modificar la directiva, configura los siguientes ajustes de evaluación en la pestaña Configuración:
| Configuración | Valor |
|---|---|
| Bloquear el contenido ejecutable del cliente de correo electrónico y el correo web | Auditoría |
| Impedir que Adobe Reader cree procesos secundarios | Auditoría |
| Bloquear la ejecución de scripts potencialmente ofuscados | Auditoría |
| Bloquear el uso indebido de controladores firmados vulnerables que han sido objeto de explotación (Dispositivo) | Auditoría |
| Bloquear llamadas API de Win32 desde macros de Office | Auditoría |
| Impedir que los archivos ejecutables se ejecuten a menos que cumplan un criterio de prevalencia, edad o lista de confianza | Auditoría |
| Impedir que la aplicación de comunicación de Office cree procesos secundarios | Auditoría |
| Impedir que todas las aplicaciones de Office creen procesos secundarios | Auditoría |
| Bloquear el uso de herramientas del sistema copiadas o suplantadas | Auditoría |
| Impedir que JavaScript o VBScript inicien contenido ejecutable descargado | Auditoría |
| Bloquear el robo de credenciales del subsistema de autoridad de seguridad local de Windows | Auditoría |
| Bloquear la creación de WebShell para servidores | Auditoría |
| Impedir que las aplicaciones de Office creen contenido ejecutable | Auditoría |
| Bloquear procesos que no son de confianza y no firmados que se ejecutan desde USB | Auditoría |
| Impedir que las aplicaciones de Office inserten código en otros procesos | Auditoría |
| Bloquear la persistencia mediante la suscripción a eventos de WMI | Auditoría |
| Uso de protección avanzada contra ransomware | Auditoría |
| Bloquear las creaciones de procesos que se originen a partir de comandos PSExec y WMI | Auditoría |
| Bloquear el reinicio de la máquina en modo seguro | Auditoría |
| Habilitación del acceso controlado a carpetas | Modo auditoría |
Sugerencia
Si los eventos de auditoría identifican un comportamiento que es aceptable en tu organización, añade una exclusión Exclusiones solo para la reducción de la superficie de ataque por regla. Para obtener más información, vea Exclusiones de archivos y carpetas para las reglas de ASR.
Revisa los eventos de auditoría antes de activar las reglas ASR o controlar el acceso a carpetas en modo bloque. Para obtener más información, consulte Pruebe la implementación de sus reglas de ASR.
Configurar la protección contra manipulaciones
Para configurar la protección contra manipulaciones, utiliza una política de Seguridad de Windows Experience.
Cuando crees la política en la pestaña de políticas de Windows de la página de políticas de seguridad de endpoint en el portal de Defender en https://security.microsoft.com/policy-inventory?osPlatform=Windows, utiliza estos ajustes específicos:
- Seleccionar plataforma: seleccione Windows.
- Seleccionar plantilla: Seleccionar Seguridad de Windows Experience.
Cuando crees o modifiques la política, utiliza esta configuración específica en la pestaña Configuración:
| Configuración | Valor |
|---|---|
| Protección contra manipulaciones (dispositivo) | Protección contra manipulaciones (activada) |
Validar la protección antivirus de Microsoft Defender
Utiliza los siguientes procedimientos para verificar la conectividad en la nube y actualizar las versiones de los dispositivos de evaluación.
Comprobar la conectividad de red de protección en la nube
La protección en la nube utiliza aprendizaje automático y análisis en la nube para proporcionar una detección de amenazas más rápida. El dispositivo debe poder acceder a la protección en la nube de Microsoft para que esta función funcione correctamente.
El siguiente procedimiento se aplica a Windows 10 o versiones posteriores y a Windows Server 2019 o posteriores.
Ejecuta los siguientes comandos en un Símbolo del sistema con privilegios elevados (una ventana del Símbolo del sistema que abriste seleccionando Ejecutar como administrador):
Sugerencia
El primer comando cambia el directorio a la versión más reciente de la versión< de >la plataforma antimalware en %ProgramData%\Microsoft\Windows Defender\Platform\<antimalware platform version>. Si esa ruta de acceso no existe, se dirige a %ProgramFiles%\Windows Defender.
(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1
MpCmdRun.exe -ValidateMapsConnection
Para obtener más información, vea Configurar y administrar Microsoft Defender Antivirus con la herramienta de línea de comandos MpCmdRun.
Comprobación de la versión de actualización de la plataforma
Ejecuta el siguiente comando en una sesión PowerShell elevada para mostrar la versión de la plataforma Microsoft Defender Antivirus instalada en el dispositivo:
Get-MPComputerStatus | Format-Table AMProductVersion
Compara la salida con la última versión del canal de producción en el Catálogo de Actualizaciones de Microsoft.
Consulta la versión de la actualización de inteligencia de seguridad
Ejecuta el siguiente comando en una sesión PowerShell elevada para mostrar la versión de inteligencia de seguridad instalada en el dispositivo:
Get-MPComputerStatus | Format-Table AntivirusSignatureVersion
Compara la salida con la versión de actualización de inteligencia de seguridad en la página de inteligencia de seguridad y actualizaciones de productos de Microsoft Defender Antivirus.
Consulta la versión de actualización del motor
Ejecuta el siguiente comando en una sesión elevada de PowerShell para mostrar la versión del motor Microsoft Defender Antivirus instalada en el dispositivo:
Get-MPComputerStatus | Format-Table AMEngineVersion
Compara el resultado con la versión del motor en la página Inteligencia de seguridad y actualizaciones de productos de Microsoft Defender Antivirus.
Si ve que la configuración no surte efecto, es posible que tenga un conflicto. Para obtener información sobre cómo resolver conflictos, consulte Solucionar problemas de la configuración de Microsoft Defender Antivirus.
Enviar detecciones omitidas
Si el antivirus Microsoft Defender no detecta ningún archivo o actividad maliciosa durante tu evaluación, envía el archivo no detectado a Microsoft para su análisis:
- Envíe archivos en Microsoft Defender para punto de conexión si tiene Microsoft Defender, Microsoft Defender para punto de conexión P2/P1 o Microsoft Defender para Empresas.
- Envíe archivos para su análisis si tiene Microsoft Defender Antivirus.