Nota:
El acceso a esta página requiere autorización. Puede intentar iniciar sesión o cambiar directorios.
El acceso a esta página requiere autorización. Puede intentar cambiar los directorios.
La protección contra vulnerabilidades aplica automáticamente muchas técnicas de mitigación de vulnerabilidades a los procesos y aplicaciones del sistema operativo. La protección contra vulnerabilidades se admite a partir de Windows 10, versión 1709, Windows 11 y Windows Server, versión 1803.
La protección contra vulnerabilidades funciona mejor con Defender for Endpoint, que proporciona informes detallados de los eventos y bloqueos de protección contra vulnerabilidades como parte de los habituales escenarios de investigación de alertas.
Puede habilitar la protección contra vulnerabilidades de seguridad en un dispositivo individual y, a continuación, usar la directiva de grupo para distribuir el archivo XML a varios dispositivos a la vez.
Cuando se encuentra una mitigación en el dispositivo, se muestra una notificación desde el Centro de acciones. Puede personalizar la notificación con los detalles de la empresa y la información de contacto. También puede habilitar las reglas de forma individual para personalizar qué técnicas supervisa la función.
También puede usar el modo de auditoría para evaluar cómo afectaría la protección contra vulnerabilidades de seguridad a su organización si estuviera habilitada.
Muchas de las características de Enhanced Mitigation Experience Toolkit (EMET) se incluyen en la protección contra vulnerabilidades de seguridad. De hecho, puede convertir e importar sus perfiles de configuración de EMET existentes en la protección contra vulnerabilidades. Para más información, consulte Importar, exportar e implementar configuraciones de protección de vulnerabilidades de seguridad.
Importante
Si actualmente usa EMET, es importante tener en cuenta queEMET alcanzó el final del soporte técnico el 31 de julio de 2018. Plantéese reemplazar EMET por la protección contra vulnerabilidades de seguridad en Windows 10.
Advertencia
Algunas tecnologías de mitigación de seguridad pueden tener problemas de compatibilidad con algunas aplicaciones. Debe probar la protección contra vulnerabilidades de seguridad en todos los escenarios de uso de destino con el modo auditoría antes de implementar la configuración en un entorno de producción o en el resto de la red.
Revisión de eventos de protección contra vulnerabilidades en el portal de Microsoft Defender
Defender for Endpoint proporciona informes detallados de eventos y bloqueos en sus escenarios de investigación de alertas.
Puede consultar los datos de Defender for Endpoint mediante Advanced hunting. Si usa modo de auditoría, puede emplear la búsqueda avanzada para ver cómo la configuración de protección contra vulnerabilidades de seguridad podría afectar a su entorno.
Esta es una consulta de ejemplo:
DeviceEvents
| where ActionType startswith 'ExploitGuard' and ActionType !contains 'NetworkProtection'
Protección contra exploits y búsqueda avanzada
Los tipos de acción de búsqueda avanzada disponibles para Protección contra vulnerabilidades son los siguientes:
| Nombre de la mitigación de Protección contra vulnerabilidades | Protección contra vulnerabilidades - búsqueda avanzada - Tipos de acción |
|---|---|
| Protección contra código arbitrario | ExploitGuardAcgAudited ExploitGuardAcgEnforced |
| No permitir procesos secundarios | ExploitGuardChildProcessAudited ExploitGuardChildProcessBlocked |
| Filtrado de direcciones de exportación (EAF) | ExploitGuardEafViolationAudited ExploitGuardEafViolationBlocked |
| Filtrado de direcciones de importación (IAF) | ExploitGuardIafViolationAudited ExploitGuardIafViolationBlocked |
| Bloquear imágenes de integridad baja | ExploitGuardLowIntegrityImageAudited ExploitGuardLowIntegrityImageBlocked |
| Protección de integridad de código | ExploitGuardNonMicrosoftSignedAudited ExploitGuardNonMicrosoftSignedBlocked |
| • Simulación de la ejecución (SimExec) • Validar invocación de API (CallerCheck) • Validar la integridad de la pila (StackPivot) |
ExploitGuardRopExploitAudited ExploitGuardRopExploitBlocked |
| Bloquear imágenes remotas | ExploitGuardSharedBinaryAudited ExploitGuardSharedBinaryBlocked |
| Deshabilitar llamadas al sistema de Win32k | ExploitGuardWin32SystemCallAudited ExploitGuardWin32SystemCallBlocked |
Revisar los eventos de protección contra vulnerabilidades de seguridad en el Visor de eventos de Windows
Puede revisar el registro de eventos de Windows para ver los eventos que se crean cuando la protección contra vulnerabilidades de seguridad bloquea (o audita) una aplicación:
| Proveedor u origen | Id. de evento | Descripción |
|---|---|---|
| Mitigaciones de seguridad | 1 | Auditoría de ACG |
| Mitigaciones de seguridad | 2 | Aplicación de ACG |
| Mitigaciones de seguridad | 3 | No permitir auditoría de procesos secundarios |
| Mitigaciones de seguridad | 4 | No permitir bloqueo de procesos secundarios |
| Mitigaciones de seguridad | 5 | Bloquear auditoría de imágenes de baja integridad |
| Mitigaciones de seguridad | 6 | Bloquear imágenes de baja integridad |
| Mitigaciones de seguridad | 7 | Bloquear auditoría de imágenes remota |
| Mitigaciones de seguridad | 8 | Bloquear bloqueo de imágenes remoto |
| Mitigaciones de seguridad | 9 | Deshabilitar auditoría de llamadas del sistema de Win32k |
| Mitigaciones de seguridad | 10 | Deshabilitar el bloqueo de llamadas al sistema Win32k |
| Mitigaciones de seguridad | 11 | Auditoría de protección de integridad de código |
| Mitigaciones de seguridad | 12 | Bloque de protección de integridad de código |
| Mitigaciones de seguridad | 13 | Auditoría de EAF |
| Mitigaciones de seguridad | 14 | Aplicación de EAF |
| Mitigaciones de seguridad | 15 | Auditoría de EAF+ |
| Mitigaciones de seguridad | 16 | Aplicación de EAF+. |
| Mitigaciones de seguridad | 17 | Auditoría de IAF |
| Mitigaciones de seguridad | 18 | Aplicación de IAF |
| Mitigaciones de seguridad | 19 | Auditoría ROP StackPivot |
| Mitigaciones de seguridad | 20 | Aplicación de ROP StackPivot |
| Mitigaciones de seguridad | 21 | Auditoría ROP CallerCheck |
| Mitigaciones de seguridad | 22 | Aplicación de ROP CallerCheck |
| Mitigaciones de seguridad | 23 | Auditoría de ROP SimExec |
| Mitigaciones de seguridad | 24 | Aplicación de ROP SimExec |
| Diagnósticos WER | 5 | Bloque CFG |
| Win32K | 260 | Fuente que no es de confianza |
Comparación de mitigaciones
Las mitigaciones disponibles en EMET se incluyen de forma nativa en Windows 10 (a partir de la versión 1709), Windows 11 y Windows Server (a partir de la versión 1803), en Protección contra vulnerabilidades.
La tabla de esta sección muestra la disponibilidad y el soporte de las mitigaciones nativas en EMET y en la protección contra vulnerabilidades.
| Mitigación | Disponible en Protección contra vulnerabilidades | Disponible en EMET |
|---|---|---|
| Protección contra código arbitrario (ACG) | Sí | Sí Como "verificación de la protección de memoria" |
| Bloquear imágenes remotas | Sí | Sí Como "Comprobación de carga de biblioteca" |
| Bloquear fuentes que no son de confianza | Sí | Sí |
| Prevención de ejecución de datos (DEP) | Sí | Sí |
| Filtrado de direcciones de exportación (EAF) | Sí | Sí |
| Forzar la aleatorización de las imágenes (ASLR obligatorio) | Sí | Sí |
| Mitigación de seguridad de NullPage | Sí Se incluye de forma nativa en Windows 10 y Windows 11 Para obtener más información, consulte Mitigación de amenazas mediante Windows 10 características de seguridad. |
Sí |
| Aleatorizar las asignaciones de memoria (ASLR ascendente) | Sí | Sí |
| Simular la ejecución (SimExec) | Sí | Sí |
| Validar la invocación de la API (CallerCheck) | Sí | Sí |
| Validar cadenas de excepción (SEHOP) | Sí | Sí |
| Validar la integridad de la pila (StackPivot) | Sí | Sí |
| Confianza de certificado (anclaje configurable de certificados) | Windows 10 y Windows 11 proporcionan el anclaje de certificados de empresa | Sí |
| Asignación mediante distribución de montón | Ineficaz contra vulnerabilidades de seguridad basadas en los exploradores más recientes; las mitigaciones más nuevas proporcionan una mejor protección Para obtener más información, consulte Mitigación de amenazas mediante Windows 10 características de seguridad. |
Sí |
| Bloquear imágenes de integridad baja | Sí | No |
| Protección de integridad de código | Sí | No |
| Deshabilitar los puntos de extensión | Sí | No |
| Deshabilitar llamadas al sistema de Win32k | Sí | No |
| No permitir procesos secundarios | Sí | No |
| Filtrado de direcciones de importación (IAF) | Sí | No |
| Validar el uso de identificadores | Sí | No |
| Validar la integridad del montón | Sí | No |
| Validar la integridad de las dependencias de imagen | Sí | No |
Nota:
Las mitigaciones avanzadas de ROP que están disponibles en EMET se reemplazan por ACG en Windows 10 y Windows 11, otras configuraciones avanzadas de EMET están habilitadas de forma predeterminada, como parte de habilitar las mitigaciones contra ROP en un proceso. Para obtener más información sobre cómo Windows 10 emplea la tecnología EMET existente, consulte Mitigación de amenazas mediante Windows 10 características de seguridad.