Usar la protección de red de Microsoft Defender para punto de conexión en macOS

La protección de red en Microsoft Defender para punto de conexión ayuda a evitar que aplicaciones y procesos no exploradores en dispositivos macOS se conecten a dominios peligrosos. Extiende la protección web más allá de Microsoft Defender SmartScreen en Microsoft Edge a navegadores compatibles y otros procesos.

Utiliza este artículo para revisar los requisitos, elegir un nivel de aplicación, desplegar protección de red y comprender los escenarios compatibles con protección web y Microsoft Defender for Cloud Apps.

Requisitos previos

Antes de configurar la protección de red, asegúrate de que tu entorno cumple con los siguientes requisitos:

• Una licencia de prueba de Microsoft Defender para punto de conexión Plan 1, Microsoft Defender para punto de conexión Plan 2, o licencia Microsoft Defender para Empresas.
• Un dispositivo integrado que ejecute una versión compatible con macOS y Defender para Endpoint 101.94.13 (enero de 2023) o posterior.
• Un navegador compatible:
  • Un navegador que no sea Microsoft, como Brave, Chrome, Firefox, Opera o Safari.
  • Microsoft Edge para macOS.

Requisitos de configuración del navegador

En procesos distintos de Microsoft Edge, la protección de red determina el nombre de dominio completo para cada conexión HTTPS examinando el protocolo de enlace de seguridad de la capa de transporte (TLS) que tiene lugar tras un protocolo de enlace TCP/IP. La conexión HTTPS debe usar TCP/IP en lugar de User Datagram Protocol (UDP) o Quick UDP Internet Connections (QUIC), y el mensaje ClientHello no debe estar cifrado. Para desactivar QUIC y Client Hello cifrado, consulte los siguientes artículos:

• Google Chrome: QuicAllowed y EncryptedClientHelloEnabled.
• Mozilla Firefox: Desactiva EncryptedClientHello y network.http.http3.enable.

Planear el lanzamiento

La protección de red para macOS está disponible para todos los dispositivos Defender for Endpoint integrados que cumplan los requisitos mínimos. La protección de red en macOS soporta las siguientes capacidades de seguridad, investigación y control de aplicaciones:

• Indicadores personalizados de compromiso para dominios y direcciones IP.
• Políticas de filtrado de contenido web que bloquean categorías de sitios web para grupos de dispositivos en navegadores compatibles, incluyendo Microsoft Edge para macOS.
• Caza avanzada y la línea temporal del dispositivo, que proporcionan datos de eventos de red para investigaciones de seguridad.
• Microsoft Defender for Cloud Apps controla que detectan el uso de aplicaciones en la nube, advierten a los usuarios sobre aplicaciones monitorizadas y bloquean aplicaciones no autorizadas. Estos escenarios tienen más requisitos de licencias y productos.
• Uso de redes privadas virtuales corporativas (VPN). Actualmente, no se identifica ningún conflicto de VPN. Si tienes conflictos, contacta con el Soporte técnico de Microsoft a través del Centro de administración de Microsoft 365.

Todas las políticas configuradas de protección de red y protección contra amenazas web se aplican en dispositivos macOS donde la protección de red está en modo bloque. Para reducir el riesgo de despliegue:

• Crea un grupo de dispositivos con un pequeño conjunto de dispositivos para probar la protección de la red.
• Evalúa cómo la protección contra amenazas web, los indicadores personalizados, el filtrado de contenido web y las políticas de aplicación de Defender for Cloud Apps afectan a los dispositivos macOS en modo bloqueo.
• Despliega una política de modo auditoría o de modo bloque en el grupo de dispositivos y verifica que la política no interrumpa los flujos de trabajo.
• Despliega gradualmente la protección de red en grupos de dispositivos más grandes.

Configuración de la protección de red

Instale la versión más reciente del producto a través de Microsoft AutoUpdate. Para abrir Microsoft AutoUpdate, ejecuta el siguiente comando en Terminal:

open /Library/Application\ Support/Microsoft/MAU2.0/Microsoft\ AutoUpdate.app

La protección de red está deshabilitada de forma predeterminada. Puedes configurar uno de los siguientes niveles de aplicación:

• Auditoría: Evalúa cómo afecta la protección de red a las aplicaciones de línea de negocio y con qué frecuencia ocurren los bloqueos.
• Bloquear: Evitar conexiones a sitios web maliciosos.
• Desactivado: Desactiva todos los componentes de protección de red.

Despliega la protección de red manualmente, con Jamf Pro, con Microsoft Intune o con un .mobileconfig archivo.

Configurar la protección de red manualmente

Para configurar el nivel de aplicación, ejecuta el siguiente comando en Terminal:

mdatp config network-protection enforcement-level --value <disabled | audit | block>

Por ejemplo, el siguiente comando configura la protección de red en modo bloque:

mdatp config network-protection enforcement-level --value block

Para confirmar que la protección de red ha comenzado con éxito, ejecuta el siguiente comando en Terminal y verifica que devuelva started:

mdatp health --field network_protection_status

Configurar la protección de red con Jamf Pro

Jamf Pro es un producto de terceros independiente que no forma parte de Defender para Endpoint y no está incluido en las suscripciones de Defender para Endpoint. Para usar Jamf Pro, tu organización necesita una suscripción separada a Jamf Pro. Para información sobre productos y suscripciones, consulta Jamf Pro. Si tu organización no utiliza Jamf Pro, utiliza otro método de configuración en este artículo, si está disponible.

Un despliegue de Jamf Pro requiere un perfil de configuración que establezca el nivel de aplicación de la protección de red.

Después de crear este perfil de configuración, asígnelo a los dispositivos en los que desea habilitar la protección de red.

Sigue las instrucciones de Jamf para desplegar un perfil de configuración personalizado del ordenador. Establece el dominio de preferencia a com.microsoft.wdav, y sube la siguiente lista de propiedades para configurar la protección de red en modo bloque:

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>networkProtection</key>
    <dict>
        <key>enforcementLevel</key>
        <string>block</string>
    </dict>
</dict>
</plist>

Configurar la protección de red en Microsoft Intune

Microsoft Intune es la herramienta recomendada para configurar y distribuir las funcionalidades de Defender for Endpoint en los dispositivos. Sin embargo, Intune es un producto independiente que no forma parte de Defender para punto de conexión y no se incluye en todas las suscripciones. Para usar Intune, necesita una suscripción que la incluya o puede comprarla por separado como una suscripción independiente o un complemento. Si no tiene Intune, puede usar cualquiera de los otros métodos de este artículo. Para obtener más información, consulte Licencias de Microsoft Intune.

Para configurar la protección de red en Microsoft Intune, crea o modifica una política de catálogo de configuración. Para instrucciones detalladas, consulte Crear una política usando el catálogo de ajustes en Microsoft Intune.

En la página Dispositivos | Configuración del centro de administración de Microsoft Intune en https://intune.microsoft.com/#view/Microsoft_Intune_DeviceSettings/DevicesMenu/~/configuration, selecciona la pestaña Directivas y, después, selecciona Crear. Selecciona Nueva política y utiliza estos ajustes:

• Plataforma: seleccione macOS.
• Tipo de perfil: seleccione Catálogo de configuración.

Cuando crees o modifiques la política, configura estos ajustes específicos en la pestaña Configuración:

• Microsoft Defender>Protección de red>Nivel de aplicación: Seleccione Bloquear.

Implementa un perfil de configuración móvil

Para desplegar la configuración con un .mobileconfig archivo, utiliza una solución de gestión de dispositivos móviles (MDM) que no sea de Microsoft o distribuye el archivo directamente a los dispositivos:

1. Guarde la siguiente carga como com.microsoft.wdav.mobileconfig.

   <?xml version="1.0" encoding="utf-8"?>
   <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
   <plist version="1">
       <dict>
           <key>PayloadUUID</key>
           <string>C4E6A782-0C8D-44AB-A025-EB893987A295</string>
           <key>PayloadType</key>
           <string>Configuration</string>
           <key>PayloadOrganization</key>
           <string>Microsoft</string>
           <key>PayloadIdentifier</key>
           <string>com.microsoft.wdav</string>
           <key>PayloadDisplayName</key>
           <string>Microsoft Defender ATP settings</string>
           <key>PayloadDescription</key>
           <string>Microsoft Defender ATP configuration settings</string>
           <key>PayloadVersion</key>
           <integer>1</integer>
           <key>PayloadEnabled</key>
           <true/>
           <key>PayloadRemovalDisallowed</key>
           <true/>
           <key>PayloadScope</key>
           <string>System</string>
           <key>PayloadContent</key>
           <array>
               <dict>
                   <key>PayloadUUID</key>
                   <string>99DBC2BC-3B3A-46A2-A413-C8F9BB9A7295</string>
                   <key>PayloadType</key>
                   <string>com.microsoft.wdav</string>
                   <key>PayloadOrganization</key>
                   <string>Microsoft</string>
                   <key>PayloadIdentifier</key>
                   <string>com.microsoft.wdav</string>
                   <key>PayloadDisplayName</key>
                   <string>Microsoft Defender ATP configuration settings</string>
                   <key>PayloadDescription</key>
                   <string/>
                   <key>PayloadVersion</key>
                   <integer>1</integer>
                   <key>PayloadEnabled</key>
                   <true/>
                   <key>networkProtection</key>
                   <dict>
                       <key>enforcementLevel</key>
                       <string>block</string>
                   </dict>
               </dict>
           </array>
       </dict>
   </plist>
   

2. Verifica que el archivo haya sido copiado correctamente. En Terminal, ejecuta el siguiente comando y verifica que devuelva OK:

   plutil -lint com.microsoft.wdav.mobileconfig
   

Escenarios de protección de red

Se admiten los siguientes escenarios.

Protección contra amenazas web

La protección contra amenazas web forma parte de la protección web en Defender for Endpoint. Utiliza protección de red para ayudar a proteger dispositivos de amenazas web en Microsoft Edge para macOS y navegadores no Microsoft, como Brave, Chrome, Firefox, Opera y Safari. No requiere un proxy web y protege los dispositivos tanto en las instalaciones como alejados de la organización. Para los requisitos del navegador, consulta Requisitos previos.

La protección contra amenazas web detiene el acceso a los siguientes tipos de sitios:

• Sitios de phishing.
• Vectores de malware.
• Sitios de exploits.
• Sitios poco fiables o de baja reputación.
• Sitios bloqueados por un indicador personalizado.

Para más información, consulte Proteger a su organización contra amenazas en la web.

Indicadores personalizados de compromiso

La comparación con indicadores de compromiso (IoC) permite a los equipos de operaciones de seguridad (SecOps) crear una lista de indicadores para su detección o bloqueo.

Cree indicadores que definan la detección, prevención y exclusión de entidades. Para cada indicador, define la acción, cuánto tiempo aplicar la acción y el alcance del grupo de dispositivos.

Las fuentes admitidas actualmente son el motor de detección en la nube de Defender para Endpoint, el motor de investigación y corrección automáticas y el motor de prevención de endpoints (Microsoft Defender Antivirus).

Para obtener más información, consulte Crear indicadores para direcciones IP, direcciones URL o dominios.

Filtrado de contenido web

El filtrado de contenido web forma parte de la protección web en Defender for Endpoint y Microsoft Defender para Empresas. Ayuda a tu organización a rastrear y controlar el acceso a sitios web según categorías de contenido. Incluso los sitios web que no son maliciosos pueden ser problemáticos debido a requisitos de cumplimiento, uso de ancho de banda u otras preocupaciones.

Configura políticas para grupos de dispositivos que bloqueen categorías específicas. Bloquear una categoría impide que los usuarios de esos grupos accedan a las URLs asociadas. Las URLs en categorías que no están bloqueadas se auditan automáticamente. Los usuarios pueden acceder a las URLs sin interrupciones, y puedes usar las estadísticas de acceso para perfeccionar tus políticas. Los usuarios reciben una notificación cuando un elemento de página web llama a un recurso bloqueado.

El filtrado de contenido web soporta los principales navegadores web, incluyendo Brave, Chrome, Firefox, Opera y Safari. La protección de red aplica los bloqueos.

Para obtener más información sobre la compatibilidad con exploradores, consulte Requisitos previos.

Para obtener más información sobre los informes, vea Filtrado de contenido web.

Microsoft Defender para aplicaciones en la nube

Microsoft Defender for Cloud Apps puede avisar a los usuarios cuando acceden a aplicaciones etiquetadas como Monitorizadas y bloquear aplicaciones etiquetadas como No Sancionadas. Esta sección se centra en la experiencia de advertencia para las aplicaciones monitorizadas. Para obtener más información sobre ambos controles, consulte Administrar aplicaciones detectadas con Microsoft Defender para Endpoint.

En el Catálogo de Aplicaciones en la Nube, identifica las aplicaciones que deberían mostrar una advertencia cuando los usuarios accedan a ellas y marca las aplicaciones como Monitorizadas. Los dominios de las aplicaciones monitorizadas se sincronizan entonces con Defender para Endpoint.

Normalmente, en pocos minutos, los dominios aparecen en la página de Indicadores del portal de Microsoft Defender en https://security.microsoft.com/securitysettings/endpoints/custom_ti_indicators. En la pestaña URLs/Dominios , el valor de Acción es Advertencia. Dentro del acuerdo de cumplimiento de nivel de servicio (SLA), los usuarios reciben advertencias cuando intentan acceder a los dominios.

Cuando un usuario intenta acceder a un dominio monitorizado, Defender for Endpoint bloquea temporalmente el intento de acceso y muestra una advertencia. La notificación del sistema operativo incluye el nombre de la aplicación afectada. Por ejemplo, la notificación podría identificar Blogger.com.

El usuario puede saltarse la advertencia o abrir una página web educativa.

Omisión de usuario

En la notificación, selecciona Desbloquear y luego vuelve a cargar la página web. El usuario puede acceder a la app en la nube durante la duración del bypass configurada en Defender for Cloud Apps. Tras expirar la duración, la advertencia aparece la próxima vez que el usuario accede a la aplicación.

Educación del usuario

Selecciona la notificación para abrir la URL de redirección personalizada configurada globalmente en Defender for Cloud Apps.

Crear un centro de educación para usuarios finales

Utiliza los controles en la nube de Defender for Cloud Apps para establecer limitaciones cuando sea necesario y para educar a los usuarios sobre:

• El incidente específico.
• Por qué ocurrió el incidente.
• La razón de la decisión.
• Cómo los usuarios pueden evitar sitios bloqueados.

Proporciona a los usuarios suficiente información para entender lo que ocurrió y tomar decisiones informadas la próxima vez que elijan una app en la nube. Por ejemplo, incluye:

• Las políticas de seguridad y cumplimiento de tu organización para el uso de internet y la nube.
• Apps en la nube aprobadas o recomendadas.
• Aplicaciones en la nube restringidas o bloqueadas.

Comprende el momento de despliegue y las limitaciones

• Puede tardar hasta dos horas en que los dominios de la app se propaguen a los dispositivos endpoint después de marcar una app como Monitorizada.

• A menos que apliques un perfil con alcance, la acción se aplica a todas las aplicaciones y dominios marcados como Monitoreados para todos los endpoints integrados en la organización.

• Las URLs completas actualmente no están soportadas y no se envían desde Defender for Cloud Apps a Defender for Endpoint. Si las aplicaciones monitorizadas contienen URLs completas, no se avisa a los usuarios cuando intentan acceder a los sitios. Por ejemplo, google.com/drive no está soportado, pero drive.google.com sí lo está.

• Al probar, desactiva Client Hello encriptado y QUIC para que los sitios se bloqueen correctamente. Para las instrucciones de configuración del navegador, consulte Requisitos de configuración del navegador.

Contenido relacionado

• Microsoft Defender para punto de conexión en macOS
• Integración de Microsoft Defender para punto de conexión con Microsoft Defender for Cloud Apps
• Conozca las características innovadoras de Microsoft Edge
• Proteger la red
• Habilitar protección de red
• Protección web
• Crear indicadores
• Filtrado de contenido web