Activa y utiliza el modo de resolución de problemas en Microsoft Defender para punto de conexión

  • Se aplica a: Microsoft Defender for Endpoint, Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

En dispositivos Windows, el modo de resolución de problemas en Microsoft Defender para punto de conexión te permite cambiar temporalmente ciertos ajustes de Microsoft Defender Antivirus gestionados por políticas. Utiliza el modo de resolución de problemas para diagnosticar rendimiento, compatibilidad de aplicaciones, falsos positivos y otros problemas con el antivirus, incluyendo cuando la protección contra manipulaciones impide cambios en la configuración protegida.

El modo de resolución de problemas está disponible para dispositivos inscritos en Defender for Endpoint que ejecutan Windows o macOS. Actualmente, el modo de solución de problemas no está disponible para dispositivos Linux. En macOS, el modo de resolución de problemas no permite desactivar la protección contra manipulaciones. Para los requisitos e instrucciones de macOS, consulta Modo de resolución de problemas en Microsoft Defender para punto de conexión en macOS.

Mientras el modo de resolución de problemas está activo, los administradores locales pueden cambiar la configuración de dispositivos individuales que normalmente están bloqueados por la política. Los administradores locales no pueden desactivar ni desinstalar Microsoft Defender Antivirus, pero sí pueden cambiar otros ajustes de seguridad de Microsoft Defender Antivirus, como la protección en la nube y la protección contra manipulaciones.

El modo de resolución de problemas puede tardar hasta 15 minutos en iniciarse y se apaga automáticamente tras cuatro horas. Está limitado a ocho horas por dispositivo, y la cuota se reinicia 24 horas después de activar el modo de solución de problemas. Cuando el modo de resolución de problemas expira, la configuración gestionada por políticas pasa a ser de solo lectura y vuelve a sus valores anteriores. El usuario del dispositivo recibe notificaciones cuando el modo de solución de problemas comienza, está a punto de terminar y termina.

Desactivar temporalmente la protección contra manipulaciones puede aumentar el riesgo de seguridad. El dispositivo debe estar conectado cuando desactivas temporalmente la protección contra manipulaciones.

Los cambios realizados mediante políticas de gestión mientras el modo de resolución de problemas está activo no entran en vigor hasta que expira el modo de diagnóstico. Las actualizaciones de la plataforma antivirus de Microsoft Defender tampoco se aplican mientras el modo de resolución de problemas está activo. Las actualizaciones de plataforma se aplican después de que termina el modo de resolución de problemas cuando se ejecuta Windows Update.

Prerequisites

Antes de activar el modo de solución de problemas, verifica los siguientes requisitos:

  • El rol de Administrador de Seguridad de Microsoft Entra. Para el acceso con privilegios mínimos, utiliza un rol RBAC personalizado del control de acceso unificado de Microsoft Defender con los permisos Autorización y configuración \ Configuración de seguridad \ Configuración principal de seguridad (gestionar) y Autorización y configuración \ Configuración de seguridad \ Ajuste de detección (gestionar). Para obtener más información, consulte Microsoft Defender RBAC unificado.
  • Un dispositivo que está inscrito y activo en Defender para Endpoint.
  • Versión 4.18.2203 de la plataforma antivirus Microsoft Defender (marzo de 2022) o posterior, ejecutándose activamente en el dispositivo.
  • Uno de los siguientes sistemas operativos y versiones o compilaciones mínimas:

Activar el modo de resolución de problemas en el portal de Microsoft Defender

Activa el modo de resolución de problemas en un dispositivo antes de hacer cambios temporales en la configuración de su antivirus Microsoft Defender:

  1. En la página de inventario de dispositivos en el portal de Microsoft Defender en https://security.microsoft.com/machines, selecciona cualquier lugar de la fila de dispositivos excepto la casilla de verificación.

  2. En la página de detalles del dispositivo, selecciona Más opciones (...), y luego selecciona Activar el modo de solución de problemas.

    Captura de pantalla del menú de acciones del dispositivo con la opción Activar el modo de solución de problemas seleccionada.

    Note

    La opción de activar el modo de solución de problemas aparece para todos los dispositivos, incluso si uno no cumple los requisitos previos.

  3. En el flyout de confirmación, selecciona Enviar.

    Captura de pantalla del desplegable de confirmación para activar el modo de solución de problemas.

  4. Espera a que la página de detalles del dispositivo muestre que el modo de solución de problemas está activo. La activación puede durar hasta 15 minutos.

Desactivar temporalmente la protección contra manipulaciones

Una vez activado el modo de solución de problemas, utiliza PowerShell en un dispositivo Windows compatible o la aplicación Seguridad de Windows en un dispositivo cliente de Windows compatible para desactivar temporalmente la protección contra manipulaciones.

Desactiva temporalmente la protección contra manipulaciones usando PowerShell

Para desactivar temporalmente la protección contra manipulaciones mientras el dispositivo está en modo de solución de problemas, ejecuta el siguiente comando Set-MpPreference en una sesión elevada de PowerShell (una ventana de PowerShell que abriste seleccionando Ejecutar como administrador):

Set-MPPreference -DisableTamperProtection $true

Para verificar el estado de la protección contra manipulaciones en el dispositivo, ejecute el siguiente comando:

Get-MpComputerStatus | Select-Object IsTamperProtected

El valor False confirma que la protección contra manipulaciones está desactivada.

Desactiva temporalmente la protección contra manipulaciones usando la app Seguridad de Windows

Sigue los pasos en Configurar la protección contra manipulaciones usando la aplicación Seguridad de Windows para desactivar la protección contra manipulaciones.

Note

No necesitas volver a activar la protección antimanipulación manualmente. Cuando expira el modo de solución de problemas, el cambio temporal se descarta y la protección contra manipulaciones vuelve a su estado anterior gestionado por la política. Si la protección antimanipulación estaba activada antes, vuelve a encenderse. Si antes estaba apagado, sigue apagado.

Revisa los resultados del modo de resolución de problemas

Defender para Endpoint recopila registros y datos de investigación a lo largo del proceso de resolución de problemas:

  • Se toma una instantánea de MpPreference antes de que comience el modo de solución de problemas.
  • Se toma una segunda instantánea justo antes de que expire el modo de solución de problemas.
  • Los registros operativos se recopilan mientras el modo de resolución de problemas está activo.

Utiliza los siguientes métodos para revisar o recopilar información sobre el modo de resolución de problemas:

Consultas de búsqueda avanzadas

Utiliza las siguientes consultas avanzadas de caza para ver los eventos del modo de resolución de problemas en tu entorno. También puedes usar las consultas para crear reglas de detección que generen alertas cuando los dispositivos están en modo de solución de problemas.

Obtener eventos de resolución de problemas para un dispositivo determinado

Busca por deviceId o deviceName comentando la línea que no quieres usar.

//let deviceName = "<deviceName>";   // update with device name
let deviceId = "<deviceID>";   // update with device id
DeviceEvents
| where DeviceId == deviceId
//| where DeviceName  == deviceName
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| project Timestamp,DeviceId, DeviceName, _tsmodeproperties,
 _tsmodeproperties.TroubleshootingState, _tsmodeproperties.TroubleshootingPreviousState, _tsmodeproperties.TroubleshootingStartTime,
 _tsmodeproperties.TroubleshootingStateExpiry, _tsmodeproperties.TroubleshootingStateRemainingMinutes,
 _tsmodeproperties.TroubleshootingStateChangeReason, _tsmodeproperties.TroubleshootingStateChangeSource

Dispositivos actualmente en modo de solución de problemas

DeviceEvents
| where Timestamp > ago(3h) // troubleshooting mode automatically disables after 4 hours
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| where _tsmodeproperties.TroubleshootingStateChangeReason contains "started"
|summarize (Timestamp, ReportId)=arg_max(Timestamp, ReportId), count() by DeviceId
| order by Timestamp desc

Recuento de instancias de modo de solución de problemas por dispositivo

DeviceEvents
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| where Timestamp > ago(30d)  // choose the date range you want
| where _tsmodeproperties.TroubleshootingStateChangeReason contains "started"
| summarize (Timestamp, ReportId)=arg_max(Timestamp, ReportId), count() by DeviceId
| sort by count_

Cuenta las instancias del modo de solución de problemas en un intervalo de tiempo

DeviceEvents
| where ActionType == "AntivirusTroubleshootModeEvent"
| extend _tsmodeproperties = parse_json(AdditionalFields)
| where Timestamp > ago(2d) //beginning of time range
| where Timestamp < ago(1d) //end of time range
| where _tsmodeproperties.TroubleshootingStateChangeReason contains "started"
| summarize (Timestamp, ReportId)=arg_max(Timestamp, ReportId), count()
| where count_ > 5          // choose your max # of TS mode instances for your time range

Contenido relacionado

  • Se actualizó por última vez el