Configurar y validar las conexiones de red del Antivirus de Windows Defender
Se aplica a:
- Microsoft Defender para punto de conexión Plan 1
- Microsoft Defender para punto de conexión Plan 2
- Antivirus de Microsoft Defender
Plataformas
- Windows
Para asegurarse de que Microsoft Defender protección proporcionada en la nube de Antivirus funciona correctamente, el equipo de seguridad debe configurar la red para permitir conexiones entre los puntos de conexión y determinados servidores de Microsoft. En este artículo se enumeran las conexiones que se deben permitir para usar las reglas de firewall. También proporciona instrucciones para validar la conexión. La configuración de la protección garantiza que recibe el mejor valor de los servicios de protección entregados en la nube.
Importante
Este artículo contiene información sobre la configuración de conexiones de red solo para Microsoft Defender Antivirus. Si usa Microsoft Defender para punto de conexión (que incluye Microsoft Defender Antivirus), consulte Configuración del proxy de dispositivo y la conectividad a Internet para Defender para punto de conexión.
Permitir conexiones al servicio en la nube Microsoft Defender Antivirus
El servicio en la nube Microsoft Defender Antivirus proporciona una protección rápida y segura para los puntos de conexión. Es opcional habilitar el servicio de protección entregado en la nube. Microsoft Defender se recomienda el servicio en la nube antivirus, ya que proporciona una protección importante contra el malware en los puntos de conexión y la red. Para obtener más información, consulte Habilitación de la protección entregada en la nube para habilitar el servicio con Intune, Configuration Manager de punto de conexión de Microsoft, directiva de grupo, cmdlets de PowerShell o clientes individuales en la aplicación Seguridad de Windows.
Después de habilitar el servicio, debe configurar la red o el firewall para permitir conexiones entre la red y los puntos de conexión. Dado que la protección es un servicio en la nube, los equipos deben tener acceso a Internet y llegar a los servicios en la nube de Microsoft. No excluya la dirección URL *.blob.core.windows.net de ningún tipo de inspección de red.
Nota:
El servicio en la nube Microsoft Defender Antivirus ofrece protección actualizada a la red y los puntos de conexión. El servicio en la nube no debe considerarse solo como protección para los archivos almacenados en la nube; en su lugar, el servicio en la nube usa recursos distribuidos y aprendizaje automático para ofrecer protección para los puntos de conexión a una velocidad más rápida que las actualizaciones de inteligencia de seguridad tradicionales.
Servicios y direcciones URL
En la tabla de esta sección se enumeran los servicios y sus direcciones url de sitio web asociadas.
Asegúrese de que no haya reglas de filtrado de red o firewall que denieguen el acceso a estas direcciones URL. De lo contrario, debe crear una regla de permiso específicamente para esas direcciones URL (excepto la dirección URL *.blob.core.windows.net). Las direcciones URL de la tabla siguiente usan el puerto 443 para la comunicación. (El puerto 80 también es necesario para algunas direcciones URL, como se indica en la tabla siguiente).
| Servicio y descripción | URL |
|---|---|
| Microsoft Defender servicio de protección de entrega en la nube antivirus se conoce como Servicio de Protección activa de Microsoft (MAPS). Microsoft Defender Antivirus usa el servicio MAPS para proporcionar protección proporcionada en la nube. |
*.wdcp.microsoft.com *.wdcpalt.microsoft.com*.wd.microsoft.com |
| Microsoft Update Service (MU) y Windows Update Service (WU) Estos servicios permiten la inteligencia de seguridad y las actualizaciones de productos. |
*.update.microsoft.com*.delivery.mp.microsoft.com*.windowsupdate.com ctldl.windowsupdate.comPara obtener más información, vea Puntos de conexión para Windows Update. |
| Actualizaciones de inteligencia de seguridad Ubicación de descarga alternativa (ADL) Esta es una ubicación alternativa para Microsoft Defender actualizaciones de inteligencia de seguridad del antivirus, si la inteligencia de seguridad instalada está obsoleta (siete o más días de retraso). |
*.download.microsoft.com*.download.windowsupdate.com (Se requiere el puerto 80)go.microsoft.com (Se requiere el puerto 80)https://www.microsoft.com/security/encyclopedia/adlpackages.aspx https://definitionupdates.microsoft.com/download/DefinitionUpdates/https://fe3cr.delivery.mp.microsoft.com/ClientWebService/client.asmx |
| Almacenamiento de envío de malware Se trata de una ubicación de carga para los archivos enviados a Microsoft mediante el formulario de envío o el envío automático de ejemplo. |
ussus1eastprod.blob.core.windows.netussus2eastprod.blob.core.windows.netussus3eastprod.blob.core.windows.netussus4eastprod.blob.core.windows.netwsus1eastprod.blob.core.windows.netwsus2eastprod.blob.core.windows.netussus1westprod.blob.core.windows.netussus2westprod.blob.core.windows.netussus3westprod.blob.core.windows.netussus4westprod.blob.core.windows.netwsus1westprod.blob.core.windows.netwsus2westprod.blob.core.windows.netusseu1northprod.blob.core.windows.netwseu1northprod.blob.core.windows.netusseu1westprod.blob.core.windows.netwseu1westprod.blob.core.windows.netussuk1southprod.blob.core.windows.netwsuk1southprod.blob.core.windows.netussuk1westprod.blob.core.windows.netwsuk1westprod.blob.core.windows.net |
| Lista de revocación de certificados (CRL) Windows usa esta lista al crear la conexión SSL a MAPS para actualizar la CRL. |
http://www.microsoft.com/pkiops/crl/http://www.microsoft.com/pkiops/certshttp://crl.microsoft.com/pki/crl/productshttp://www.microsoft.com/pki/certs |
| Cliente de RGPD universal Windows usa este cliente para enviar los datos de diagnóstico del cliente. Microsoft Defender Antivirus usa el Reglamento general de protección de datos con fines de calidad y supervisión del producto. |
La actualización usa SSL (puerto TCP 443) para descargar manifiestos y cargar datos de diagnóstico en Microsoft que usa los siguientes puntos de conexión DNS:vortex-win.data.microsoft.comsettings-win.data.microsoft.com |
Validación de conexiones entre la red y la nube
Después de permitir las direcciones URL enumeradas, compruebe si está conectado al servicio en la nube Microsoft Defender Antivirus. Pruebe que las direcciones URL notifican y reciben información correctamente para asegurarse de que está totalmente protegido.
Uso de la herramienta cmdline para validar la protección entregada en la nube
Use el siguiente argumento con la utilidad de línea de comandos Microsoft Defender Antivirus (mpcmdrun.exe) para comprobar que la red puede comunicarse con el servicio en la nube Microsoft Defender Antivirus:
"%ProgramFiles%\Windows Defender\MpCmdRun.exe" -ValidateMapsConnection
Nota:
Abra una ventana de Símbolo de sistema como administrador. Haga clic con el botón derecho en el elemento en el menú Inicio , haga clic en Ejecutar como administrador y haga clic en Sí en el símbolo del sistema de permisos. Este comando solo funcionará en Windows 10, versión 1703 o posterior, o Windows 11.
Para obtener más información, vea Administrar Microsoft Defender Antivirus con la herramienta de línea de comandos mpcmdrun.exe.
Mensajes de error
Estos son algunos mensajes de error que podría ver:
Start Time: <Day_of_the_week> MM DD YYYY HH:MM:SS
MpEnsureProcessMitigationPolicy: hr = 0x1
ValidateMapsConnection
ValidateMapsConnection failed to establish a connection to MAPS (hr=0x80070006 httpcore=451)
MpCmdRun.exe: hr = 0x80070006
ValidateMapsConnection failed to establish a connection to MAPS (hr=0x80072F8F httpcore=451)
MpCmdRun.exe: hr = 0x80072F8F
ValidateMapsConnection failed to establish a connection to MAPS (hr=0x80072EFE httpcore=451)
MpCmdRun.exe: hr = 0x80072EFE
Causas principales
La causa principal de estos mensajes de error es que el dispositivo no tiene configurado su proxy en todo WinHttp el sistema. Si no establece este proxy, el sistema operativo no conoce el proxy y no puede capturar la CRL (el sistema operativo lo hace, no Defender para punto de conexión), lo que significa que las conexiones TLS a direcciones URL como http://cp.wd.microsoft.com/ no se ejecutan correctamente. Verá conexiones correctas (respuesta 200) a los puntos de conexión, pero las conexiones de MAPS seguirán generando errores.
Soluciones
En la tabla siguiente se enumeran las soluciones:
| Solución | Description |
|---|---|
| Solución (preferida) | Configure el proxy WinHttp para todo el sistema que permite la comprobación de CRL. |
| Solución (preferida 2) | 1. Vaya a Configuración >del equipoConfiguración de Windows Configuración>de seguridad Directivas> de >clave públicaConfiguración de validación de la ruta de acceso del certificado. 2. Seleccione la pestaña Recuperación de red y, a continuación, seleccione Definir esta configuración de directiva. 3. Desactive la casilla Actualizar automáticamente certificados en el Programa de certificados raíz de Microsoft (recomendado ). Estos son algunos recursos útiles: - Configuración de raíces de confianza y certificados no permitidos - Mejora del tiempo de inicio de la aplicación: configuración GeneratePublisherEvidence en Machine.config |
| Solución de solución de solución de trabajo (alternativa) Esto no es un procedimiento recomendado, ya que ya no está comprobando si hay certificados revocados o anclaje de certificados. |
Deshabilite la comprobación de CRL solo para SPYNET. Al configurar este registro SSLOption, se deshabilita la comprobación de CRL solo para los informes de SPYNET. No afectará a otros servicios. Vaya a HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Spynet y, a continuación, establezca en SSLOptions (dword)2 (hexadecimal). Como referencia, estos son los valores posibles para DWORD: - 0 – disable pinning and revocation checks - 1 – disable pinning - 2 – disable revocation checks only - 3 – enable revocation checks and pinning (default) |
Intento de descargar un archivo de malware falso de Microsoft
Puede descargar un archivo de ejemplo que Microsoft Defender Antivirus detectará y bloqueará si está conectado correctamente a la nube.
Nota:
El archivo descargado no es exactamente malware. Es un archivo falso diseñado para probar si está conectado correctamente a la nube.
Si está conectado correctamente, verá una advertencia Microsoft Defender notificación antivirus.
Si usa Microsoft Edge, también verá un mensaje de notificación:
Se produce un mensaje similar si usa Internet Explorer:
Visualización de la detección de malware falso en la aplicación Seguridad de Windows
En la barra de tareas, seleccione el icono de Escudo y abra la aplicación Seguridad de Windows. O bien, busque en Start for Security (Iniciar por seguridad).
Seleccione Virus & protección contra amenazas y, a continuación, seleccione Historial de protección.
En la sección Amenazas en cuarentena , seleccione Ver historial completo para ver el malware falso detectado.
Nota:
Las versiones de Windows 10 anteriores a la versión 1703 tienen una interfaz de usuario diferente. Consulta Microsoft Defender Antivirus en la aplicación Seguridad de Windows.
El registro de eventos de Windows también mostrará Windows Defender identificador de evento de cliente 1116.
Sugerencia
Si busca información relacionada con el antivirus para otras plataformas, consulte:
Vea también
- Configuración del proxy de dispositivo y la conectividad a Internet para Microsoft Defender para punto de conexión
- Usar directiva de grupo configuración para configurar y administrar Microsoft Defender Antivirus
- Cambios importantes en el punto de conexión de Microsoft Active Protection Services
Sugerencia
¿Desea obtener más información? Engage con la comunidad de seguridad de Microsoft en nuestra comunidad tecnológica: Microsoft Defender para punto de conexión Tech Community.