Configurar la conectividad del proxy para Microsoft Defender para punto de conexión en Windows

  • Se aplica a: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Microsoft Defender para punto de conexión en Windows utiliza configuraciones de proxy independientes para el sensor de detección y respuesta en el punto de conexión (EDR) y Microsoft Defender Antivirus. Cuando los dispositivos deben usar un proxy para acceder a sus respectivos servicios en la nube, utiliza esta guía para configurar el descubrimiento automático, configuraciones de proxy estático específico por componente o un proxy WinHTTP a nivel de sistema. La guía también cubre la configuración de proxy para dispositivos que utilizan el Microsoft Monitoring Agent (MMA).

Importante

Defender para Endpoint requiere conectividad IPv4. Para una red solo IPv6, utiliza un mecanismo de transición como DNS64/NAT64 para proporcionar conectividad IPv4 de extremo a extremo. Para obtener más información, consulte Requisitos mínimos para Microsoft Defender para punto de conexión.

Configura configuraciones de proxy separadas para los siguientes componentes:

Utiliza la guía de proxy para el sistema operativo que gestionas:

Elige un método de configuración de proxy de Windows

El sensor Defender for Endpoint funciona en el LocalSystem contexto y utiliza Windows HTTP Services (WinHTTP) para informar de los datos del sensor y comunicarse con Defender for Endpoint. La configuración de WinHTTP es independiente de la configuración del proxy de Internet de Windows (WinINet). Para más información, véase WinINet frente a WinHTTP.

Sugerencia

Si usas proxies forwards como puerta de enlace a internet, puedes usar protección de red para investigar eventos de conexión que ocurren detrás de proxies forward.

Utiliza uno de los siguientes métodos de configuración proxy:

  • Descubrimiento automático:

    • Proxy transparente.
    • Protocolo de Descubrimiento Automático de Proxy Web (WPAD).

    Si tu red usa un proxy transparente o WPAD, el sensor no requiere una configuración de proxy estático específico para cada componente.

  • Proxy estático del sensor EDR: Configúralo TelemetryProxyServer mediante la Directiva de Grupo cuando el sensor no pueda usar el descubrimiento automático o el proxy WinHTTP a nivel de sistema.

  • Proxy WinHTTP a nivel de sistema: Configura un proxy estático usando netsh winhttp. Esta configuración afecta a todas las aplicaciones y servicios que usan la configuración predeterminada del proxy WinHTTP. Un proxy estático a nivel de sistema es más adecuado para dispositivos en una topología de red estable.

Microsoft Defender Antivirus utiliza políticas proxy separadas para la protección entregada desde la nube. Configura esas políticas en Configurar un proxy estático para Microsoft Defender Antivirus.

Configurar un proxy estático del sensor EDR mediante la Política de grupo

Configure un proxy estático basado en el Registro cuando el sensor EDR no pueda conectarse directamente ni utilizar la detección de proxy. Introduce solo el host y el puerto del proxy en TelemetryProxyServer. No incluya espacios.

Nota:

Instala las últimas actualizaciones de Defender para Endpoint antes de configurar el proxy estático.

Configura ambas configuraciones en el objeto de Directiva de Grupo (GPO) que se aplica a los dispositivos destino.

  1. En el equipo de administración de directivas de grupo, abra la Consola de administración de directivas de grupo (GPMC).

  2. En el árbol de la consola GPMC, expanda Objetos de directiva de grupo en el bosque y el dominio que contengan el objeto de directiva de grupo (GPO) que desee editar.

  3. Haga clic con el botón derecho en el GPO y seleccione Editar.

  4. En el Editor de administración de directivas de grupo, ve a Configuración del equipo>Directivas>Plantillas administrativas>Componentes de Windows>Recopilación de datos y versiones preliminares.

  5. Abre Configurar el uso del Proxy Autenticado para el Servicio de Experiencia de Usuario Conectado y Telemetría, selecciona Habilitado y luego selecciona Desactivar el uso del Proxy Autenticado.

    Captura de pantalla de la configuración de Directiva de Grupo que desactiva el uso de proxy autenticado para telemetría.

  6. Abre Configurar experiencias de usuario conectadas y telemetría, introduce el proxy como <server-name-or-ip>:<port>, y luego selecciona Aceptar.

    Captura de pantalla de la configuración de Directiva de Grupo para la dirección del servidor proxy de telemetría y el puerto.

Las políticas configuran los siguientes valores del registro:

Directiva de grupo Ruta de acceso del Registro Valor del registro Datos de valor
Configurar el uso de proxy autenticado para el servicio de Experiencia de Usuario Conectada y Telemetría HKLM\Software\Policies\Microsoft\Windows\DataCollection DisableEnterpriseAuthProxy 1 (REG_DWORD)
Configuración de telemetría y experiencias de usuario conectadas HKLM\Software\Policies\Microsoft\Windows\DataCollection TelemetryProxyServer <server-name-or-ip>:<port> (REG_SZ), por ejemplo, 10.0.0.6:8080

Nota:

No despliegues TelemetryProxyServer a través de la gestión de dispositivos móviles (MDM). El sensor EDR lee TelemetryProxyServer desde la ubicación del registro de Directiva de Grupo.

En los dispositivos que no pueden usar el proxy WinHTTP predeterminado para las listas de revocación de certificados o Windows Update, establezca PreferStaticProxyForHttpRequest en 1 para que un sensor EDR compatible prefiera TelemetryProxyServer. Crea el valor debajo de HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Protección contra amenazas avanzada.

El siguiente comando crea el valor del registro:

reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection" /v PreferStaticProxyForHttpRequest /t REG_DWORD /d 1 /f

PreferStaticProxyForHttpRequest se aplica a las ramas de sensores soportadas que comienzan con MsSense.exe versión 10.8210.* o 10.8049.*. No se aplica a la solución anterior basada en MMA.

Configurar la configuración del proxy antivirus de Microsoft Defender

Microsoft Defender protección antivirus entregada en la nube proporciona protección casi instantánea y automatizada contra amenazas nuevas y emergentes. La conectividad en la nube es necesaria para indicadores personalizados cuando Microsoft Defender Antivirus es tu solución activa contra malware. También es necesario para la detección y respuesta de endpoints (EDR) en modo de bloqueo, que ofrece una alternativa de respaldo cuando una solución que no sea de Microsoft no bloquea una amenaza.

Nota:

Prefiero un proxy WinHTTP a nivel de sistema que permita a Windows recuperar listas de revocación de certificados. Si esa configuración no es posible, configurar SSLOptions en 2 desactiva HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\Spynet las comprobaciones de revocación de certificados para la protección en la nube de Microsoft Defender Antivirus. Desactivar las comprobaciones de revocación reduce la protección que ofrece la validación de certificados y no es una práctica recomendada. Para los valores y riesgos disponibles, consulte Configurar y validar conexiones de red de Microsoft Defender Antivirus.

Microsoft Defender Antivirus almacena en caché el último proxy funcional conocido. No uses la inspección TLS para conexiones en la nube de Defender porque la inspección rompe la conexión segura.

Microsoft Defender Antivirus no usa el proxy estático para conectarse a Windows Update o Microsoft Update para descargar actualizaciones. En su lugar, utiliza un proxy de todo el sistema si está configurado para usar Windows Update, o bien utiliza el origen de actualización interno configurado según el orden de reserva para actualizaciones de protección de Microsoft Defender Antivirus.

Configurar la configuración del proxy usando la Directiva de Grupo

Utiliza el procedimiento en Configurar Microsoft Defender Antivirus usando la Directiva de Grupo para abrir y editar una GPO que se aplica a los dispositivos objetivo. Luego, configura la política específica del proxy:

  1. En el Editor de administración de directivas de grupo, ve a Configuración del equipo>Directivas>Plantillas administrativas>Componentes de Windows>Microsoft Defender Antivirus.

  2. Abra Definir servidor proxy para conectarse a la red, seleccione Habilitada y defina el servidor proxy. Incluye http:// o https://. Mantén actualizada la plataforma Defender Antivirus tal y como se describe en Gestionar las actualizaciones de Microsoft Defender Antivirus.

    Captura de pantalla de la política de antivirus de Microsoft Defender para definir un servidor proxy.

La directiva crea el valor de cadena ProxyServer en HKLM\Software\Policies\Microsoft\Windows Defender. Utilice el siguiente formato:

<protocol>://<server-name-or-ip>:<port>

Por ejemplo: http://10.0.0.6:8080.

Para usar un archivo de autoconfiguración proxy (PAC), configura Define proxy auto-config (.pac) para conectarse a la red. Para omitir el proxy en destinos específicos, configura Definir direcciones para omitir el servidor proxy.

Configurar la configuración del proxy usando PowerShell

Usa los cmdlets antivirus de Microsoft Defender en una sesión PowerShell elevada en el dispositivo local (una ventana de PowerShell que abriste seleccionando Ejecutar como administrador).

  • Configura un servidor proxy estático o un archivo PAC:

    • Configurar un servidor proxy estático: Utilizar la siguiente sintaxis:

      Set-MpPreference -ProxyServer "<protocol>://<server-name-or-ip>:<port>"

      Por ejemplo:

      Set-MpPreference -ProxyServer "http://10.0.0.6:8080"

    • Configurar un archivo PAC: Utiliza la siguiente sintaxis**:

      Set-MpPreference -ProxyPacUrl "<pac-file-url>"

      Por ejemplo:

      Set-MpPreference -ProxyPacUrl "https://proxy.contoso.com/proxy.pac"

  • Evita el proxy para destinos específicos: Utiliza la siguiente sintaxis:

    Set-MpPreference -ProxyBypass "<address-1>","<address-2>"

    Por ejemplo:

    Set-MpPreference -ProxyBypass "intranet.contoso.com","updates.fabrikam.com"

  • Verifique la configuración:

    Get-MpPreference | Select-Object ProxyServer, ProxyPacUrl, ProxyBypass

Para obtener más información, consulte Usar cmdlets de PowerShell para configurar y ejecutar Microsoft Defender Antivirus y Set-MpPreference.

Configura un proxy estático a nivel de sistema utilizando netsh

En dispositivos con una topología de red estable, abre el Símbolo del sistema seleccionando Ejecutar como administrador y usa netsh winhttp para configurar un proxy estático para todo el sistema.

Nota:

La configuración afecta a todas las aplicaciones y servicios de Windows que usan la configuración predeterminada del proxy WinHTTP.

Utilice la sintaxis siguiente:

netsh winhttp set proxy <proxy>:<port>

El siguiente ejemplo configura el servidor proxy en 10.0.0.6 para usar puerto 8080:

netsh winhttp set proxy 10.0.0.6:8080

Para eliminar la configuración actual del proxy WinHTTP y volver a la conectividad directa, ejecute el siguiente comando:

netsh winhttp reset proxy

Para mostrar la configuración actual, configurar direcciones de bypass o usar configuraciones avanzadas de proxy WinHTTP, consulte netsh winhttp. Para convenciones generalesnetsh, véase sintaxis de comandos Netsh, contextos y formato.

Configurar configuraciones de proxy para dispositivos que usan MMA

Los dispositivos con Windows 8.1 siguen dependiendo de MMA para Defender for Endpoint. Los dispositivos Windows 7 SP1, Windows Server 2008 R2 SP1, Windows Server 2012 R2 y Windows Server 2016 deberían usar el agente Defender for Endpoint más reciente. Para orientación sobre migración, consulta Actualizar MMA en dispositivos Windows.

Para Windows 8.1 y cualquier otro dispositivo que continúe usando temporalmente MMA, configura un proxy a nivel de sistema o configura MMA para conectarse a través de un proxy o gateway de Log Analytics:

Para orientación de incorporación, véase Incorporar versiones anteriores de Windows.

Contenido relacionado

Los siguientes artículos ofrecen más información sobre la configuración del proxy, conectividad, incorporación y resolución de problemas para Defender for Endpoint:

  • Se actualizó por última vez el