Nota:
El acceso a esta página requiere autorización. Puede intentar iniciar sesión o cambiar directorios.
El acceso a esta página requiere autorización. Puede intentar cambiar los directorios.
Importante
Las características descritas en este artículo están actualmente en versión preliminar, no están disponibles en todas las organizaciones y están sujetas a cambios.
La protección de la configuración es un modelo de aplicación de la configuración que convierte la directiva administrada desde la nube en la única fuente fidedigna para la configuración de Microsoft Defender Antivirus. Cuando la protección de configuración está activada, las políticas de Intune y Microsoft Defender para punto de conexión tienen prioridad. El dispositivo ignora la configuración de la Directiva de grupo, las secuencias de comandos, Microsoft Configuration Manager y los cambios realizados por el administrador local.
La protección de la configuración elimina las desviaciones en la configuración y los conflictos de directivas al extender un mecanismo de aplicación similar al de la protección contra manipulaciones a toda la superficie de configuración de Microsoft Defender Antivirus.
La protección contra manipulaciones y la protección de configuración son capacidades complementarias pero distintas:
| Feature | Protección contra alteraciones | Protección de configuración |
|---|---|---|
| Scope | Pequeño conjunto fijo de ajustes de seguridad (~10-13 ajustes) | Superficie completa de configuración de Defender Antivirus |
| Fuente de configuración | Solo valores predeterminados definidos por Microsoft | Política de nube definida por la organización (Intune/Defender para Endpoint) |
| Personalización | Sin personalización | Control total basado en políticas |
| Cumplimiento | Evita desactivar protecciones críticas | Anula todos los canales de configuración que no sean en la nube |
La protección de configuración es un superconjunto de la protección contra manipulaciones que proporciona control basado en políticas sobre la configuración completa del antivirus Microsoft Defender.
Note
Aunque técnicamente la protección contra manipulaciones y la protección de configuración pueden activarse simultáneamente, recomendamos que tu organización elija una u otra.
Prerequisites
- Los dispositivos deben estar integrados en Microsoft Defender para punto de conexión.
- Los dispositivos deben gestionarse mediante Microsoft Intune o Defender para la gestión de la configuración de seguridad de los endpoints.
- Los dispositivos deben ejecutar Windows 10, Windows 11, Windows Server 2019, Windows Server 2022 o Windows Server 2025.
- Los dispositivos deben ejecutar Microsoft Defender para punto de conexión EDR Sensor versión posterior a la 10.8804 (septiembre de 2025).
- Los dispositivos deben ejecutar la plataforma Microsoft Defender Antivirus versión 4.18.26060.3004 o posterior (junio de 2026).
La protección de configuración actualmente no soporta:
- Entornos de cogestión (Administrador de configuración + Intune).
- Entornos de GCC High.
Qué cubre la protección de configuración
Actualmente, la protección de la configuración permite proteger y aplicar la configuración de Microsoft Defender Antivirus, incluyendo:
- Configuración del antivirus (ajustes de escaneo, exclusiones, actualizaciones)
- Políticas de reducción de superficie de ataque (ASR)
- Superficie de directiva CSP y Defender Configuration Service Provider (CSP) (amplio conjunto de controles relacionados con el antivirus)
- Comportamiento de la fusión de administradores locales
Actualmente, la protección de configuración no cubre:
- Control de dispositivos Microsoft Defender
- Configuración de detección y respuesta en puntos de conexión (EDR)
- Configuración del sistema operativo de Windows (como Cortafuegos)
Cómo funciona la aplicación de la protección de la configuración
La protección de configuración aplica políticas gestionadas en la nube mediante tres mecanismos:
Aplicación de una sola fuente: Cuando se habilita la protección de configuración, se aplican las siguientes reglas de aplicación:
- Solo se aplican las directivas de Intune y Defender for Endpoint a la configuración de Defender Antivirus.
- Se ignoran los cambios en el Objeto de Política de Grupo (GPO), los scripts, el Administrador de configuración y los cambios de administrador local.
- Microsoft Defender Antivirus no acepta exclusiones locales por defecto. Las organizaciones pueden permitir exclusiones de antivirus definidas por administradores locales habilitando la fusión de administradores locales mediante la política de Defender o Intune. Cuando la fusión de administradores locales está habilitada, las exclusiones antivirus definidas localmente pueden fusionarse con exclusiones gestionadas centralmente. Las exclusiones de reducción de superficie de ataque (ASR) definidas localmente no se respetan actualmente, incluso cuando se habilita la fusión de administradores locales.
Valores predeterminados seguros: Si una configuración no está configurada explícitamente en una política, la protección de configuración aplica valores predeterminados definidos por Microsoft. Este comportamiento garantiza que los dispositivos mantengan una postura de seguridad sólida incluso cuando los administradores no han configurado todos los ajustes disponibles.
Resolución de conflictos: La protección de la configuración utiliza un modelo de precedencia basado en el valor en lugar de un modelo en el que prevalece la última escritura:
- On tiene prioridad sobre Off. Si una política pone la protección de configuración en Encendida y otra en Apagada, la función permanece activada en el dispositivo.
- Si varias políticas asignan valores diferentes, se informa de un conflicto, pero el valor On sigue aplicándose.
- Si varias políticas asignan el mismo valor, el resultado es éxito sin conflicto.
Importante
No configurado no significa Apagado. Para desactivar la función, despliega explícitamente una política que ponga la protección de configuración en Apagado.
Habilitar la protección de configuración
Puedes activar la protección de configuración a través de Microsoft Intune o Microsoft Defender para punto de conexión Security Settings Management.
Microsoft Intune es la herramienta recomendada para configurar y distribuir las funcionalidades de Defender for Endpoint en los dispositivos. Sin embargo, Intune es un producto independiente que no forma parte de Defender para punto de conexión y no se incluye en todas las suscripciones. Para usar Intune, necesita una suscripción que la incluya o puede comprarla por separado como una suscripción independiente o un complemento. Si no tiene Intune, puede usar cualquiera de los otros métodos de este artículo. Para obtener más información, consulte Licencias de Microsoft Intune.
La protección de configuración se configura a través de la misma superficie de política que la protección contra manipulaciones. En el perfil Seguridad de Windows Experience, Intune renombra la configuración de protección contra manipulaciones a Protección de configuración (Dispositivo) cuando hay protección de configuración disponible. No puedes activar la protección de configuración a través del Catálogo de Ajustes ni de la plantilla de Control de Dispositivos v1 (DCv1).
Como la protección de configuración y la protección contra manipulación utilizan la misma configuración de política, configurar la protección de configuración (Activado) sustituye al valor de protección contra manipulaciones en ese dispositivo. No se despliegan políticas separadas de protección contra manipulaciones y de configuración para el mismo escenario. Para migrar las políticas existentes de protección contra manipulaciones (DCv1) a protección de configuración, crea una política de Seguridad de Windows Experience con protección de configuración (activada) y luego elimina la configuración de protección contra manipulaciones de tus políticas DCv1 para evitar conflictos.
- En la página de Seguridad de Endpoints en el centro de administración de Microsoft Intune en https://intune.microsoft.com, crea un nuevo perfil de Seguridad de Windows Experience o edita uno existente.
- Localiza la configuración de protección de configuración (dispositivo) (anteriormente Protección contra Manipulaciones).
- Establece el valor en Protección de configuración (Activada) para habilitar la protección de configuración.
- Asigna la política a los grupos de dispositivos correspondientes.
Versión mínima del cliente y reversión
Antes de asignar la protección de configuración (Activada), actualiza los dispositivos a la plataforma Microsoft Defender Antivirus versión 4.18.26060.3004 o posterior, y valida el despliegue con un grupo piloto.
En dispositivos con versiones anteriores de plataforma, Intune puede enviar Protección de Configuración (Activado) y Protección contra Manipulaciones (Desactivado), pero el dispositivo puede aplicar solo la configuración de protección contra manipulaciones. Este comportamiento deja desactivada tanto la protección de configuración como la protección contra manipulaciones.
Para revertir, cambia la política de Seguridad de Windows Experience de Protección de Configuración (Activada) a Protección contra Manipulaciones (Activada), despliega la política, sincroniza los dispositivos afectados y verifica que la protección contra manipulaciones esté activada. Se aplica la latencia normal de entrega de políticas.
Informes y supervisión
El estado de protección de configuración es visible tanto en el centro de administración de Intune como en el portal de Microsoft Defender, dependiendo de cómo se gestionen los dispositivos.
Intune: Para dispositivos inscritos directamente a través de Intune mediante Mobile Administración de dispositivos (MDM), puedes ver:
- Estado de la política (Éxito, Conflicto o Error)
- Estado de protección de configuración a nivel de dispositivo
Portal Microsoft Defender: Para dispositivos gestionados a través de Defender para la gestión de configuración de seguridad de endpoints, consulte el portal de Microsoft Defender para ver el estado de configuración efectivo.
Note
Estos dispositivos no son visibles en los informes de Intune. Utiliza el portal de Microsoft Defender para verificar el estado efectivo de protección de configuración.
Verifica la protección de configuración en un dispositivo
Para confirmar el estado de protección de configuración directamente en un dispositivo, ejecuta el siguiente cmdlet de PowerShell:
Get-MpComputerStatus
Revisa las siguientes propiedades en la salida:
- ControlledConfigurationState: El estado actual de aplicación de la protección de configuración en el dispositivo.
- IsTamperProtected: Indica si la protección contra manipulaciones (la base de la protección de configuración) está activa.
- TamperProtectionSource: La fuente que impone el estado actual.
También puedes usarla Get-MpComputerStatus para confirmar que la versión de la plataforma Microsoft Defender Antivirus cumple con los requisitos previos y para validar el estado de configuración tras un cambio de política o un reinicio de protección de configuración.
Comportamientos del ciclo de vida
El comportamiento de protección de configuración varía según los cambios en el ciclo de vida del dispositivo:
- Desasignación de políticas: La protección de configuración se elimina del dispositivo a menos que aún se aplique otra política de protección de configuración.
- Anulación de la inscripción de Defender for Endpoint: La protección de la configuración sigue Activada (no se limpia automáticamente).
- Retirada del dispositivo: Se quita la protección de la configuración y se restablece a Desactivado.
Restablecer la protección de configuración en un dispositivo
Para eliminar el estado de protección de la configuración en un dispositivo, ejecuta los siguientes comandos en un Símbolo del sistema con privilegios elevados (una ventana del Símbolo del sistema que abriste al seleccionar Ejecutar como administrador):
Tip
El dispositivo debe tener activada la protección contra manipulaciones y estar en modo de solución de problemas.
El primer comando cambia el directorio a la versión más reciente de la versión< de >la plataforma antimalware en %ProgramData%\Microsoft\Windows Defender\Platform\<antimalware platform version>. Si esa ruta de acceso no existe, se dirige a %ProgramFiles%\Windows Defender.
(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1
MpCmdRun.exe -Config -ResetControlledConfiguration
Para más información, consulte Habilitar y usar el modo de resolución de problemas en Microsoft Defender para punto de conexión.
Limitaciones conocidas
Actualmente, las siguientes limitaciones se aplican a la protección de configuración:
- Podrías ver falsos conflictos en Intune cuando tanto las políticas de protección contra manipulaciones como las de protección de configuración apuntan al mismo dispositivo.
- Puede que notes inconsistencias en los informes entre el centro de administración de Intune y el portal de Microsoft Defender.
- La cobertura se limita a la configuración de Microsoft Defender Antivirus (el control de dispositivos, el EDR y el cortafuegos aún no están cubiertos).
- Cuando activas la protección de configuración a través de Microsoft Defender para punto de conexión Security Settings Management o Intune, la protección contra manipulaciones se desactiva, a menos que otra política de protección contra manipulaciones lo ponga explícitamente activada. Cuando la protección de configuración está activada y la protección contra manipulaciones está desactivada, la puntuación de seguridad contra manipulación es menor. Estamos trabajando para cubrir esta brecha.