Administración del Control de aplicaciones de Windows Defender con Configuration Manager

Se aplica a: Configuration Manager (rama actual)

Control de aplicaciones de Windows Defender está diseñado para proteger los dispositivos contra malware y otro software que no es de confianza. Evita que se ejecute código malintencionado garantizando que solo se pueda ejecutar el código aprobado que conoce.

Control de aplicaciones es una capa de seguridad basada en software que aplica una lista explícita de software que puede ejecutarse en un equipo. Por sí solo, Control de aplicaciones no tiene ningún requisito previo de hardware o firmware. Las directivas de Control de aplicaciones implementadas con Configuration Manager habilitan una directiva en dispositivos de colecciones específicas que cumplen los requisitos mínimos de SKU y versión de Windows descritos en este artículo. Opcionalmente, la protección basada en hipervisor de las directivas de Control de aplicaciones implementadas con Configuration Manager se puede habilitar a través de la directiva de grupo en hardware capaz.

Para obtener más información, consulta la guía de implementación de Control de aplicaciones de Windows Defender.

Nota:

Esta característica se conocía anteriormente como integridad de código configurable y Device Guard.

Usar el Control de aplicaciones con Configuration Manager

Puede usar Configuration Manager para implementar una directiva de control de aplicaciones. Esta directiva permite configurar el modo en que se ejecuta el Control de aplicaciones en los dispositivos de una colección.

Puede configurar uno de los siguientes modos:

  1. Cumplimiento habilitado : solo se permite la ejecución de archivos ejecutables de confianza.
  2. Solo auditoría : permitir que se ejecuten todos los archivos ejecutables, pero registrar archivos ejecutables que no son de confianza que se ejecutan en el registro de eventos del cliente local.

¿Qué se puede ejecutar al implementar una directiva de control de aplicaciones?

El control de aplicaciones le permite controlar fuertemente lo que se puede ejecutar en los dispositivos que administra. Esta característica puede ser útil para dispositivos en departamentos de alta seguridad, donde es vital que el software no deseado no se pueda ejecutar.

Al implementar una directiva, normalmente, se pueden ejecutar los siguientes ejecutables:

  • Componentes del sistema operativo Windows
  • Controladores del Centro de desarrollo de hardware con firmas de Windows Hardware Quality Labs
  • Aplicaciones de la Tienda Windows
  • El cliente de Configuration Manager
  • Todo el software implementado a través de Configuration Manager que los dispositivos instalan después de procesar la directiva de control de aplicaciones
  • Novedades para los componentes integrados de Windows de:
    • Windows Update
    • Directivas de cliente de Windows Update
    • Windows Server Update Services
    • Configuration Manager
    • Opcionalmente, software con una buena reputación determinada por Microsoft Intelligent Security Graph (ISG). El ISG incluye SmartScreen de Windows Defender y otros servicios de Microsoft. El dispositivo debe ejecutar SmartScreen de Windows Defender y Windows 10 versión 1709 o posterior para que este software sea de confianza.

Importante

Estos elementos no incluyen ningún software que no esté integrado en Windows que se actualice automáticamente desde Internet o actualizaciones de software de terceros. Esta limitación se aplica tanto si se instalan mediante cualquiera de los mecanismos de actualización mencionados como si proceden de Internet. Control de aplicaciones solo permite cambios de software implementados a través del cliente de Configuration Manager.

Sistemas operativos admitidos

Para usar el Control de aplicaciones con Configuration Manager, los dispositivos deben ejecutar versiones compatibles de:

  • Windows 11 o posterior, Enterprise edition
  • Windows 10 o posterior, Enterprise edition
  • Windows Server 2019 o posterior

Sugerencia

Las directivas de Control de aplicaciones existentes creadas con la versión 2006 o anterior de Configuration Manager no funcionarán con Windows Server. Para admitir Windows Server, cree nuevas directivas de control de aplicaciones.

Antes de empezar

  • Una vez que una directiva se procesa correctamente en un dispositivo, Configuration Manager se configura como un instalador administrado en ese cliente. Después de los procesos de directiva, el software implementado por Configuration Manager pasa a ser automáticamente de confianza. Antes de que el dispositivo procese la directiva de Control de aplicaciones, el software instalado por Configuration Manager no es de confianza automáticamente.

    Nota:

    Por ejemplo, no puede usar el paso Instalar aplicación en una secuencia de tareas para instalar aplicaciones durante una implementación de sistema operativo. Para obtener más información, consulte Pasos de secuencia de tareas: Instalar aplicación.

  • La programación predeterminada de evaluación de cumplimiento para las directivas de Control de aplicaciones es todos los días. Esta programación se puede configurar durante la implementación de directivas. Si observa problemas en el procesamiento de directivas, configure la programación de evaluación de cumplimiento para que sea más frecuente. Por ejemplo, cada hora. Esta programación determina la frecuencia con la que los clientes vuelven a intentar procesar una directiva de control de aplicaciones si se produce un error.

  • Independientemente del modo de cumplimiento que seleccione, al implementar una directiva de control de aplicaciones, los dispositivos no pueden ejecutar aplicaciones HTML con la .hta extensión de archivo.

Crear una directiva de control de aplicaciones

  1. En la consola de Configuration Manager, vaya al área de trabajo Activos y cumplimiento.

  2. Expande Endpoint Protection y, a continuación, selecciona el nodo Control de aplicaciones de Windows Defender .

  3. En la pestaña Inicio de la cinta de opciones, en el grupo Crear , seleccione Crear directiva de control de aplicaciones.

  4. En la página General del Asistente para crear directivas de control de aplicaciones, especifique la configuración siguiente:

    • Nombre: escriba un nombre único para esta directiva de control de aplicaciones.

    • Descripción: de manera opcional, escriba una descripción para la directiva que le ayude a identificarla en la consola de Configuration Manager.

    • Forzar un reinicio de dispositivos para que esta directiva se pueda aplicar a todos los procesos: Una vez que el dispositivo procesa la directiva, se programa un reinicio en el cliente de acuerdo con la configuración de cliente para Reiniciar el equipo. Las aplicaciones que se ejecutan actualmente en el dispositivo no aplicarán la nueva directiva de Control de aplicaciones hasta después de un reinicio. Sin embargo, las aplicaciones iniciadas después de la aplicación de la directiva respetarán la nueva directiva.

    • Modo de cumplimiento: elija uno de los siguientes métodos de cumplimiento:

      • Cumplimiento habilitado: solo se permite la ejecución de aplicaciones de confianza.

      • Solo auditoría: permita que se ejecuten todas las aplicaciones, pero registre programas que no sean de confianza que se ejecuten. Los mensajes de auditoría se encuentran en el registro de eventos del cliente local.

  5. En la pestaña Inclusiones del Asistente para crear directiva de control de aplicaciones, elija si desea autorizar software de confianza para Intelligent Security Graph.

  6. Si desea agregar confianza para archivos o carpetas específicos en dispositivos, seleccione Agregar. En el cuadro de diálogo Agregar archivo o carpeta de confianza , puede especificar una ruta de acceso de carpeta o archivo local en la que confiar. También puede especificar una ruta de acceso de archivo o carpeta en un dispositivo remoto en el que tenga permiso para conectarse. Al agregar confianza para archivos o carpetas específicos en una directiva de control de aplicaciones, puede:

    • Superar los problemas con los comportamientos del instalador administrado.

    • Confíe en aplicaciones de línea de negocio que no puede implementar con Configuration Manager.

    • Confíe en las aplicaciones que se incluyen en una imagen de implementación del sistema operativo.

  7. Complete el asistente.

Implementar una directiva de control de aplicaciones

  1. En la consola de Configuration Manager, vaya al área de trabajo Activos y cumplimiento.

  2. Expande Endpoint Protection y, a continuación, selecciona el nodo Control de aplicaciones de Windows Defender .

  3. En la lista de directivas, seleccione la que quiera implementar. En la pestaña Inicio de la cinta de opciones, en el grupo Implementación , seleccione Implementar directiva de control de aplicaciones.

  4. En el cuadro de diálogo Implementar directiva de Control de aplicaciones , seleccione la colección en la que desea implementar la directiva. A continuación, configure una programación para cuando los clientes evalúen la directiva. Por último, seleccione si el cliente puede evaluar la directiva fuera de cualquier ventana de mantenimiento configurada.

  5. Cuando haya terminado, seleccione Aceptar para implementar la directiva.

Supervisar una directiva de control de aplicaciones

En general, use la información del artículo Supervisar la configuración de cumplimiento . Esta información puede ayudarle a supervisar que la directiva implementada se ha aplicado correctamente en todos los dispositivos.

Para supervisar el procesamiento de una directiva de control de aplicaciones, utilice el siguiente archivo de registro en dispositivos:

%WINDIR%\CCM\Logs\DeviceGuardHandler.log

Para comprobar el software específico que se está bloqueando o auditando, consulte los siguientes registros de eventos de cliente local:

  • Para bloquear y auditar archivos ejecutables, use Registros>> de aplicaciones y serviciosMicrosoftWindows>Code Integrity>Operational.

  • Para bloquear y auditar archivos de script y Windows Installer, use Registros>> de aplicaciones y servicios, MicrosoftWindows>AppLocker>,MSI y script.

Información de seguridad y privacidad

  • Los dispositivos que tienen una directiva implementada en ellos en modo Solo auditoría o Cumplimiento habilitado , pero que no se han reiniciado para aplicar la directiva, son vulnerables a la instalación de software que no es de confianza. En esta situación, el software podría seguir ejecutándose incluso si el dispositivo se reinicia o recibe una directiva en modo de cumplimiento habilitado.

  • Para ayudar a la eficacia de la directiva de control de aplicaciones, primero prepare el dispositivo en un entorno de laboratorio. Implemente una directiva de cumplimiento habilitado y, a continuación, reinicie el dispositivo. Una vez que compruebe que las aplicaciones funcionan, proporcione el dispositivo al usuario.

  • No implemente una directiva con el cumplimiento habilitado y, a continuación, implemente posteriormente una directiva con Solo auditoría en el mismo dispositivo. Esta configuración podría provocar la ejecución de software que no es de confianza.

  • Cuando usa Configuration Manager para habilitar el Control de aplicaciones en dispositivos, la directiva no impide que los usuarios con derechos de administrador local eludan las directivas de Control de aplicaciones o ejecuten software que no sea de confianza.

  • La única manera de evitar que los usuarios con derechos de administrador local deshabiliten el Control de aplicaciones es implementar una directiva binaria firmada. Esta implementación es posible mediante una directiva de grupo, pero actualmente no se admite en Configuration Manager.

  • La configuración de Configuration Manager como instalador administrado en dispositivos usa una directiva de Windows AppLocker. AppLocker solo se usa para identificar instaladores administrados. Todo el cumplimiento se produce con el Control de aplicaciones.

Pasos siguientes

Administración de directivas antimalware y configuración de firewall

  • Se actualizó por última vez el