Use las líneas base de seguridad para ayudar a proteger los dispositivos Windows que administra con Microsoft Intune

Con las líneas base de seguridad de Microsoft Intune, puede implementar rápidamente una postura de seguridad recomendada en sus dispositivos Windows administrados para líneas base de seguridad de Windows para ayudarle a proteger y proteger a sus usuarios y dispositivos.

Aunque Windows y Windows Server están diseñados para ser seguros de fábrica, muchas organizaciones aún quieren un control más pormenorizado sobre sus configuraciones de seguridad. Para navegar por el gran número de controles, las organizaciones a menudo buscan instrucciones sobre la configuración de varias características de seguridad. Microsoft proporciona esta guía en forma de líneas base de seguridad.

Esta característica se aplica a:

  • Windows 11

  • Windows 10, versión 1809 y posteriores

    Importante

    El 14 de octubre de 2025, Windows 10 llegó a la finalización del soporte y no recibirá actualizaciones de calidad ni de características. Windows 10 es una versión permitida en Intune. Los dispositivos que ejecutan esta versión aún pueden inscribirse en Intune y usar características elegibles, pero la funcionalidad no estará garantizada y puede variar.

Información general sobre la línea base de seguridad de Intune

Cada línea base de seguridad es un grupo de opciones preconfiguradas de Windows que le ayudan a aplicar y exigir la configuración de seguridad granular recomendada por los equipos de seguridad relevantes. También puede personalizar cada línea base que implemente para aplicar solo la configuración y los valores que necesite. Al crear un perfil de líneas de base de seguridad en Intune, está creando una plantilla que consta de varios perfiles de configuración de dispositivos.

Las opciones en cada línea base son opciones de configuración de dispositivo, como las que se encuentran en varias directivas de Intune. Cada configuración de una línea base funciona con el proveedor de servicios de configuración del producto relevante que está presente en un dispositivo Windows administrado.

Para obtener más información sobre por qué y cuándo es posible que quiera implementar líneas base de seguridad, consulte Líneas base de seguridad de Windows en la documentación de seguridad de Windows.

Implementa líneas base de seguridad en grupos de usuarios o dispositivos en Intune y la configuración se aplica a los dispositivos que ejecutan Windows. Por ejemplo, la configuración predeterminada de la línea base de seguridad para Windows 10 y versiones posteriores habilita automáticamente BitLocker para unidades extraíbles, requiere automáticamente una contraseña para desbloquear un dispositivo, deshabilita automáticamente la autenticación básica y mucho más. Si un valor predeterminado no funciona para su entorno, personalice la línea de base para aplicar la configuración que necesita.

Nota:

En mayo de 2023, Intune comenzó a implementar un nuevo formato de línea base de seguridad para cada nueva versión de línea base o actualización de versión. El nuevo formato actualiza la configuración de línea base para tomar directamente su nombre y opciones de configuración del proveedor de servicios de configuración (CSP) que administra la configuración de línea base.

Intune también introdujo un nuevo proceso para ayudarle a migrar un perfil de línea base de seguridad existente a la versión de línea base más reciente. Este nuevo comportamiento es un proceso único que reemplaza el comportamiento normal de actualización al pasar de la versión más reciente de un perfil anterior a una versión más reciente que estuvo disponible en mayo de 2023 o posterior.

Ventajas de usar líneas base: las líneas base de seguridad pueden ayudarle a tener un flujo de trabajo seguro de un extremo a otro al trabajar con Microsoft 365. Estas son algunas de las ventajas:

  • De forma predeterminada, cada línea base de seguridad está configurada para cumplir con las prácticas recomendadas y recomendaciones para la configuración que afecta a la seguridad. Intune se asocia con el mismo equipo de seguridad de Windows que crea las líneas de base de seguridad de directiva de grupo. Estas recomendaciones se basan en la orientación y en una amplia experiencia.
  • Si es nuevo en Intune y no está seguro de por dónde empezar, las líneas base de seguridad le proporcionan una ventaja. Puede crear e implementar rápidamente un perfil seguro, sabiendo que ayuda a proteger los recursos y datos de su organización.
  • Si actualmente usa la directiva de grupo, migrar a Intune para administrar es más fácil con estas líneas base. Estas líneas base están integradas de forma nativa en Intune e incluyen una experiencia de administración moderna.

Configuración predeterminada en varias líneas base: Los tipos de línea base independientes, como la línea base de seguridad de MDM para Windows y la línea base para Microsoft Defender, pueden incluir la misma configuración y usar diferentes valores predeterminados para esa configuración. Intune no puede determinar qué configuración es la mejor para usted, ni siquiera en qué entorno o escenario podría desear usar una recomendación predeterminada de líneas base en lugar de otra:

  • Es importante comprender los valores predeterminados de las líneas base que usa y, a continuación, modificar cada línea base para adaptarla a las necesidades de su organización.
  • De forma predeterminada, cada línea base está preconfigurada con las recomendaciones específicas del producto al que se aplica.
  • En algunos casos, una configuración recomendada por Microsoft Defender puede no ser la configuración predeterminada para opciones similares cuando Windows la recomienda. En tales situaciones, es importante revisar cada configuración para que pueda comprender su intención en función de los detalles del proveedor de servicios de configuración y el alcance más amplio de los dos productos.

En casi todos los escenarios, la configuración predeterminada de las líneas base de seguridad es la más restrictiva. Debe confirmar que esta configuración no entra en conflicto con otras configuraciones o características de directiva de su entorno.

Por ejemplo, es posible que la configuración predeterminada para la configuración del firewall no combine las reglas de seguridad de conexión y las reglas de directiva local con las reglas de MDM. Por lo tanto, si estás usando la optimización de distribución, debes validar estas configuraciones antes de asignar la línea base de seguridad.

Nota:

Microsoft no recomienda usar versiones preliminares de líneas de base de seguridad en un entorno de producción. La configuración de una línea de base en versión preliminar podría cambiar en el transcurso de la versión preliminar.

Líneas de base de seguridad disponibles

Las instancias de línea de base de seguridad siguientes están disponibles para usarlas con Intune. Use los vínculos para ver la configuración de las instancias recientes de cada línea de base.

Cuando una nueva versión de un perfil está disponible, la configuración de los perfiles basados en las versiones anteriores pasa a ser de solo lectura. Puede seguir usando esos perfiles anteriores. También puede editar los nombres de perfil, la descripción y las tareas, pero no admiten un cambio en su configuración de configuración y no puede crear nuevos perfiles basados en las versiones anteriores.

Cuando esté listo para usar la versión de línea base más reciente, puede crear nuevos perfiles o actualizar los perfiles existentes a la nueva versión. Vea Actualizar un perfil de línea base a la versión más reciente en el artículo Administrar perfiles de línea base de seguridad .

A cerca de las instancias y versiones de línea de base

Cada nueva instancia de versión de una línea de base puede agregar o quitar la configuración, o aplicar otros cambios. Por ejemplo, a medida que hay disponibles nuevas opciones de configuración de Windows con nuevas versiones de Windows, Security Baseline para Windows 10 y versiones posteriores podría recibir una nueva instancia de versión que incluya la configuración más reciente.

Puede ver la lista de líneas base disponibles en el Centro de administración de Microsoft Intune, enLíneas base de seguridad de puntos > de conexión. La lista incluye:

  • El nombre de cada plantilla de línea base de seguridad.
  • Cuántos perfiles tiene en los que se use ese tipo de línea de base.
  • Cuántas instancias independientes (versiones) del tipo base hay disponibles.
  • Fecha de Última publicación que identifica cuándo estuvo disponible la versión más reciente de la plantilla de línea base.

Para obtener más información acerca de las versiones de línea base que usa, seleccione un tipo de línea base, como Línea base de seguridad para Windows 10 y versiones posteriores para abrir su panel Perfiles y, a continuación, seleccione Versiones. Intune muestra detalles sobre las versiones de esa línea de base que se encuentran en uso por parte de sus perfiles. Los detalles incluyen la versión de línea base más reciente y actual. Puede seleccionar una sola versión para ver más detalles sobre los perfiles en los que se usa.

Puede elegir cambiar la versión de una línea base que esté en uso con un perfil determinado. Al cambiar de versión, no es necesario crear un nuevo perfil de línea base para aprovechar las versiones actualizadas, sino que se puede seleccionar un perfil de línea base y usar la opción integrada para cambiar la versión de la instancia de ese perfil por una nueva.

Evitación de conflictos

Puede usar una o varias de las líneas de base disponibles en su entorno de Intune al mismo tiempo. También puede usar varias instancias de las mismas líneas de base de seguridad con diversas personalizaciones.

Al usar varias líneas de base de seguridad, revise la configuración en cada una para identificar los casos en los que diferentes configuraciones de líneas de base presentan valores en conflicto del mismo ajuste. Dado que puede implementar líneas de base de seguridad diseñadas para diversas intenciones e implementar varias instancias de la misma línea de base que incluye la configuración personalizada, es posible que cree conflictos de configuración para dispositivos que deben investigarse y resolverse.

Además, las líneas de base de seguridad suelen administrar la misma configuración que se puede establecer con perfiles de configuración de dispositivos u otros tipos de directivas. Por lo tanto, tenga en cuenta y considere sus otras directivas y perfiles para la configuración cuando intente evitar o resolver conflictos.

Para obtener información que pueda ayudarle a identificar y resolver conflictos, consulte:

Preguntas y respuestas

¿Por qué esta configuración?

El grupo de seguridad de Microsoft acumula muchos años de experiencia trabajando directamente con los desarrolladores de Windows y la comunidad de seguridad para crear estas recomendaciones. Las configuraciones de esta línea de base se consideran las opciones de configuración relacionadas con la seguridad más pertinentes. En cada nueva compilación de Windows, el equipo ajusta sus recomendaciones basándose en las características lanzadas recientemente.

¿Hay alguna diferencia en las recomendaciones para las líneas de base de seguridad de Windows para la directiva de grupo respecto a Intune?

El mismo equipo de seguridad de Microsoft eligió y organizó la configuración para cada línea de base. Intune incluye todas las configuración pertinentes en la línea de base de seguridad de Intune. Hay algunas configuraciones en la línea de base de la directiva de grupo que son específicas de un controlador de dominio local. Estas opciones se excluyen de las recomendaciones de Intune. Todas las demás configuraciones son las mismas.

¿Son compatibles las líneas de base de seguridad CIS o NIST de Intune?

Estrictamente hablando, no. El equipo de seguridad de Microsoft consulta a las organizaciones, como CIS, para recopilar sus recomendaciones. Sin embargo, no hay una asignación uno a uno entre "compatible con CIS" y las líneas base de Microsoft.

¿Qué certificaciones tienen las líneas base de seguridad de Microsoft?

Microsoft continúa publicando líneas de base de seguridad para directivas de grupo (GPO) y el Security Compliance Toolkit, como ha hecho durante muchos años. Muchas organizaciones usan estas líneas de base. Las recomendaciones que figuran en estas líneas de base provienen del compromiso del equipo de seguridad de Microsoft con clientes empresariales y agencias externas, incluido el Departamento de Defensa (DoD), el Instituto Nacional de Estándares y Tecnología (NIST), etc. Compartimos nuestras recomendaciones y líneas de base con estas organizaciones. Estas organizaciones también tienen sus propias recomendaciones que reflejan fielmente las recomendaciones de Microsoft. Dado que la administración de dispositivos móviles (MDM) continúa creciendo en la nube, Microsoft ha creado recomendaciones de MDM equivalentes de estas líneas de base de directivas de grupo. Muchas de estas líneas base están integradas en Microsoft Intune e incluyen informes de cumplimiento sobre usuarios, grupos y dispositivos que siguen (o no siguen) la línea base.

Muchos clientes usan las recomendaciones de línea base de Intune como punto de partida y, a continuación, las personalizan para satisfacer sus demandas de TI y seguridad. La plantilla de línea base de Windows 10 de Microsoft y versiones posteriores fue la primera línea base en publicarse. Esta línea de base se construye como una infraestructura genérica que permite a los clientes eventualmente importar otras líneas de base de seguridad basadas en CIS, NIST y otros estándares.

La migración de directivas de grupo de Active Directory local a una solución en la nube pura con Microsoft Entra ID con Microsoft Intune es un viaje. Como ayuda, use las diversas herramientas del kit de herramientas para el cumplimiento de la seguridad para identificar las opciones basadas en la nube de las líneas base de seguridad que pueden reemplazar las configuraciones de GPO locales.

¿Dónde puedo encontrar detalles sobre cómo usar o configurar las opciones que están disponibles en una línea base de seguridad?

Cada línea base de seguridad administra las configuraciones de dispositivos aplicando las opciones que se encuentran en un proveedor de servicios de configuración en un dispositivo. Por ejemplo, la configuración que se aplica a Microsoft Defender se toma del CSP de Microsoft Defender. Dado que Intune es un vehículo de configuración para esas opciones y no determina su funcionalidad o ámbito, la documentación de CSP posee el contenido sobre cómo configurar cada opción.

Dentro de la interfaz de usuario de la directiva de línea base de seguridad de Intune, Intune proporciona texto de información que se toma del CSP de origen y proporciona un vínculo a ese CSP. En algunos casos, el CSP puede formar parte de un conjunto de contenido más amplio que incluye una guía proactiva que permanece más allá del ámbito de Intune para incluir o duplicar en nuestro contenido. Sin embargo, Intune documenta la lista de opciones de configuración en cada versión de línea base de seguridad y su configuración predeterminada.

Más información

  • Last updated on