Evaluar Microsoft Defender Antivirus mediante directiva de grupo

En este artículo se explica cómo habilitar y probar las características de protección clave de Microsoft Defender Antivirus y Microsoft Defender Exploit Guard en las versiones actuales de Microsoft Windows y Windows Server.

Requisitos previos

Sistemas operativos admitidos

  • Windows 10 o posterior
  • Windows Server 2016 o posterior

Uso de Microsoft Defender Antivirus mediante directiva de grupo para habilitar las características

En esta sección se describe cómo usar una directiva de grupo Central Store para configurar Microsoft Defender Antivirus para su evaluación.

  1. Descargue los archivos de plantilla administrativa más recientes de Vínculos para descargar los archivos de plantillas administrativas en función de la versión del sistema operativo.

    Sugerencia

    Compruebe la sección Requisitos del sistema en las páginas de descarga individuales:

    • La mayoría de las descargas admiten clientes Windows y servidores Windows.
    • Obtenga la descarga más reciente disponible y aplicable.
  2. Realice uno de los procedimientos siguientes para crear un Almacén central para hospedar las plantillas .admx y .adml más recientes:

    • Dominios:

      1. Cree una nueva unidad organizativa para bloquear la herencia de directivas.
      2. Abra la consola de administración de directivas de grupo (gpmc.msc).
      3. Vaya a objetos directiva de grupo y cree una nueva directiva de grupo.
      4. Haga clic con el botón derecho en la nueva directiva de grupo y, a continuación, seleccione Editar.
      5. Vaya aDirectivas>de configuración> del equipoPlantillas> administrativasComponentes>de Windows Microsoft Defender Antivirus.
    • Grupos de trabajo:

      1. Abre el Editor de directivas de grupo (gpedit.msc).
      2. Vaya a Configuración> del equipoPlantillas> administrativasComponentes> de Windows Microsoft Defender Antivirus.

Para obtener más información, consulta Crear y administrar la Tienda central: cliente de Windows.

MDAV y aplicaciones potencialmente no deseadas (PUA)

Raíz:

Descripción Configuración
Desactivar Microsoft Defender Antivirus Deshabilitada
Configuración de la detección para aplicaciones potencialmente no deseadas Habilitado: bloquear

Protección en tiempo real (protección siempre activa, examen en tiempo real)

Protección en tiempo real:

Descripción Configuración
Desactivar la protección en tiempo real Deshabilitada
Configuración de la supervisión de la actividad de archivos y programas entrantes y salientes Habilitado, bidireccional (full on-access)
Activar la supervisión del comportamiento Habilitado
Supervisión de la actividad de archivos y programas en el equipo Habilitado

Características de protección en la nube

Standard actualizaciones de inteligencia de seguridad pueden tardar horas en prepararse y entregarse; nuestro servicio de protección entregado en la nube puede ofrecer esta protección en segundos.

Para obtener más información, consulte Uso de tecnologías de última generación en Microsoft Defender Antivirus a través de la protección proporcionada en la nube.

MAPS:

Descripción Configuración
Unirse a Microsoft MAPS Habilitado, Mapas avanzados
Configuración de la característica "Bloquear a primera vista" Habilitado
Envío de ejemplos de archivos cuando se requiera un análisis adicional Habilitado, Enviar todos los ejemplos

MpEngine:

Descripción Configuración
Selección del nivel de protección en la nube Habilitado, nivel de bloqueo alto
Configuración de la comprobación de nube extendida Habilitado, 50

Exámenes

Descripción Configuración
Activar la heurística Habilitado
Activar el examen de correo electrónico Habilitado
Examinar todos los archivos y datos adjuntos descargados Habilitado
Activar el examen de scripts Habilitado
Examen de archivos de archivo Habilitado
Examen de archivos ejecutables empaquetados Habilitado
Configuración del examen de archivos de red (scan network Files) Habilitado
Examen de unidades extraíbles Habilitado
Activar el examen del punto de reanálisis Habilitado

Actualizaciones de Inteligencia de seguridad

Descripción Configuración
Especificar el intervalo para comprobar si hay actualizaciones de inteligencia de seguridad Habilitado, 4
Definir el orden de los orígenes para descargar las actualizaciones de inteligencia de seguridad Habilitado, en "Definir el orden de los orígenes para descargar las actualizaciones de inteligencia de seguridad"

Deshabilitación de la configuración del antivirus de administrador local

Deshabilite la configuración del antivirus del administrador local, como las exclusiones, y aplique las directivas de la administración de configuración de seguridad de Microsoft Defender para punto de conexión.

Raíz:

Descripción Configuración
Configuración del comportamiento de combinación de administrador local para listas Deshabilitada
Controlar si las exclusiones son visibles para los administradores locales Habilitado

Acción predeterminada de gravedad de amenaza

Amenazas:

Descripción Configuración Nivel de alerta Acción
Especificar los niveles de alerta de amenaza en los que no se debe realizar una acción predeterminada cuando se detecta Habilitado
5 (grave) 2 (cuarentena)
4 (Alto) 2 (cuarentena)
2 (medio) 2 (cuarentena)
1 (Bajo) 2 (cuarentena)

Cuarentena:

Descripción Configuración
Configuración de la eliminación de elementos de la carpeta Cuarentena Habilitado, 60

Interfaz de cliente:

Descripción Configuración
Habilitación del modo de interfaz de usuario sin cabeza Deshabilitada

Protección de red

Microsoft Defender Protección contra vulnerabilidades de seguridad\Protección de red:

Descripción Configuración
Impedir que usuarios y aplicaciones accedan a sitios web peligrosos Habilitado, Bloquear
Esta configuración controla si la protección de red se puede configurar en modo de bloque o auditoría en Windows Server Habilitado

Para habilitar La protección de red para servidores Windows, por ahora, use PowerShell:

SO Comando de PowerShell
Windows Server 2012 R2 y versiones posteriores Set-MpPreference -AllowNetworkProtectionOnWinServer $true
Windows Server 2016 y Windows Server 2012 cliente de MDE unificado de R2 Set-MpPreference -AllowNetworkProtectionOnWinServer $true -AllowNetworkProtectionDownLevel $true

Reglas de reducción de la superficie expuesta a ataques

  1. Vaya a Configuración> del equipoPlantillas> administrativasComponentes> de Windows Microsoft Defender Antivirus> Microsoft DefenderReducción de la superficie expuesta a ataques de Protección contra vulnerabilidades> de seguridad.

  2. Seleccione Siguiente.

Nombre del valor Nombre de regla de ASR Valor
01443614-cd74-433a-b99e-2ecdc07bfc25 Impedir que los archivos ejecutables se ejecuten a menos que cumplan un criterio de prevalencia, edad o lista de confianza 1 (bloquear)
26190899-1602-49e8-8b27-eb1d0a1ce869 Impedir que la aplicación de comunicación de Office cree procesos secundarios 1 (bloquear)
33ddedf1-c6e0-47cb-833e-de6133960387 Bloquear el reinicio de la máquina en modo seguro 1 (bloquear)
3b576869-a4ec-4529-8536-b80a7769e899 Impedir que las aplicaciones de Office creen contenido ejecutable 1 (bloquear)
56a863a9-875e-4185-98a7-b882c64b5ce5 Bloquear el abuso de controladores firmados vulnerables explotados (dispositivo) 1 (bloquear)
5beb7efe-fd9a-4556-801d-275e5ffc04cc Bloquear la ejecución de scripts potencialmente ofuscados 1 (bloquear)
75668c1f-73b5-4cf0-bb93-3ecf5cb7cc84 Impedir que las aplicaciones de Office inserten código en otros procesos 1 (bloquear)
7674ba52-37eb-4a4f-a9a1-f0f9a1619a2c Impedir que Adobe Reader cree procesos secundarios 1 (bloquear)
92e97fa1-2edf-4476-bdd6-9dd0b4dddc7b Bloquear llamadas API de Win32 desde macros de Office 1 (bloquear)
9e6c4e1f-7d60-472f-ba1a-a39ef669e4b2 Bloquear el robo de credenciales del subsistema de autoridad de seguridad local de Windows 1 (bloquear)
a8f5898e-1dc8-49a9-9878-85004b8a61e6 Bloquear la creación de WebShell para servidores 1 (bloquear)
b2b3f03d-6a65-4f7b-a9c7-1c7ef74a9ba4 Bloquear procesos que no son de confianza y no firmados que se ejecutan desde USB 1 (bloquear)
be9ba2d9-53ea-4cdc-84e5-9b1eeee46550 Bloquear el contenido ejecutable del cliente de correo electrónico y el correo web 1 (bloquear)
c0033c00-d16d-4114-a5a0-dc9b3a7d2ceb Bloquear el uso de herramientas del sistema copiadas o suplantadas 1 (bloquear)
c1db55ab-c21a-4637-bb3f-a12568109d35 Uso de protección avanzada contra ransomware 1 (bloquear)
d1e49aac-8f56-4280-b9ba-993a6d77406c Bloquear las creaciones de procesos que se originen a partir de comandos PSExec y WMI 1 (bloquear)*
d3e037e1-3eb8-44c8-a917-57927947596d Impedir que JavaScript o VBScript inicien contenido ejecutable descargado 1 (bloquear)
d4f940ab-401b-4efc-aadc-ad5f3c50688a Impedir que todas las aplicaciones de Office creen procesos secundarios 1 (bloquear)
e6db77e5-3df2-4cf1-b95a-636979351e5b Bloquear la persistencia a través de la suscripción de eventos WMI 1 (bloquear)

*Si usa Microsoft Configuration Manager (anteriormente conocida como Microsoft Endpoint Configuration Manager y Microsoft System Center Configuration Manager) u otras herramientas de administración que usan WMI, use el valor 2 (Audit). El cliente Administrador de configuración se basa en gran medida en WMI.

Sugerencia

Algunas reglas pueden bloquear el comportamiento que considere aceptable en su organización. En estos casos, cambie la regla de 1 (Bloque) a 2 (Auditoría) para evitar bloques no deseados.

Acceso controlado a carpetas

Vaya a Configuración> del equipoPlantillas> administrativasComponentes> de Windows Microsoft Defender Antivirus> Microsoft DefenderReducción de la superficie expuesta a ataques de Protección contra vulnerabilidades> de seguridad.

Descripción Configuración
Configuración del acceso controlado a carpetas Habilitado, Bloquear

Asigne las directivas a la unidad organizativa donde se encuentran las máquinas de prueba.

Habilitación de la protección contra alteraciones

En el portal de Microsoft Defender en https://security.microsoft.com, vaya a Configuración>Puntos de conexiónCaracterísticas >avanzadasProtección contra alteraciones>>activada.

Para obtener más información, consulte Cómo configurar o administrar la protección contra alteraciones.

Comprobación de la conectividad de red de Cloud Protection

Es importante comprobar que la conectividad de red de Cloud Protection funciona durante las pruebas de penetración.

En un símbolo del sistema con privilegios elevados (una ventana del símbolo del sistema que abrió seleccionando Ejecutar como administrador), ejecute los siguientes comandos:

Sugerencia

El primer comando cambia el directorio a la versión más reciente de la versión> de <la plataforma antimalware en %ProgramData%\Microsoft\Windows Defender\Platform\<antimalware platform version>. Si esa ruta de acceso no existe, se dirige a %ProgramFiles%\Windows Defender.

(set "_done=" & if exist "%ProgramData%\Microsoft\Windows Defender\Platform\" (for /f "delims=" %d in ('dir "%ProgramData%\Microsoft\Windows Defender\Platform" /ad /b /o:-n 2^>nul') do if not defined _done (cd /d "%ProgramData%\Microsoft\Windows Defender\Platform\%d" & set _done=1)) else (cd /d "%ProgramFiles%\Windows Defender")) >nul 2>&1

MpCmdRun.exe -ValidateMapsConnection

Para obtener más información, vea Configurar y administrar Microsoft Defender Antivirus con la herramienta de línea de comandos MpCmdRun.

Comprobación de la versión de Platform Update

La versión más reciente de "Actualización de plataforma" Canal de producción (GA) está disponible aquí:

Catálogo de Microsoft Update

Para ver la versión instalada de "Actualización de plataforma", ejecute el siguiente comando en una sesión de PowerShell con privilegios elevados (una ventana de PowerShell que abrió seleccionando Ejecutar como administrador):

Get-MpComputerStatus | Format-Table AMProductVersion

Comprobación de la versión de Security Intelligence Update

La última versión de "Security Intelligence Update" está disponible aquí:

Últimas actualizaciones de inteligencia de seguridad para Microsoft Defender Antivirus y otros antimalware de Microsoft: Inteligencia de seguridad de Microsoft

Para ver la versión instalada de "Security Intelligence Update", ejecute el siguiente comando en una sesión de PowerShell con privilegios elevados:

Get-MpComputerStatus | Format-Table AntivirusSignatureVersion

Comprobación de la versión de la actualización del motor

La versión más reciente de la "actualización del motor" del examen está disponible aquí:

Últimas actualizaciones de inteligencia de seguridad para Microsoft Defender Antivirus y otros antimalware de Microsoft: Inteligencia de seguridad de Microsoft

Para ver la versión instalada de "Engine Update", ejecute el siguiente comando en una sesión de PowerShell con privilegios elevados:

Get-MpComputerStatus | Format-Table AMEngineVersion

Si la configuración no surte efecto, es posible que tenga un conflicto. Para resolver conflictos, consulte Solución de problemas Microsoft Defender configuración del Antivirus.

Para envíos de falsos negativos (FN)

Si tiene alguna pregunta sobre una detección que Microsoft Defender AV realiza, o detecta una detección perdida, puede enviarnos un archivo.

Si tiene Microsoft XDR, Microsoft Defender para punto de conexión P2/P1 o Microsoft Defender para Empresas: consulte Envío de archivos en Microsoft Defender para punto de conexión.

Si tiene Microsoft Defender Antivirus, consulte Envío de archivos para su análisis.

Microsoft Defender AV indica una detección mediante notificaciones estándar de Windows. También puede revisar las detecciones en la aplicación Microsoft Defender AV.

El registro de eventos de Windows también registra los eventos de detección y motor. Consulte el artículo eventos Microsoft Defender Antivirus para obtener una lista de los identificadores de evento y sus acciones correspondientes.

Si la configuración no se aplica correctamente, averigüe si hay directivas en conflicto habilitadas en el entorno. Para obtener más información, consulte Solución de problemas Microsoft Defender configuración del antivirus.

Si necesita abrir un caso de soporte técnico de Microsoft: póngase en contacto con el soporte técnico de Microsoft Defender para punto de conexión.