Acceso controlado a carpetas contra el ransomware

Al final de una intrusión, el ransomware tiene un único trabajo: reescribir tantos archivos como pueda, lo más rápido posible. El acceso controlado a carpetas (CFA, controlled folder access) ataca directamente ese paso. Solo permite a las aplicaciones de confianza modificar archivos en un conjunto de carpetas protegidas; todo lo demás se bloquea, tenga los derechos que tenga el proceso.

El pilar de endurecimiento de Defender lo recomienda «de forma selectiva» por las incidencias de soporte. Esta guía muestra cómo reducir esas incidencias a un nivel manejable mediante auditoría, lista de permitidos y aplicación escalonada, para que puedas usarlo de forma mucho más amplia. Para el término en sí, consulta acceso controlado a carpetas.

Cómo funciona

• Ámbito. Un conjunto de carpetas protegidas: por defecto, Documentos, Imágenes, Vídeos y Música del usuario y públicas, más los Favoritos del usuario (en su ubicación redirigida si están redirigidas, por ejemplo con Known Folder Move de OneDrive). El Escritorio no está en la lista por defecto. Puedes añadir más, pero no quitar las predeterminadas.
• Confianza. Las aplicaciones que Defender considera de confianza se permiten automáticamente. Las demás se añaden por ruta completa.
• Acción. Cuando un proceso no confiable intenta modificar un archivo de una carpeta protegida, la escritura se bloquea (o se registra, en modo auditoría) y el usuario ve una notificación.
• Sectores de disco. CFA también puede bloquear escrituras no confiables en sectores del disco, algo que usan algunos wipers y bootkits. Tiene sus propios modos, así que puedes activarlo por separado.

Requisitos: cualquier edición de Windows 10 u 11 que incluya Defender Antivirus, o Windows Server 2012 R2 o posterior (2012 R2 y 2016 mediante la solución unificada moderna), con Microsoft Defender Antivirus en modo activo y la protección en tiempo real activada. No funciona en modo pasivo, en EDR en modo de bloqueo ni con el examen periódico limitado.

Los modos

Los modos «solo modificación del disco» protegen los sectores sin proteger las carpetas. Son un primer paso de baja fricción para servidores y dispositivos en los que la protección de carpetas aún no es realista.

Paso 1: auditar en un grupo representativo

En directiva de grupo: Computer Configuration > Policies > Administrative Templates > Windows Components > Microsoft Defender Antivirus > Microsoft Defender Exploit Guard > Controlled Folder Access > Configure Controlled folder access = Enabled, Audit Mode.

En Intune: perfil Endpoint security > Attack surface reduction > Attack surface reduction rules, opción Enable Controlled Folder Access = Audit mode (CSP Defender/EnableControlledFolderAccess).

En un equipo de laboratorio:

Set-MpPreference -EnableControlledFolderAccess AuditMode

Elige el grupo de auditoría a conciencia: al menos un dispositivo de cada departamento, de cada imagen de compilación y de los usuarios avanzados con software poco habitual (ingeniería, diseño, finanzas con complementos). De dos a cuatro semanas de trabajo normal bastan para ver también las tareas mensuales.

Paso 2: leer los eventos

CFA registra en Applications and Services Logs > Microsoft > Windows > Windows Defender > Operational:

Cada evento incluye la ruta del proceso y el archivo de destino. Agrupa por proceso entre dispositivos para construir tus candidatos a la lista de permitidos:

Get-WinEvent -FilterHashtable @{ LogName = 'Microsoft-Windows-Windows Defender/Operational'; Id = 1124 } |
  ForEach-Object {
    if ($_.Message -match 'Process Name:\s*(.+)') { $Matches[1].Trim() }
  } | Group-Object | Sort-Object Count -Descending | Select-Object Count, Name

Con Defender for Endpoint, consulta toda la flota de una vez:

DeviceEvents
| where ActionType in ("ControlledFolderAccessViolationAudited", "ControlledFolderAccessViolationBlocked")
| summarize Devices = dcount(DeviceId), Events = count() by InitiatingProcessFolderPath, InitiatingProcessFileName
| order by Devices desc

Resultados típicos: herramientas internas, instaladores antiguos, aplicaciones portables en los perfiles de usuario, agentes de copia de seguridad y sincronización de fabricantes pequeños, escáneres e impresoras de etiquetas que guardan en Documentos, y juegos.

Paso 3: permitir lo legítimo

Para cada candidato, decide:

• Legítimo y debe escribir ahí → permítelo por ruta completa.
• Legítimo pero ejecutándose desde una carpeta con escritura para el usuario (%LOCALAPPDATA%, Downloads) → instálalo primero correctamente en Program Files y después permite esa ruta. Permitir una ruta en la que los usuarios pueden escribir deja que el malware coloque un archivo con el mismo nombre.
• No legítimo o desconocido → déjalo bloqueado e investiga.

GPO: Controlled Folder Access > Configure allowed applications = Enabled, con una ruta completa de ejecutable por línea (valor 0). Intune: Controlled Folder Access Allowed Applications (CSP Defender/ControlledFolderAccessAllowedApplications). PowerShell:

Add-MpPreference -ControlledFolderAccessAllowedApplications "C:\Program Files\Contoso\LabelPrint\labelprint.exe"

Defender for Endpoint también puede permitir aplicaciones firmadas con un indicador Allow de certificado o de archivo. Los motores de script como PowerShell son la excepción: CFA no confía en ellos mediante indicadores, solo como aplicación permitida explícitamente. Registra un responsable para cada aplicación permitida, igual que con las exclusiones de Defender, porque una aplicación permitida es una exclusión con otro nombre.

Paso 4: añadir las carpetas que importan

Las carpetas predeterminadas cubren los archivos personales. Añade los lugares donde tu organización guarda realmente datos valiosos en local:

Add-MpPreference -ControlledFolderAccessProtectedFolders "D:\Projects", "C:\Finance"

GPO: Controlled Folder Access > Configure protected folders; Intune: Controlled Folder Access Protected Folders. Plantéate las raíces de sincronización de OneDrive si no se usa Known Folder Move, las carpetas de proyecto locales de los puestos de ingeniería y los almacenes de datos de aplicaciones en los dispositivos quiosco. Se pueden añadir rutas de red y unidades asignadas, pero la protección se aplica a los procesos locales que escriben en ellas.

Paso 5: aplicar por anillos y bloquearlo

Pasa a Block por anillos: TI, luego el grupo de auditoría y luego departamento por departamento. Sigue leyendo el evento 1123 después de cada paso; los primeros días tras activar un anillo revelan lo que se le escapó a la auditoría.

Impide que los usuarios lo desactiven o permitan aplicaciones por su cuenta. Con la opción administrada por GPO o Intune, el conmutador de Seguridad de Windows aparece atenuado. Asegúrate de que la protección contra alteraciones esté activada y de que la combinación de listas de administradores locales esté desactivada, para que se ignoren las aplicaciones permitidas añadidas localmente con Add-MpPreference.

Qué se rompe

• Fallos al guardar sin errores claros. Las aplicaciones antiguas suelen mostrar «acceso denegado» o fallan en silencio. Los usuarios ven una notificación de Seguridad de Windows, pero no siempre. Indica al centro de soporte que revise primero el evento 1123 en cualquier ticket de «no puedo guardar en Documentos».
• Instaladores y actualizadores que escriben en las carpetas públicas de Documentos, Imágenes, Música o Vídeos.
• Scripts ejecutados por intérpretes instalados por el usuario que escriben en carpetas protegidas.
• Redirección de carpetas: si Documentos apunta a un recurso compartido de red, confirma que la ubicación redirigida está protegida como esperas y, si no, añádela explícitamente.

Un procedimiento para el centro de soporte

La mayoría de los tickets de CFA parecen otra cosa: «Excel no guarda», «el escáner ha perdido mis archivos», «el botón de exportar no hace nada». Entrega al centro de soporte un procedimiento breve antes del primer anillo de aplicación:

1. Pregunta la hora del fallo y la aplicación utilizada.
2. Busca en el dispositivo el evento 1123 en torno a esa hora. El evento indica el proceso bloqueado y el archivo que intentó escribir.
3. Si el proceso es una aplicación de negocio conocida instalada en Program Files, abre un cambio para añadirla a la directiva de aplicaciones permitidas. No la añadas localmente; con la combinación local desactivada se ignoraría de todos modos.
4. Si el proceso se ejecuta desde un perfil de usuario, la carpeta Descargas o una ruta temporal, escálalo a seguridad en lugar de permitirlo.
5. Como solución provisional mientras se tramita el cambio, el usuario puede guardar en una carpeta no protegida y mover el archivo después.

Registra estos tickets como una categoría propia. El volumen tras cada anillo te dice si la fase de auditoría fue lo bastante larga, y un aumento repentino en un dispositivo puede ser la primera señal de algo que intenta cifrar archivos.

Lo que no hace

CFA es una última línea contra el cifrado local, no una estrategia antirransomware. No impide el robo de datos (las lecturas están permitidas), el cifrado de recursos compartidos desde un equipo remoto ni a un atacante que ya haya desactivado Defender. Complementa a reglas ASR como Use advanced protection against ransomware, a las copias de seguridad sin conexión y a la higiene de las claves de recuperación de BitLocker.

Verificarlo

$p = Get-MpPreference
$p.EnableControlledFolderAccess              # 1 = Enabled (bloqueo), 2 = Audit
$p.ControlledFolderAccessProtectedFolders
$p.ControlledFolderAccessAllowedApplications
(Get-MpComputerStatus).AMRunningMode          # debe ser Normal

Para una prueba funcional en un dispositivo piloto, ejecuta desde una carpeta temporal un pequeño ejecutable de prueba sin firmar que intente escribir un archivo en Documentos. La escritura debe fallar, el usuario debe ver una notificación y el evento 1123 debe indicar el proceso y el destino. Los eventos de sectores de disco se registran por separado en el mismo registro: 1127 (escritura en sector bloqueada) y 1128 (auditada).

Lista de comprobación

• Defender AV activo con protección en tiempo real en todos los dispositivos objetivo
• CFA en modo auditoría en un grupo representativo durante 2 a 4 semanas
• Eventos 1124 agrupados por proceso; lista de permitidos construida con rutas completas de Program Files
• Carpetas protegidas adicionales añadidas donde residan datos locales valiosos
• Aplicado por anillos; evento 1123 revisado después de cada anillo
• Invalidación local bloqueada; protección contra alteraciones activada; alertas sobre el evento 5007
• Protección de sectores de disco al menos en modo de solo bloqueo del disco en los servidores