Endurecer Microsoft Edge con directiva de grupo e Intune

El navegador es donde los usuarios se encuentran con Internet: páginas de phishing, descargas maliciosas, extensiones fraudulentas que leen todas las páginas y exploits dirigidos al proceso de representación. Microsoft Edge incluye buenas protecciones, pero la mayoría o las controla el usuario o están desactivadas de forma predeterminada. La directiva empresarial las convierte en algo que puedes imponer y demostrar.

Esta guía cubre las directivas que más importan para la seguridad. Forma parte de la serie Reducción de la superficie de ataque y complementa a exploit protection, que endurece otras aplicaciones como Edge se endurece a sí mismo.

Requisitos previos

• Las plantillas ADMX de Edge (msedge.admx, y msedgeupdate.admx para las actualizaciones) de la página de descargas de Microsoft Edge for Business, copiadas al almacén central. Actualízalas con cada versión principal de Edge, porque aparecen directivas nuevas con regularidad.
• La configuración aparece en Computer Configuration > Policies > Administrative Templates > Microsoft Edge y se escribe en HKLM\SOFTWARE\Policies\Microsoft\Edge.
• Intune: el catálogo de configuración tiene una categoría Microsoft Edge, y Endpoint security > Security baselines incluye una línea base de Microsoft Edge desde la que puedes partir.

Usa la carpeta obligatoria anterior para la configuración de seguridad. La carpeta Microsoft Edge - Default Settings (users can override) es para preferencias, no para controles.

Paso 1: imponer SmartScreen

SmartScreen bloquea los sitios de phishing y malware conocidos y avisa de las descargas desconocidas. La clave es impedir que los usuarios se salten el aviso.

Habilita también el verificador de typosquatting (TyposquattingCheckerEnabled = 1) en la misma sección. Bloquear la omisión en las descargas es lo que genera tickets: los desarrolladores y administradores que descargan herramientas nuevas se topan con avisos de reputación desconocida. Resuélvelo con un proceso de solicitud de software en condiciones, en lugar de dejar la omisión abierta para todos.

Paso 2: restringir las descargas de riesgo

Microsoft Edge > Allow download restrictions (DownloadRestrictions):

El valor 1 es un valor predeterminado sensato para el parque; el 2 encaja con los puestos de alto riesgo. Combínalo con el endurecimiento de macros de Office para que los documentos que sí pasen lleguen con la marca de la Web y se abran en la Vista protegida.

Paso 3: controlar las extensiones

Las extensiones se ejecutan con amplio acceso a las páginas que visitan los usuarios, incluidas las cookies de sesión. Una extensión maliciosa o revendida es, en la práctica, un ladrón de credenciales que se actualiza solo. Pasa a una lista de permitidas:

1. Inventario. En una muestra de dispositivos, enumera las extensiones instaladas desde edge://extensions o desde las carpetas Extensions de cada perfil en %LOCALAPPDATA%\Microsoft\Edge\User Data. Tu EDR o tu herramienta de inventario puede que ya las notifique.
2. Aprobación. Mantén una lista corta de identificadores de extensión con un responsable y una justificación de negocio.
3. Imposición. En Microsoft Edge > Extensions:
   • Control which extensions cannot be installed (ExtensionInstallBlocklist) = *
   • Allow specific extensions to be installed (ExtensionInstallAllowlist) = los identificadores aprobados
   • Control which extensions are installed silently (ExtensionInstallForcelist) para las que necesita todo el mundo, como tu gestor de contraseñas
   • Blocks external extensions from being installed (BlockExternalExtensions) = Enabled

Para un control más fino, Configure extension management settings (ExtensionSettings) acepta JSON y puede bloquear las extensiones que solicitan permisos concretos o restringir los orígenes de instalación. Prevalece sobre las directivas más simples cuando ambas están establecidas, así que elige un enfoque y documéntalo.

Paso 4: habilitar el modo de seguridad mejorada

El modo de seguridad mejorada desactiva el JIT de JavaScript en los sitios desconocidos y activa mitigaciones del sistema operativo como Arbitrary Code Guard y, en las CPU compatibles, la protección de pila aplicada por hardware para el proceso de representación. Así se elimina una gran clase de exploits de navegador.

Microsoft Edge > Enhance the security state in Microsoft Edge (EnhanceSecurityMode):

Usa Equilibrado para el parque y Estricto para los administradores y el departamento financiero. Si una aplicación web interna se vuelve demasiado lenta, exclúyela con Configure the list of domains for which enhance security mode will not be enforced (EnhanceSecurityModeBypassListDomains) en lugar de bajar el modo para todos. La lista de imposición hace lo contrario para los sitios que consideres de riesgo.

Paso 5: cerrar las demás puertas

Deja SitePerProcess, RendererAppContainerEnabled y AudioSandboxEnabled en sus valores predeterminados seguros, y genera una alerta si alguna directiva los desactiva.

Paso 6: actualizar rápido y forzar el reinicio

Las vulnerabilidades de día cero de los navegadores se corrigen en días. Edge se actualiza solo, pero la actualización solo surte efecto tras un reinicio, y los usuarios mantienen el navegador abierto durante semanas.

• Computer Configuration > Policies > Administrative Templates > Microsoft Edge Update > Applications > Update policy override default = Always allow updates (UpdateDefault = 1 en HKLM\SOFTWARE\Policies\Microsoft\EdgeUpdate). Asegúrate de que ninguna GPO antigua lo establezca en deshabilitado.
• Microsoft Edge > Notify a user that a browser restart is recommended or required for pending updates (RelaunchNotification) = Required (2), con Set the time period for update notifications (RelaunchNotificationPeriod) en, por ejemplo, 86400000 ms (24 horas).
• Si en su lugar usas WSUS o Configuration Manager para distribuir Edge, mantén un canal y una cadencia de aprobación rápidos; semanal es demasiado lento para vulnerabilidades de navegador explotadas activamente.

La visión general de las actualizaciones, incluida la priorización de los navegadores, está en la guía de parches.

Otros navegadores en los mismos dispositivos

Endurecer Edge sirve de poco si los usuarios pueden instalar y ejecutar a su lado un navegador sin administrar. Define una lista de navegadores admitidos y trata a cada uno de la misma manera:

• Chrome usa nombres de directiva casi idénticos (ExtensionInstallBlocklist, ExtensionInstallAllowlist, DownloadRestrictions, RemoteDebuggingAllowed, SSLErrorOverrideAllowed) en HKLM\SOFTWARE\Policies\Google\Chrome. Importa las plantillas ADMX de Google y replica la configuración de Edge.
• Firefox tiene su propio motor de directivas (un archivo policies.json o plantillas ADMX). Los conceptos se trasladan; los nombres, no.
• Los navegadores no admitidos instalados por usuario en %LOCALAPPDATA% escapan tanto de la directiva como de los parches. Bloquéalos con control de aplicaciones o, como mínimo, detéctalos mediante el inventario.

Permitas lo que permitas, debe recibir parches tan rápido como Edge. La guía de parches de terceros explica cómo mantener al día los navegadores y sus entornos de ejecución fuera de Windows Update.

Qué se rompe

• Las descargas de herramientas nuevas, bloqueadas por SmartScreen sin posibilidad de omisión. Ofrece un proceso de solicitud.
• Las extensiones de las que dependían los usuarios desaparecen cuando llega la lista de bloqueo. Anúncialo, publica la lista aprobada y revisa las solicitudes cada semana durante el primer mes.
• Los sitios internos con certificados autofirmados o caducados dejan de ser accesibles en cuanto se deshabilitan las omisiones. Corrige los certificados: es un hallazgo, no una molestia.
• Las aplicaciones web internas pesadas se ralentizan en el modo de seguridad mejorada estricto. Usa la lista de exclusión.
• Las consolas de administración web que usan autenticación Basic sobre HTTP dejan de autenticar.

Verificarlo

En un dispositivo, abre edge://policy. Cada directiva configurada debería mostrar Status: OK y Source: Platform (directiva de grupo o MDM). Los errores ahí suelen indicar un tipo de valor incorrecto o un nombre de directiva obsoleto. edge://settings/help muestra la versión.

Desde PowerShell:

Get-ItemProperty "HKLM:\SOFTWARE\Policies\Microsoft\Edge" |
  Select-Object SmartScreenEnabled, PreventSmartScreenPromptOverride,
    PreventSmartScreenPromptOverrideForFiles, DownloadRestrictions,
    EnhanceSecurityMode, SSLErrorOverrideAllowed, RemoteDebuggingAllowed

Get-ItemProperty "HKLM:\SOFTWARE\Policies\Microsoft\Edge\ExtensionInstallBlocklist"
(Get-Item "C:\Program Files (x86)\Microsoft\Edge\Application\msedge.exe").VersionInfo.ProductVersion

Informa de la versión de Edge en todo el parque y genera alertas para los dispositivos que vayan más de una versión estable por detrás.

Lista de comprobación

• Plantillas ADMX actuales de Edge y Edge Update en el almacén central, o línea base de Edge de Intune en uso
• SmartScreen impuesto, omisiones bloqueadas para sitios y descargas, bloqueo de PUA activado
• Restricciones de descarga en bloquear descargas peligrosas o más estrictas
• Lista de bloqueo de extensiones * con una lista de permitidas revisada y un responsable por extensión
• Modo de seguridad mejorada Equilibrado para todos, Estricto para los puestos de alto riesgo
• Omisión de errores de certificado y depuración remota deshabilitadas
• Actualizaciones automáticas permitidas y reinicio obligatorio en 24 horas
• edge://policy comprobado en los dispositivos piloto; versión notificada en todo el parque