EDR en modo de bloqueo, modo pasivo y antivirus de terceros

Muchas organizaciones usan Microsoft Defender for Endpoint (MDE) como EDR mientras el antivirus de otro fabricante sigue siendo el principal, al menos durante una migración. Está admitido, pero cambia lo que hace Defender Antivirus en cada dispositivo, y los detalles difieren entre clientes y servidores. Si te equivocas, acabas con dos productos peleándose, o con Defender sin hacer nada en silencio mientras todos dan por hecho que protege el equipo.

Esta guía explica los modos, cómo acaba cada dispositivo en uno u otro, qué añade EDR en modo de bloqueo y cómo demostrar el estado de cada dispositivo. Se apoya en el pilar de endurecimiento de Defender Antivirus y en el tema Microsoft Defender en su conjunto.

Los modos

Compruébalo en cualquier dispositivo:

Get-MpComputerStatus | Select-Object AMRunningMode, AMServiceEnabled, RealTimeProtectionEnabled,
  AMProductVersion, AntivirusSignatureAge, IsTamperProtected

El Centro de seguridad de Windows te indica qué producto está registrado como principal:

Get-CimInstance -Namespace root/SecurityCenter2 -ClassName AntiVirusProduct |
  Select-Object displayName, productState   # SecurityCenter2 solo existe en las ediciones cliente

Qué conservas y qué pierdes en modo pasivo

La tabla es el argumento para terminar la migración: cada fila que dice No es una protección que configuraste en la directiva pero que no estás obteniendo. Para la lista completa, incluido el comportamiento de la investigación automatizada, consulta la matriz de compatibilidad de Microsoft de Defender Antivirus con otros productos de seguridad; se actualiza a medida que cambian las funciones.

Cómo acaba cada dispositivo en cada modo

Clientes Windows 10 y 11

Los clientes cambian de modo automáticamente. Cuando un antivirus de terceros se registra en el Centro de seguridad de Windows:

• Si el dispositivo está incorporado a MDE, Defender Antivirus pasa a modo pasivo.
• Si no está incorporado, Defender Antivirus se deshabilita (opcionalmente con examen periódico limitado).

Cuando se desinstala el producto de terceros, Defender vuelve por sí solo al modo activo. Una directiva residual puede impedirlo: Computer Configuration > Policies > Administrative Templates > Windows Components > Microsoft Defender Antivirus > Turn off Microsoft Defender Antivirus (DisableAntiSpyware) se ignora en las plataformas actuales, pero sigue apareciendo en muchas GPO antiguas. Elimínala de todos modos para que no confunda la resolución de problemas.

Windows Server

Los servidores no cambian automáticamente. Con otro antivirus instalado y Defender aún activo, tienes dos motores de examen en tiempo real sobre la misma E/S: lento y, a veces, inestable. Antes o durante la incorporación, establece:

HKLM\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection
  ForceDefenderPassiveMode   REG_DWORD 1

Distribúyelo con las preferencias de directiva de grupo o con tu herramienta de administración de servidores y después incorpora el servidor. Para devolver un servidor al modo activo, establece el valor en 0 (o elimínalo) y reinicia. Establece el valor antes de la incorporación si el servidor debe quedarse en pasivo. A partir de la plataforma 4.18.2208, una vez que un servidor incorporado está activo con la protección contra alteraciones activada, esta bloquea el retorno a pasivo aunque ForceDefenderPassiveMode = 1.

No desinstales la característica Windows Defender para «hacer sitio» a otro producto si el servidor está incorporado a MDE. El modo pasivo mantiene disponibles EDR en modo de bloqueo y una alternativa.

Clientes que no pasan a pasivo

Microsoft documenta ForceDefenderPassiveMode para Windows Server; en los clientes, el modo pasivo depende de que el producto de terceros se registre en el Centro de seguridad de Windows. Si el servicio Windows Security Center Service está deshabilitado, Defender no puede ver el otro producto y se mantiene activo a su lado, algo que Microsoft no admite. Corrige el registro o el servicio en lugar de confiar en un ajuste del Registro.

EDR en modo de bloqueo

EDR en modo de bloqueo permite a Defender Antivirus actuar sobre lo que ve el sensor EDR, incluso cuando otro producto es el principal. Si la detección de comportamiento de MDE decide que un archivo o proceso es malicioso, Defender en modo pasivo lo bloquea y lo corrige: pone el archivo en cuarentena y detiene el proceso. Sin él, MDE generaría una alerta y esperaría a que actuara el otro antivirus o un analista.

Requisitos:

• Defender for Endpoint Plan 2 (o una licencia que lo incluya) y dispositivos incorporados.
• Windows 10 u 11, Windows Server 2019 o posterior, o Server 2016 / 2012 R2 con la solución unificada moderna.
• Defender Antivirus instalado y en modo pasivo o activo, con plataforma 4.18.2001.10 y motor 1.1.16700.2 o posteriores (en la práctica, mantén ambos al día).
• Protección en la nube activada en la configuración de Defender.

Actívalo en el portal de Microsoft Defender: Settings > Endpoints > General > Advanced features > Enable EDR in block mode. Ese conmutador se aplica a todo el tenant; a partir de la plataforma 4.18.2202 puedes, en su lugar, dirigirlo a grupos de dispositivos con el CSP de Defender Configuration/PassiveRemediation o con la GPO Microsoft Defender Antivirus > Features > Enable EDR in block mode. Microsoft lo plantea sobre todo para dispositivos en los que Defender está en modo pasivo.

Las detecciones corregidas de este modo aparecen en el Centro de acciones del portal como acciones completadas con el estado Blocked o Prevented; la alerta puede citar a Microsoft Defender Antivirus como origen aunque esté en modo pasivo. En el dispositivo, la corrección es visible en el historial de protección de Defender y en el registro Windows Defender Operational (detección 1116, acción 1117).

Ejecutar dos productos sin conflictos

Cuando conviven un antivirus de terceros y Defender, cada uno debe ignorar los archivos del otro, o tendrás falsos positivos, interbloqueos y exámenes lentos.

1. En el producto de terceros, excluye los binarios y datos de Defender: C:\Program Files\Windows Defender\, C:\ProgramData\Microsoft\Windows Defender\ y el sensor de MDE (MsSense.exe, SenseCncProxy.exe, SenseIR.exe y la carpeta C:\Program Files\Windows Defender Advanced Threat Protection\). Usa el mecanismo propio del fabricante y la lista publicada por Microsoft, que es la versión de referencia.
2. En Defender, añade exclusiones para las carpetas de instalación y datos del producto de terceros solo si observas conflictos. En modo pasivo, Defender no examina en tiempo real, así que son sobre todo para la futura fase activa. Mantenlas acotadas y con responsable, como en la auditoría de exclusiones.
3. Configura Defender por completo de todos modos. Despliega ya tus opciones de ASR, protección de red, CFA y nube. Se ignoran en modo pasivo y se aplican en cuanto el dispositivo pasa a activo, que es justo lo que quieres en el momento de la transición.

Transición de la migración

Un orden habitual al pasar de otro antivirus a Defender:

1. Establece ForceDefenderPassiveMode en los servidores y después incorpora los dispositivos a MDE.
2. Activa EDR en modo de bloqueo para todo el tenant.
3. Despliega las directivas de Defender (AV, reglas ASR en auditoría, protección de red, exclusiones).
4. Desinstala el producto de terceros por anillos. Los clientes pasan a activo automáticamente; en los servidores, establece ForceDefenderPassiveMode en 0 y reinicia.
5. Verifica el modo Normal y después pasa las reglas ASR a bloqueo.
6. Activa la protección contra alteraciones a medida que cada anillo pasa a activo.

Qué se rompe

• Dos motores de examen en tiempo real activos en un servidor que nunca se puso en pasivo: CPU alta, bloqueos de archivos, copias de seguridad fallidas. Se corrige con ForceDefenderPassiveMode.
• Defender atascado en modo pasivo tras quitar el otro producto, por un registro residual en el Centro de seguridad o un valor ForceDefenderPassiveMode olvidado. Revisa ambos.
• Característica Defender eliminada en los servidores, de modo que EDR en modo de bloqueo no puede actuar y nadie se entera. Reinstálala con Install-WindowsFeature Windows-Defender donde se admita.
• Inteligencia obsoleta en los dispositivos pasivos. Las actualizaciones tienen que seguir llegando; un dispositivo pasivo con inteligencia de hace una semana da malos resultados con EDR en modo de bloqueo.

Verificarlo

Genera un informe de toda la flota, no una comprobación puntual:

$s = Get-MpComputerStatus
[pscustomobject]@{
  Computer     = $env:COMPUTERNAME
  Mode         = $s.AMRunningMode
  Platform     = $s.AMProductVersion
  SigAgeDays   = $s.AntivirusSignatureAge
  Tamper       = $s.IsTamperProtected
  ForcePassive = (Get-ItemProperty 'HKLM:\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection' -ErrorAction SilentlyContinue).ForceDefenderPassiveMode
}

En el portal de Defender, el informe Microsoft Defender Antivirus health (en Reports > Device health) muestra el modo del antivirus de cada dispositivo incorporado. Cada dispositivo debe estar exactamente en un estado esperado: Normal donde Defender es el principal, EDR Block Mode donde otro producto sigue siendo el principal. Passive Mode sin modo de bloqueo, o SxS Passive Mode en un dispositivo incorporado, es una carencia que hay que corregir.

Lista de comprobación

• Modo de ejecución inventariado en todos los dispositivos, con el estado esperado documentado
• ForceDefenderPassiveMode establecido en los servidores con otro AV; eliminado tras la transición
• Característica Defender mantenida instalada en los servidores incorporados
• EDR en modo de bloqueo activado para todo el tenant
• Exclusiones mutuas configuradas entre Defender y el producto de terceros
• Directivas de Defender (ASR, protección de red, CFA) desplegadas antes de la transición
• GPO heredadas «Turn off Microsoft Defender Antivirus» eliminadas
• Dispositivos en modos inesperados notificados y con alertas