Endurecer Microsoft Defender Antivirus más allá del estándar

Microsoft Defender Antivirus se ejecuta en todos los clientes y servidores Windows compatibles, salvo que otro antivirus lo haya sustituido. De fábrica ya detecta mucho. Pero varias de sus funciones más potentes están desactivadas, quedan en manos de los usuarios locales o dependen de valores por defecto que los atacantes saben deshacer. Esta guía enumera la configuración que lo lleva de «instalado» a «endurecido», con las rutas de directiva de grupo, PowerShell para las pruebas y las comprobaciones que conviene hacer después.

Todas las opciones de directiva de grupo de esta guía están en Computer Configuration > Administrative Templates > Windows Components > Microsoft Defender Antivirus. Las mismas opciones existen en Intune en Endpoint security > Antivirus.

1. Asegúrate de que Defender se está ejecutando de verdad

Antes de ajustar nada, comprueba el estado en una muestra de equipos:

Get-MpComputerStatus | Select-Object AMRunningMode, AMServiceEnabled,
  RealTimeProtectionEnabled, BehaviorMonitorEnabled, IoavProtectionEnabled,
  IsTamperProtected, AntivirusSignatureAge, AMProductVersion

• AMRunningMode debe ser Normal. Passive Mode significa que otro antivirus es el principal y que Defender no bloquea.
• AntivirusSignatureAge debe ser de 0 o 1 día.
• AMProductVersion es la versión de la plataforma; las plataformas antiguas carecen de funciones y correcciones, así que mantén al día las actualizaciones de plataforma (llegan por Windows Update / WSUS como una categoría de actualización aparte).

2. Protección en la nube y bloqueo a primera vista

La mayor parte de la capacidad de Defender para detener archivos nunca vistos procede de la nube. Cuando aparece un archivo sospechoso, el cliente puede retenerlo mientras la nube analiza los metadatos y, si hace falta, la propia muestra.

Equivalentes en PowerShell para un equipo de pruebas:

Set-MpPreference -MAPSReporting Advanced -SubmitSamplesConsent SendSafeSamples `
  -DisableBlockAtFirstSeen $false -CloudBlockLevel High -CloudExtendedTimeout 50

El bloqueo a primera vista solo funciona si el informe MAPS y el envío de muestras están ambos activados. El nivel de bloqueo en la nube «High» es lo bastante agresivo como para marcar la diferencia y rara vez genera ruido; High+ y Zero tolerance son para dispositivos muy restringidos.

3. Protección contra alteraciones (Tamper Protection)

Tamper Protection impide los cambios locales en la configuración clave de Defender: desactivar la protección en tiempo real, la supervisión de comportamiento o la protección en la nube, o eliminar las actualizaciones de inteligencia de seguridad. Los bloquea incluso para un administrador local, que es justo la cuenta que tiene un atacante cuando lo intenta.

No se puede activar por directiva de grupo. Actívala mediante Microsoft Defender for Endpoint / Intune (para todo el tenant o con perfiles por dispositivo) o, en un equipo independiente, en Windows Security > Virus & threat protection settings. Verifícalo con IsTamperProtected en Get-MpComputerStatus.

Si administras Defender solo con directiva de grupo, sigues beneficiándote de Tamper Protection cuando se activa desde Windows Security, pero pierdes la aplicación centralizada. Es un buen argumento para incorporar a Intune al menos la configuración de Defender.

4. Protección en tiempo real, de comportamiento y de scripts

Están activadas por defecto. Asegúrate de que nada (una GPO antigua, un script de creación de imagen, una herramienta de terceros) las haya desactivado, y bloquéalas:

La última línea es importante: con la combinación desactivada, las exclusiones que un atacante añada localmente con Add-MpPreference -ExclusionPath se ignoran y solo se aplican las exclusiones administradas de forma centralizada.

5. Aplicaciones potencialmente no deseadas (PUA)

Los empaquetadores de adware, los criptomineros y las herramientas de acceso remoto «gratuitas» no son malware en sentido estricto, pero a menudo son la vía por la que empieza o persiste una intrusión.

• GPO: Configure detection for potentially unwanted applications = Enabled, Block.
• PowerShell: Set-MpPreference -PUAProtection Enabled (usa primero AuditMode si tu cultura de software es permisiva).

Microsoft Edge tiene su propio bloqueo de PUA para las descargas en su configuración de SmartScreen; activa ambos.

6. Protección de red

La protección de red extiende el bloqueo por reputación al estilo SmartScreen a todos los procesos, no solo al navegador, de modo que un script o implante malicioso que llame a un dominio o una IP conocidos como maliciosos se bloquea en la conexión.

• GPO: Microsoft Defender Exploit Guard > Network Protection > Prevent users and apps from accessing dangerous websites = Enabled, Block (empieza con Audit Mode).
• PowerShell: Set-MpPreference -EnableNetworkProtection Enabled.
• En Windows Server, la protección de red también debe permitirse explícitamente: Set-MpPreference -AllowNetworkProtectionOnWinServer $true.

Los eventos de auditoría son el 1125 (se habría bloqueado) y los bloqueos el 1126, en el registro Operational de Defender.

7. Acceso controlado a carpetas (de forma selectiva)

El acceso controlado a carpetas protege Documentos, Imágenes y otras carpetas frente a modificaciones de procesos no confiables, una capa antirransomware sólida. También genera incidencias de soporte cuando se impide guardar a aplicaciones legítimas. Ejecútalo en modo auditoría (Set-MpPreference -EnableControlledFolderAccess AuditMode), revisa los eventos 1124, permite las aplicaciones de confianza y aplícalo en los grupos que lo toleren, como los puestos de finanzas.

8. Exámenes, actualizaciones y corrección

9. Higiene de las exclusiones

Las exclusiones son el punto por donde la protección de Defender desaparece sin hacer ruido. Audítalas:

Get-MpPreference | Select-Object ExclusionPath, ExclusionProcess, ExclusionExtension

Señales de alarma:

• Unidades enteras, C:\Windows\Temp, %TEMP%, %APPDATA%, C:\Users, C:\ProgramData.
• Exclusiones de proceso para intérpretes (powershell.exe, python.exe, cmd.exe).
• Exclusiones de extensión para .exe, .dll, .ps1.

En los servidores, Defender ya aplica exclusiones automáticas para los roles de Windows Server (por ejemplo, los archivos de base de datos de AD DS y SYSVOL en los controladores de dominio). Rara vez necesitas las largas listas manuales de las guías antiguas de los fabricantes. Para las aplicaciones de terceros, pide al fabricante las rutas mínimas y documenta un responsable y una fecha de revisión para cada una.

Oculta además las exclusiones con Exclusions > Control whether or not exclusions are visible to Local Users (no configurada por defecto, así que establécela explícitamente) y, preferiblemente, con su hermana más estricta Control whether or not exclusions are visible to Local Admins, que priva a los atacantes de un mapa sencillo de dónde dejar sus herramientas.

10. Supervisión

Reenvía el registro Operational de Defender a tu SIEM y genera alertas sobre:

Lista de comprobación

• Defender en modo Normal en todos los equipos donde deba ser el antivirus principal
• Advanced MAPS, muestras seguras, bloqueo a primera vista, nivel de nube High, comprobación extendida de 50 s
• Tamper Protection activada (verifica IsTamperProtected)
• Invalidación local y combinación de exclusiones locales desactivadas
• PUA y protección de red en modo bloqueo (tras la auditoría)
• Exclusiones revisadas, con responsable y mínimas
• Eventos de Defender reenviados y con alertas

Una vez que el antivirus sea sólido, añade encima las reglas ASR y plantéate el control de aplicaciones en los sistemas donde «solo software conocido» sea realista.