Glosario
Reglas de reducción de la superficie de ataque (ASR)
Reglas de comportamiento del Antivirus de Microsoft Defender que bloquean técnicas de malware habituales, como procesos lanzados por Office o lecturas de LSASS.
Las reglas de reducción de la superficie expuesta a ataques forman parte del Antivirus de Microsoft Defender. Cada regla, identificada por un GUID, bloquea un comportamiento concreto del que depende el malware y que el software legítimo rara vez necesita: aplicaciones de Office que crean procesos secundarios o contenido ejecutable, scripts que lanzan ejecutables descargados, procesos que leen la memoria de LSASS, persistencia mediante suscripciones de eventos WMI y más.
Las reglas pueden configurarse como deshabilitadas, auditoría, advertencia o bloqueo, mediante directiva de grupo, Intune, Configuration Manager o PowerShell (Add-MpPreference). Los bloqueos se registran como evento 1121 y las auditorías como evento 1122 en el registro Defender Operational. Requieren que el Antivirus de Defender sea el antivirus activo con la protección en tiempo real habilitada.
Consulte la guía de reglas ASR.