Microsoft Defender Antivirus y reglas ASR: de auditoría a bloqueo, exclusiones bien hechas y una aplicación bloqueada

Qué vas a conseguir

Un Defender Antivirus que, además de buscar virus, corta los comportamientos que usan casi todos los ataques: Office lanzando procesos, scripts ofuscados, ejecutables por correo, robo de credenciales de LSASS. Activado primero en auditoría y después en bloqueo, con pocas exclusiones justificadas, y con la forma de resolver el ticket que llegará seguro: "la aplicación no abre".

Antes de empezar

• Los equipos gestionados por Intune (directivas de Seguridad de los puntos de conexión) o por GPO. Uno de los dos para cada configuración, no ambos.
• Defender como antivirus activo, no en modo pasivo detrás de otro producto: las reglas ASR necesitan Defender en tiempo real.
• Si hay Defender for Endpoint, acceso al portal de Defender. Sin él, los eventos del equipo bastan.
• Un grupo piloto con equipos de IT y de los departamentos con más macros y herramientas propias (Finanzas, Operaciones).

1. Comprobar que Defender está sano

›Get-MpComputerStatus | Select-Object AMRunningMode, AntivirusEnabled, RealTimeProtectionEnabled, IsTamperProtected, AntivirusSignatureLastUpdated, AMProductVersion›Get-MpPreference | Select-Object AttackSurfaceReductionRules_Ids, AttackSurfaceReductionRules_Actions, EnableNetworkProtection, EnableControlledFolderAccessAMRunningMode                 : NormalAntivirusEnabled              : TrueRealTimeProtectionEnabled     : TrueIsTamperProtected             : TrueAntivirusSignatureLastUpdated : 30/10/2026 7:12:40AMProductVersion              : 4.18.26090.3AttackSurfaceReductionRules_Ids     : {}AttackSurfaceReductionRules_Actions : {}EnableNetworkProtection             : 0EnableControlledFolderAccess        : 0

• AMRunningMode tiene que ser Normal. Passive Mode significa que otro antivirus manda y las reglas ASR no se aplican.
• IsTamperProtected en True: la protección contra alteraciones impide que un usuario o un malware con permisos de administrador apague Defender.
• Firmas de hoy y una versión de plataforma reciente.

2. Las reglas ASR que importan

Cada regla tiene un nombre y un GUID, y cuatro modos: 0 desactivada, 1 bloqueo, 2 auditoría y 6 advertencia (el usuario ve el aviso y puede continuar). Un buen primer lote:

Las tres primeras son las que Microsoft llama de protección estándar: casi nunca molestan y se pueden poner en bloqueo pronto. El resto, auditoría primero.

La regla Bloquear creaciones de procesos procedentes de comandos PSExec y WMI (d1e49aac-8f56-4280-b9ba-993a6d77406c) rompe el cliente de Configuration Manager, que depende de WMI. Si gestionas con MECM, no la actives fuera de una prueba en auditoría muy controlada.

3. De auditoría a bloqueo

En Intune: Seguridad de los puntos de conexión › Reducción de la superficie expuesta a ataques › Crear directiva › Windows › Reglas de reducción de la superficie expuesta a ataques, cada regla en Auditoría, asignada al grupo piloto. Por GPO: Componentes de Windows › Antivirus de Microsoft Defender › Protección contra vulnerabilidades de Microsoft Defender › Reducción de la superficie expuesta a ataques › Configurar reglas de reducción de la superficie expuesta a ataques, con el GUID como nombre y el modo como valor. En un equipo de laboratorio, para probar:

›Add-MpPreference -AttackSurfaceReductionRules_Ids d4f940ab-401b-4efc-aadc-ad5f3c50688a -AttackSurfaceReductionRules_Actions AuditMode›Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Windows Defender/Operational'; Id=1121,1122} -MaxEvents 20 | Select-Object TimeCreated, Id, Message

• 1121: una regla en bloqueo ha bloqueado algo. 1122: una regla en auditoría lo habría bloqueado. 5007: ha cambiado la configuración (útil para saber cuándo llegó la directiva).
• Dos a cuatro semanas en auditoría, con los 1122 revisados por regla y por aplicación (en el portal de Defender, Informes › Reglas de reducción de la superficie expuesta a ataques).
• Después, regla a regla a Bloqueo en el piloto, y del piloto al resto por oleadas. Las reglas que admiten Advertencia son un paso intermedio útil para las de Office.

4. Protección de red y acceso controlado a carpetas

• Protección de red bloquea conexiones a dominios e IP de mala reputación desde cualquier proceso, no solo desde el navegador. Set-MpPreference -EnableNetworkProtection AuditMode y después Enabled; eventos 1125 (auditoría) y 1126 (bloqueo).
• Acceso controlado a carpetas impide que aplicaciones no fiables escriban en Documentos, Escritorio, Imágenes y las carpetas que añadas. Buena defensa contra ransomware, y la que más tickets genera. Auditoría (-EnableControlledFolderAccess AuditMode, evento 1124) antes que bloqueo (evento 1123), y las aplicaciones legítimas con Add-MpPreference -ControlledFolderAccessAllowedApplications.

5. Exclusiones bien hechas

Cada exclusión es un agujero hecho a propósito, así que se hacen pocas, pequeñas y por escrito:

• La más pequeña posible: un fichero concreto antes que una carpeta, una carpeta antes que una unidad. Nunca C:\Users, %TEMP% ni un proceso de Office entero.
• Del tipo correcto: una exclusión por regla ASR solo afecta a esa regla; una exclusión de antivirus deja el fichero sin analizar. Para un falso positivo de ASR no hace falta tocar el antivirus. Hay reglas que no respetan las exclusiones de antivirus, y todas respetan las exclusiones de ASR globales y por regla.
• Donde se gestiona la regla: si la regla viene de Intune, la exclusión también. Las añadidas a mano en un equipo se pierden o, con protección contra alteraciones, pueden no aplicarse.
• Documentada: qué se excluye, para qué regla, qué aplicación, quién la pidió, el ticket y una fecha de revisión.

6. El ticket: "la herramienta de cierre mensual no arranca desde Excel"

Finanzas usa un libro de Excel con macros que lanza un ejecutable interno para generar informes. Desde que Bloquear que todas las aplicaciones de Office creen procesos secundarios está en bloqueo, no hace nada y aparece un aviso de Seguridad de Windows.

›Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Windows Defender/Operational'; Id=1121} -MaxEvents 1 | Format-List TimeCreated, MessageTimeCreated : 30/10/2026 9:41:07Message     : Microsoft Defender Exploit Guard ha bloqueado una operación que no está permitida por su administrador de TI.              ID: D4F940AB-401B-4EFC-AADC-AD5F3C50688A              Usuario: CONTOSO\laura.prado              Ruta de acceso: C:\Program Files\Contoso\InformesCierre\GenInforme.exe              Nombre del proceso: C:\Program Files\Microsoft Office\root\Office16\EXCEL.EXE

Se lee así: el ID es la regla, Nombre del proceso quién intentó la acción (Excel) y Ruta de acceso el fichero bloqueado (el ejecutable interno).

1. Confirma que es legítimo: firmado por quien dice, instalado por IT en Program Files, y que el responsable de la aplicación lo reconoce. Si nadie lo reconoce, no es un ticket de soporte: es un incidente de seguridad.
2. Mira si pasa en más equipos (el informe de reglas ASR del portal o el mismo evento en otro equipo de Finanzas).
3. Añade una exclusión por regla solo para C:\Program Files\Contoso\InformesCierre\GenInforme.exe, en la misma directiva de Intune que activa la regla, asignada a quien la necesita.
4. Tras sincronizar la directiva, cierra y vuelve a abrir Excel (las exclusiones se aplican cuando arranca el proceso) y prueba con el usuario.
5. Ticket con la regla, el fichero excluido, la justificación y una fecha de revisión.

Desactivar la regla para todos o volverla a auditoría "hasta que se arregle" es lo que deja la red abierta durante meses. Una exclusión concreta es más rápida y deja la regla funcionando para todo lo demás.

Siguientes pasos

• La guía de GPO de seguridad completa la base de seguridad del puesto: NTLM, LLMNR, firma SMB, LAPS y protección de LSA.
• La guía de Intune EPM reduce los administradores locales, que es lo que hace que un usuario pueda saltarse muchas de estas protecciones.
• La guía de Microsoft Sentinel de Nivel 4 explica cómo llevar los eventos de Defender a alertas centralizadas.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.