Bloquear dispositivos USB con Intune y Defender

Puntos clave

El almacenamiento USB se puede bloquear con Intune, el control de dispositivos de Defender for Endpoint, directivas de grupo, el Registro, PowerShell o el símbolo del sistema, según cómo gestiones tu parque informático.
Intune y Defender for Endpoint ofrecen un control centralizado y escalable: son la mejor opción para empresas que gestionan muchos dispositivos desde el cloud.
Los métodos basados en el Registro y el símbolo del sistema funcionan sin herramientas centralizadas: resultan útiles en entornos pequeños o en equipos concretos.
Haz pruebas antes de desplegar a gran escala: el modo de auditoría y las pruebas en local reducen el riesgo de bloquear usos legítimos de dispositivos.
Es posible un control granular: los perfiles de control de dispositivos permiten autorizar o bloquear tipos de dispositivos USB o ID concretos, en lugar de aplicar un bloqueo total.

La mayoría de las empresas y los proveedores de servicios gestionados (MSP) bloquean los dispositivos USB no autorizados para evitar fugas de datos y reducir los vectores de ataque por acceso físico. Es un requisito de seguridad habitual tanto en entornos corporativos como en los de MSP.

Los administradores pueden aplicar políticas de bloqueo de USB escalables, reversibles y fáciles de auditar con Microsoft Intune y Defender for Endpoint.

¿Prefieres una guía visual que complemente lo que ya sabes? Mira «Cómo bloquear dispositivos de almacenamiento USB con Intune y Defender for Endpoint» para obtener más información.

Métodos para bloquear dispositivos USB

Además de Intune y Defender for Endpoint, las unidades USB también se pueden bloquear mediante directivas de grupo, el Editor del Registro, PowerShell o el símbolo del sistema.

📌 Requisitos previos:

Windows 10/11 Enterprise o Education
Privilegios de administrador
Los dispositivos deben gestionarse con Intune y, de forma opcional, estar incorporados a Microsoft Defender for Endpoint.
Licencia de Defender for Endpoint (P1 o P2 para el control de dispositivos)

Método 1: con Microsoft Intune

Puedes usar Microsoft Intune para bloquear dispositivos de almacenamiento USB mediante plantillas administrativas.

📌 Caso de uso: administradores de TI que quieren crear y desplegar un perfil para bloquear dispositivos USB con Intune

Inicia sesión en el centro de administración de Intune.
Ve a:
- Dispositivos > Configuración > Crear > Nueva política
Introduce las siguientes propiedades:
- Plataforma: selecciona Windows 10 y posterior.
- Tipo de perfil: selecciona Plantillas > Plantillas administrativas
Pulsa Crear.
En Aspectos básicos, escribe un nombre y una descripción y pulsa Siguiente.
En los ajustes de Configuración, baja hasta la sección General y despliégala.
Busca Almacenamiento extraíble y activa la opción Bloquear.
En Asignaciones, elige los grupos de dispositivos que recibirán el perfil. Pulsa Siguiente.
Revisa la configuración en Revisar + crear y haz clic en Crear para guardar los cambios y asignar el perfil.

Método 2: con reglas de control de dispositivos de Defender for Endpoint

Este método usa Intune para gestionar la configuración de Defender for Endpoint.

📌 Caso de uso: administradores de TI que quieren aplicar una política más estricta con el control de dispositivos de ASR (reducción de la superficie de ataque)

Inicia sesión en el centro de administración de Intune.
Ve a Seguridad de endpoints y luego a Reducción de la superficie de ataque.
Pulsa + Crear política:
- Plataforma: Windows 11 y Windows Server
- Perfil: Control de dispositivos
Pulsa Crear.
Asigna un nombre y una descripción a la política en la pestaña Aspectos básicos.
Busca el ajuste «Disco extraíble: denegar acceso de escritura» en Almacenamiento, dentro de la pestaña de ajustes de configuración.
Abre el menú desplegable y selecciona Habilitado.
Haz clic en Siguiente.
Haz clic en Agregar grupos, selecciona el grupo de seguridad de Entra que contiene los dispositivos Windows y pulsa Siguiente.
Revisa el resumen del despliegue y haz clic en el botón Crear.

Método 3: con directivas de grupo (GPO)

Este método usa el Editor de directivas de grupo local para bloquear el almacenamiento USB en los dispositivos.

📌 Casos de uso: administradores de TI que quieren aplicar restricciones de USB sin usar Intune ni Microsoft Defender for Endpoint.

Pulsa Win + R, escribe gpedit.msc y pulsa Intro para abrir el Editor de directivas de grupo local.
Ve a:

Configuración del equipo > Plantillas administrativas > Sistema > Acceso de almacenamiento extraíble

Haz doble clic en cada una de estas opciones y luego en Habilitado:
- Todas las clases de almacenamiento extraíble: denegar todos los accesos
- Discos extraíbles: denegar acceso de lectura
- Discos extraíbles: denegar acceso de escritura
Aplica la GPO a la unidad organizativa (OU) que quieras.
Reinicia el dispositivo para aplicar los cambios.

Método 4: con el Editor del Registro

Este método usa el Registro de Windows para bloquear los dispositivos USB de forma manual.

📌 Caso de uso: administradores de TI que necesitan una forma sencilla de aplicar restricciones de USB o de dispositivos en entornos sin herramientas de gestión centralizada

Pulsa Win + R, escribe regedit y pulsa Intro
Ve a:

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\RemovableStorageDevices

Edita las siguientes claves del Registro:
- Deny_All (DWORD): 1 (bloquea todo el almacenamiento extraíble para todos los usuarios)
- Allow_Admins (DWORD): 0 (garantiza que los administradores también queden bloqueados y no puedan saltarse la restricción)
Reinicia el dispositivo para aplicar los cambios.

💡 Nota: si la clave RemovableStorageDevices no existe, consulta la sección de consejos más abajo para saber cómo crearla.

💡 Consejos:

Puedes ir directamente a la carpeta RemovableStorageDevices copiando y pegando la ruta en la barra de direcciones.
Si las claves no existen, créalas haciendo clic con el botón derecho en OneDrive. Selecciona Nuevo > Valor DWORD (32 bits).
También puedes bloquear los dispositivos de clase USB yendo a:
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR, estableciendo Start (DWORD) en 4 y reiniciando el dispositivo.

⚠️ Advertencia: editar el Registro puede tener consecuencias imprevistas. Hazlo con precaución y crea una copia de seguridad del Registro antes de modificar nada. (Más información en: Aspectos a tener en cuenta)

Método 5: con PowerShell

Este método usa PowerShell para desactivar o volver a activar el almacenamiento USB modificando el servicio USBSTOR.

📌 Caso de uso: administradores de TI que necesitan un control rápido y programable del almacenamiento USB, tanto para bloquearlo como para desbloquearlo. Es el método ideal para despliegues automatizados en entornos sin GPO ni Intune.

Pulsa Win, escribe PowerShell y haz clic en Ejecutar como administrador.
Copia y pega los siguientes scripts en la consola y pulsa Intro:
- Para desactivar el almacenamiento USB deteniendo el controlador USBSTOR:
  - Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\USBSTOR" -Name "Start" -Value 4

Stop-Service -Name "USBSTOR"

- Para volver a activarlo:
  - Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\USBSTOR" -Name "Start" -Value 3

Start-Service -Name "USBSTOR"

- Para el registro de auditoría:
  - Get-WinEvent -LogName Security | Where-Object {$_.Message -like "*USB*"}

Reinicia el dispositivo para aplicar los cambios.

Puedes ejecutar el siguiente script para comprobar que el cambio se aplicó correctamente:

Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Services\USBSTOR' -Name 'Start'
Get-Service -Name USBSTOR
💡 Nota: este comando puede tardar bastante porque consulta todo el registro de seguridad. Revisa o acota la consulta con un filtro de fecha para evitar esperas.⚠️ Advertencia: antes de desplegar el cambio de configuración en varios endpoints, conviene probarlo primero en un equipo local. (Más información en: Aspectos a tener en cuenta)

Método 6: con el símbolo del sistema

Este método usa el símbolo del sistema para bloquear o desbloquear el almacenamiento USB editando valores del Registro.

📌 Caso de uso: administradores de TI que buscan una forma rápida y programable de activar o desactivar los controladores de almacenamiento USB

Pulsa Win, escribe cmd y haz clic en Ejecutar como administrador.
Copia y pega los siguientes scripts en la consola y pulsa Intro:
- Desactivar los controladores de almacenamiento USB:
  - reg add "HKLM\SYSTEM\CurrentControlSet\Services\USBSTOR" /v Start /t REG_DWORD /d 4 /f
- Activar los controladores de almacenamiento USB:
  - reg add "HKLM\SYSTEM\CurrentControlSet\Services\USBSTOR" /v Start /t REG_DWORD /d 3 /f
Ejecuta lo siguiente para forzar la actualización de la GPO:
- gpupdate /force
Verifica el cambio ejecutando este script:
- reg query HKLM\SYSTEM\CurrentControlSet\Services\USBSTOR /v Start
  - La consulta devolverá un valor REG_DWORD. Si es 0x4, el controlador USBSTOR está desactivado (almacenamiento USB bloqueado). Si es 0x3, el controlador está activado (almacenamiento USB disponible).

💡 Consejo: si al forzar la actualización de la GPO los cambios no se aplican, reinicia el dispositivo.

⚠️ Advertencia: asegúrate de copiar y pegar el script correcto, ya que una sintaxis incorrecta puede provocar errores. (Más información en: Aspectos a tener en cuenta)

⚠️ Aspectos a tener en cuenta

Riesgos	Posibles consecuencias	Cómo revertirlo
Editar el Registro sin copia de seguridad	Si editas el Registro de forma incorrecta puedes corromperlo, así que conviene hacer antes una copia de seguridad.	Exporta la clave del Registro antes de los cambios pulsando Archivo > Exportar.
No probar en un equipo local	Desplegar un script sin probar puede provocar fallos en los dispositivos por problemas como la incompatibilidad de claves del Registro.	Aplica los cambios que quieras en un equipo local y comprueba que la configuración produce el resultado esperado.
Sintaxis de comandos incorrecta	Una sintaxis incorrecta puede corromper el Registro, provocar un comportamiento anómalo del sistema o hacer que el código no haga nada.	Asegúrate de copiar y pegar el script correcto en la consola. También puedes usar herramientas como PSScriptAnalyzer para comprobar la calidad del código.

Otras consideraciones

Al bloquear dispositivos de almacenamiento USB, ten en cuenta los siguientes escenarios y buenas prácticas.

Control de acceso granular

Los perfiles de control de dispositivos te permiten especificar qué dispositivos USB se pueden usar. Es decir, puedes autorizar o bloquear tipos de dispositivos concretos o dispositivos individuales a partir de su ID.

Modo de auditoría

Antes de bloquear los dispositivos USB, deja el equipo en modo de auditoría durante 30 días para registrar toda la actividad relacionada con USB (conexiones, acceso a archivos e intentos de conexión). Así sabrás qué dispositivos se usan con frecuencia, qué departamentos dependen del almacenamiento extraíble y qué excepciones podría necesitar la política.

Uso de AppLocker

Puedes combinar los métodos anteriores con AppLocker para conseguir una protección por capas. AppLocker restringe los ejecutables y los scripts, de modo que impide que el malware o las aplicaciones no autorizadas se ejecuten desde dispositivos USB.

Escenarios móviles

Las tablets y los dispositivos móviles híbridos suelen depender de accesorios USB-C. En ese caso, la gestión de aplicaciones móviles (MAM) con Intune permite controlar el flujo de datos dentro de las aplicaciones corporativas. También puedes usar Microsoft Defender for Endpoint para aplicar restricciones de USB en móviles.

Solución de problemas habituales

Estos son los problemas que te pueden surgir al bloquear dispositivos USB y cómo resolverlos.

Los dispositivos USB no se bloquean

Si los dispositivos USB siguen siendo accesibles, comprueba que la política está asignada al grupo de Entra correcto y verifica la sincronización del dispositivo.

Los controladores se instalan automáticamente

Puedes evitar la instalación automática de controladores desactivando el servicio USBSTOR. Para ello, ejecuta este script en PowerShell:

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\USBSTOR" -Name "Start" -Value 4

Excepciones de dispositivos

En Intune puedes añadir excepciones de dispositivos. Para ello, tienes que configurar los ajustes de control de dispositivos en la política de ASR y especificar las excepciones.

Servicios de NinjaOne que ayudan a aplicar y supervisar políticas de acceso USB

NinjaOne cuenta con herramientas potentes para aplicar y supervisar políticas de acceso USB. Estas herramientas amplían las capacidades de Intune y Defender al cubrir las carencias de automatización y visibilidad en todos los entornos.

Automatización del Registro: aplica cambios en el Registro para restringir el acceso USB mediante políticas de dispositivo
Despliegue de scripts: programa y despliega scripts de PowerShell o CMD para controlar el USB a gran escala
Motor de políticas: automatiza las comprobaciones de cumplimiento y recibe alertas cuando se vuelva a habilitar el acceso USB
Alertas en tiempo real: avisa a los administradores cuando se detecte un nuevo dispositivo de almacenamiento extraíble
Aplicación multiplataforma: usa las funciones de scripting y gestión de políticas de NinjaOne tanto en endpoints híbridos como gestionados desde el cloud

Evita fugas de datos bloqueando los dispositivos de almacenamiento USB

Bloquear los dispositivos de almacenamiento USB reduce las fugas de datos, la entrada de malware y los vectores de ataque por acceso físico. Los administradores de TI pueden gestionar las restricciones de almacenamiento extraíble con Microsoft Intune, Defender for Endpoint y scripts de línea de comandos.

Temas relacionados:

FAQs

¿Cómo bloqueo los dispositivos de almacenamiento USB en Windows 11?

Puedes usar Microsoft Intune, las reglas de control de dispositivos de Defender for Endpoint, directivas de grupo, el Editor del Registro, PowerShell o el símbolo del sistema. Intune y Defender for Endpoint encajan en entornos corporativos, con despliegue centralizado y posibilidad de revertir; los métodos locales son más adecuados para equipos individuales.

¿Cómo bloqueo dispositivos USB con Microsoft Intune?

Crea un perfil de plantillas administrativas de Windows en Intune, activa Bloquear en Almacenamiento extraíble y asígnalo a los grupos de dispositivos correspondientes. Combínalo con una política de reducción de la superficie de ataque de Defender for Endpoint para reforzar el control.

¿Puedo bloquear dispositivos de almacenamiento USB sin Intune ni Defender for Endpoint?

Sí, mediante directivas de grupo, el Editor del Registro, PowerShell o el símbolo del sistema. Funcionan en dispositivos no gestionados, pero requieren reiniciar el equipo y, normalmente, privilegios de administrador.

¿Puedo permitir ciertos dispositivos USB y bloquear el resto?

Sí. Los perfiles de control de dispositivos permiten a los administradores autorizar tipos de dispositivos concretos o ID individuales, y también puedes definir excepciones dentro de una política de reducción de la superficie de ataque en Intune.

¿Conviene probar la política de bloqueo de USB antes de aplicarla a todos?

Sí. Déjala en modo de auditoría unos 30 días para registrar la actividad USB sin bloquear nada y pruébala primero en un equipo local antes de desplegarla a mayor escala.

¿Por qué siguen accesibles los dispositivos USB después de aplicar la política de bloqueo?

Normalmente porque la política no está asignada al grupo de Entra correcto o el dispositivo aún no se ha sincronizado. Si la aplicaste con el Editor del Registro, PowerShell o el símbolo del sistema, también hace falta reiniciar.

¿Bloquear los dispositivos de almacenamiento USB ayuda a prevenir infecciones de malware?

Sí, reduce el malware que llega a través de unidades extraíbles. Combinarlo con AppLocker añade otra capa de defensa, ya que impide que se ejecuten ejecutables no autorizados desde un USB.