Puntos clave
- Microsoft Defender for Business incluye antivirus, EDR y herramientas de corrección automatizada, lo que lo hace ideal para pymes y MSP que gestionan entornos multicliente.
- Incorpora dispositivos Windows mediante scripts de PowerShell, objetos de directiva de grupo (GPO) o la integración con tu RMM para lograr una protección escalable y homogénea.
- Configura y monitoriza a todos tus clientes desde el portal de Microsoft 365 Defender o Microsoft Lighthouse para tener visibilidad en tiempo real y responder a incidentes.
- Ajusta las reglas ASR, las políticas de firewall, la protección contra ransomware y la protección contra alteraciones por cliente o grupo de dispositivos.
- Usa Advanced Hunting con KQL para el analytics de amenazas, activa las notificaciones de alertas e intégralo con herramientas SIEM como Microsoft Sentinel.
- Combina Microsoft Defender con la plataforma unificada de gestión de endpoints de NinjaOne para supervisar, parchear y corregir automáticamente en todos tus clientes.
Esta guía explica cómo configurar Microsoft Defender for Business en entornos MSP: despliegue, configuración y gestión continua. Incluye instrucciones para incorporar dispositivos con PowerShell u objetos de directiva de grupo (GPO), además de consejos para configurar las políticas de seguridad y mantener la monitorización y los informes de todos tus endpoints.
Conocer a fondo Microsoft Defender for Business es fundamental para los administradores de informática interna y para los MSP que gestionan varios clientes. Su antivirus, la detección y respuesta de endpoints (EDR), la gestión del firewall y las herramientas de investigación y corrección automatizadas ofrecen una protección potente y, además, pueden integrarse con tu plataforma MSP o tu solución de monitorización y gestión remota (RMM) para ganar visibilidad y resolver incidencias más rápido.
¿Qué es MS Defender for Business y qué debes saber?
Microsoft Defender for Business protege tus dispositivos frente a amenazas como el malware y los ataques informáticos, y se incluye sin coste adicional en las suscripciones de Microsoft 365 Business Premium. También está disponible como complemento independiente para clientes de otros planes de Microsoft 365.
Microsoft Defender lo pueden desplegar los equipos de informática interna o los proveedores de servicios gestionados (MSP), y se administra desde su tenant de Microsoft 365 (con PowerShell o la interfaz web) o mediante Microsoft Lighthouse cuando se gestionan varios clientes. Las principales plataformas RMM también pueden integrarse con MS Defender for Business para centralizar la supervisión y la gestión.
Al desplegar Microsoft Defender for Business y diseñar e implementar tus políticas de seguridad, deberías perseguir estos objetivos:
- Incorporación escalable de los dispositivos de los clientes
- Personalización de políticas por cliente o grupo de dispositivos
- Detección y respuesta en tiempo real
- Corrección automatizada de amenazas
- Coherencia de informes y alertas en todos los tenants
Configuración inicial en Microsoft 365 y en el portal de seguridad de Defender
Microsoft Defender for Business se incluye en las suscripciones de Microsoft 365 Business Premium o puede adquirirse como suscripción independiente. Cuando tengas una licencia válida que cubra a tus usuarios, sigue estos pasos para ponerlo en marcha:
- Entra en el portal de Microsoft Defender en security.microsoft.com y ve a Settings > Endpoints > Onboarding
- Selecciona Windows 10 and 11 > Download onboarding package
- Asigna los dispositivos a los grupos de seguridad correspondientes para aplicar las políticas
Los paquetes de incorporación se pueden desplegar con un script local, mediante directiva de grupo (GPO) o desde tu RMM.
Incorporar dispositivos con PowerShell
En los dispositivos que no gestionas con Intune ni con GPO, PowerShell es una alternativa para incorporarlos a Microsoft Defender for Business:
- Descarga el paquete de incorporación desde el portal de Defender (eligiendo Local script como método de despliegue) y extráelo
- Ejecuta el script extraído de forma local o despliégalo con tu RMM ejecutando WindowsDefenderATPOnboardingScript.cmd
- Comprueba la incorporación ejecutando Get-MpComputerStatus | Select AMServiceEnabled, OnboardingState, y verifica que OnboardingState tiene el valor 1 (incorporado) o 2 (incorporación en curso).
Incorporar dispositivos mediante directiva de grupo
También puedes incorporar dispositivos de un dominio de Windows con directiva de grupo:
- Descarga el paquete de incorporación desde el portal (eligiendo Group Policy como método de despliegue) y extráelo en un recurso compartido de red accesible para los dispositivos de destino
- Abre la Consola de administración de directivas de grupo
- Ve a Configuración del equipo > Plantillas administrativas > Componentes de Windows > Antivirus de Microsoft Defender > Onboarding
- Activa la opción Manage onboarding using local script y define WindowsDefenderATPOnboardingScript.cmd como script de inicio
Activación desde CMD en entornos avanzados o heredados
Si Microsoft Defender no se está ejecutando, puedes confirmar que está habilitado (y que no lo ha desactivado un antivirus de terceros) iniciando el servicio de Defender desde el símbolo del sistema con los siguientes comandos:
Servicio antivirus principal: introduce estos comandos en un CMD con permisos elevados.
sc config WinDefend start= auto
net start WinDefend
Si trabajas con Defender for Business, introduce este comando en un CMD con permisos elevados para recopilar telemetría de seguridad y habilitar la detección y respuesta avanzada frente a amenazas:
sc config Sense start= auto
net start Sense
Consulta el estado de Defender local o empresarial introduciendo estos comandos como administrador:
sc query WinDefend
sc query Sense
También puedes comprobar si Defender está en ejecución con este comando de PowerShell:
Get-MpComputerStatus | Select OnboardingState
Monitorización e informes
El portal de Microsoft Defender te permite monitorizar las detecciones de amenazas, consultar el nivel de riesgo de un dispositivo, revisar los incidentes y las alertas activas y comprobar las acciones de corrección automatizada.
También puedes usar Advanced Hunting y el lenguaje de consultas KQL para buscar eventos, por ejemplo:
DeviceEvents | where ActionType contains «Antivirus» or ActionType contains «Remediation»
Al configurar Microsoft Defender for Business, asegúrate de que las notificaciones de alertas de gravedad alta están activadas y llegan a los técnicos adecuados, y plantéate reenviar los registros a Microsoft Sentinel o a tus herramientas SIEM de terceros.
Configurar las políticas de seguridad de los clientes y resolver problemas de la instalación de Microsoft Defender for Business
Una vez configurado Microsoft Defender for Business e incorporados los dispositivos, puedes usar el portal de Microsoft 365 Defender para ajustar:
- Reglas de reducción de la superficie de ataque (ASR)
- Protección contra ransomware
- Protección contra alteraciones
- Aplicación del firewall
- Análisis antivirus y exclusiones
Al definir tus políticas de Microsoft Defender for Business e integrarlo con tus herramientas ITSM, piensa en cómo vas a gestionar varios tenants (algo especialmente importante para los MSP) y cómo te asegurarás de que todos los endpoints quedan correctamente incorporados. También conviene comprobar que Microsoft Defender no entra en conflicto con otros productos de seguridad de endpoints ya desplegados, como CrowdStrike o Bitdefender.
Para reducir el riesgo de problemas durante el despliegue, prueba las políticas antes de aplicarlas. Si algo falla, empieza por comprobar que:
- Todos los usuarios tienen aplicada una licencia válida de Microsoft Defender for Business
- Las reglas de firewall y la conectividad con los endpoints *.wdatp.com funcionan
- El servicio de Defender está habilitado y se ha desinstalado el antivirus de terceros
- Los dispositivos aparecen en el portal de Defender
- Los scripts de automatización o las GPO están bien configurados
Mejora la visibilidad, la aplicación de políticas y la automatización de respuestas de Microsoft Defender for Business
Las herramientas de seguridad de Microsoft Defender for Business son sólidas y se integran muy bien en el ecosistema de Microsoft, pero siguen dejando puntos ciegos en despliegues complejos.
NinjaOne se integra con Microsoft Defender for Business para ofrecerte gestión unificada de endpoints, gestión de parches y de software, copia de seguridad y protección de endpoints en todos tus dispositivos. Es compatible con Microsoft Defender y con plataformas de ciberseguridad de terceros, y te da una visión completa de toda tu infraestructura de TI, incluida la de varios clientes de un MSP.
NinjaOne admite el despliegue de scripts, las auditorías, el cumplimiento, la corrección automatizada y el reenvío de alertas de Microsoft Defender, para que resuelvas los incidentes lo antes posible.
