Cómo configurar Device Guard y las políticas de control de aplicaciones con Intune en pymes

Device Guard y Windows Defender Application Control (WDAC) son tecnologías de seguridad de nivel empresarial que aplican un modelo Zero Trust en el que solo pueden ejecutarse las aplicaciones autorizadas. Para las pequeñas y medianas empresas (pymes), desplegar estas funciones a través de Intune supone una solución escalable y gestionada desde el cloud para fortalecer los endpoints frente al movimiento lateral y a las amenazas del shadow IT.

Esta guía recorre paso a paso la configuración de las políticas de control de aplicaciones y de Device Guard en Intune: desde los componentes que intervienen hasta las estrategias de despliegue y las técnicas de validación.

Si prefieres una visión general rápida, mira nuestra guía en vídeo: Cómo configurar Device Guard y las políticas de control de aplicaciones a través de Intune para pymes

Pasos para configurar Device Guard y las políticas de control de aplicaciones a través de Intune

Estos son los requisitos que necesitas para configurar Device Guard y las políticas de control de aplicaciones a través de Intune:

📌 Requisitos generales:

• Microsoft Intune (Microsoft Endpoint Manager)
• Windows 10/11 en edición Pro, Enterprise o Education
• Hardware compatible con Device Guard y WDAC (UEFI, extensiones de virtualización)
• Acceso administrativo a los endpoints y al portal de Intune
• Opcional: acceso a NinjaOne RMM para la monitorización y la aplicación complementaria de políticas

Paso 1: comprender los componentes de Device Guard y WDAC

Antes de configurar nada, conviene entender qué son Device Guard y WDAC y cómo trabajan juntos para mantener tus sistemas seguros:

¿Qué es Device Guard en Intune?

Device Guard es un conjunto de tecnologías de seguridad integradas en Windows que bloquean los dispositivos para que solo puedan ejecutar aplicaciones de confianza. Reúne varios componentes potentes bajo un mismo paraguas:

• Credential Guard: protege las credenciales frente a ataques mediante la seguridad basada en virtualización (VBS).
• Integridad de código (CI): garantiza que solo se ejecute código firmado y de confianza.
• Control de aplicaciones (WDAC): define qué aplicaciones, ejecutables, scripts y DLL pueden ejecutarse en el dispositivo.

En conjunto, estas tecnologías aplican un modelo de ejecución Zero Trust: nada se ejecuta si no está explícitamente permitido.

¿Cómo se configuran las políticas?

Las políticas de Device Guard y WDAC se configuran mediante XML o un proveedor de servicios de configuración (CSP) y se aplican con Intune o mediante scripts locales.

Paso 2: elegir un método de despliegue

Con los conceptos básicos claros, toca elegir el método de despliegue que mejor encaje con tu infraestructura (gestionada con Intune, AD on-premise o híbrida).

Método A: crear una política WDAC con PowerShell

Este método te da control total sobre lo que puede ejecutarse, partiendo de lo que ya existe en tu sistema de referencia.

📌 Casos de uso:

• Quieres una lista de permitidos personalizada para entornos de alta seguridad
• Estás probando WDAC en un grupo reducido de dispositivos

📌 Requisitos previos:

• Debes ejecutar PowerShell como administrador
• PowerShell 5.1 o superior para crear políticas locales

Paso a paso:

1. Pulsa Win + S y busca PowerShell.
2. Haz clic con el botón derecho en Windows PowerShell dentro de los resultados y selecciona Ejecutar como administrador. (Consulta el punto n.º 2 de ⚠️ Aspectos a tener en cuenta.)
3. Crea una política WDAC predeterminada (modo auditoría):

$policyPath = "C:\Policies\WDAC_Policy.xml"
New-CIPolicy -Level Publisher -Fallback Hash -FilePath $policyPath -UserPEs

4. Convierte el XML a binario:

ConvertFrom-CIPolicy -XmlFilePath $policyPath -BinaryFilePath "C:\Policies\WDAC_Policy.bin"

5. Opcional: activa solo el modo auditoría: (Consulta el punto n.º 1 de ⚠️ Aspectos a tener en cuenta.)

Set-RuleOption -FilePath $policyPath -Option 3 # 3 = Audit Mode

Ya puedes usar esta política en Intune como configuración OMA-URI personalizada o desplegarla manualmente en equipos de prueba.

Método B: desplegar Device Guard/WDAC a través de Intune

Este método utiliza la sección de seguridad de endpoints de Intune para crear y desplegar reglas WDAC. Es la forma más escalable de desplegar políticas WDAC en varios dispositivos.

📌 Casos de uso: ideal para pymes y empresas con estrategia cloud-first

📌 Requisitos previos:

• Los dispositivos deben estar unidos a Azure AD o a AAD híbrido e inscritos en Intune
• Licencias adecuadas de Intune (Microsoft 365 Business Premium, E3 o superior, etc.)

Paso a paso:

1. Ve a Centro de administración de Microsoft Intune > Endpoint Security > Reducción de la superficie de ataque > Crear política.
2. Elige la plataforma y el perfil:
   • Plataforma: Windows 10 y posterior
   • Perfil: Windows Defender Application Control
3. Configura la política:
   • Empieza usando el modo auditoría. Así, la actividad bloqueada quedará registrada sin bloquearse realmente. (Consulta el punto n.º 1 de ⚠️ Aspectos a tener en cuenta.)
   • Aplica las reglas después de probarlas (solo aplicaciones firmadas de Microsoft y componentes de Windows).
   • Activa la integración con Intelligent Security Graph.
4. Asigna la política a un grupo de prueba o a un subconjunto de endpoints. (Consulta el punto n.º 3 de ⚠️ Aspectos a tener en cuenta.)
5. Una vez validada, cambia al modo de aplicación. A partir de ese momento, solo se ejecutarán las aplicaciones de confianza y se bloquearán las que no lo sean.

Método C: aplicar mediante directiva de grupo (opcional/híbrido)

Este método es el más adecuado para entornos híbridos o de AD on-premise en los que Intune no se usa del todo o la directiva de grupo sigue siendo el mecanismo principal de configuración.

📌 Casos de uso: ideal para organizaciones que están migrando del on-premise al cloud.

📌 Requisitos previos: los dispositivos deben estar unidos a AD (on-premise o híbrido)

Paso a paso:

1. Pulsa Win + R, escribe gpedit.msc y pulsa Intro para abrir el Editor de directivas de grupo.
2. Ve a:

Configuración del equipo > Plantillas administrativas > Sistema > Device Guard

3. Activa:
   • Activar la seguridad basada en virtualización
   • Activar Credential Guard
   • Implementar Windows Defender Application Control

Utiliza GPO para dispositivos unidos al dominio on-premise o híbridos cuando Intune no esté disponible.

Paso 3: validar el control de aplicaciones con PowerShell y los registros de eventos

Una vez desplegada, comprueba que la política está activa y funciona correctamente.

📌 Casos de uso: úsalo para auditorías y cumplimiento o para evitar interrupciones del servicio por falsos positivos.

📌 Requisitos previos: PowerShell 5.1 o superior para verificar la política localmente

Comprobación con PowerShell

1. Abre PowerShell.
2. Ejecuta este comando para confirmar el estado de WDAC:

Get-CIPolicy | Format-List

3. Revisa los registros de auditoría: (Consulta el punto n.º 4 de ⚠️ Aspectos a tener en cuenta.)

Get-WinEvent -LogName "Microsoft-Windows-CodeIntegrity/Operational" | Format-Table TimeCreated, Id, Message -AutoSize

4. Verifica Credential Guard:

Get-CimInstance -ClassName Win32_DeviceGuard

El resultado debería mostrar VirtualizationBasedSecurityStatus = 2 para indicar que está activo.

Comprobación con el Visor de eventos

1. Pulsa Win + R, escribe eventvwr.msc y pulsa Intro para abrir el Visor de eventos.
2. Ve a Registros de aplicaciones y servicios > Microsoft > CodeIntegrity > Operational.
3. Busca:
   • ID de evento 3033: política WDAC cargada correctamente
   • ID de evento 3076: aplicación bloqueada por WDAC (modo de aplicación)
   • ID de evento 3099: la aplicación se habría bloqueado (modo auditoría)

Estos eventos confirman si la política WDAC se aplicó correctamente y si hubo aplicaciones bloqueadas o que se habrían bloqueado.

Paso 4: usar el Registro para confirmar o aplicar la configuración

Este método envía las políticas WDAC a los dispositivos y comprueba si Device Guard, Credential Guard o VBS están activados.

📌 Casos de uso: úsalo si quieres verificar la aplicación de la configuración tras el despliegue.

📌 Requisitos previos:

• Se requieren privilegios de administrador (consulta el punto n.º 2 de ⚠️ Aspectos a tener en cuenta.)
• Configuración de Device Guard desplegada (GPO o Intune)

⚠️ Advertencia: editar el registro puede provocar problemas en el sistema. Crea una copia de seguridad antes de continuar.

Paso a paso:

1. Pulsa Win + R, escribe regedit y pulsa Intro para abrir el Editor del Registro.
2. Ve a las claves de registro de WDAC y Device Guard:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard

• • EnableVirtualizationBasedSecurity (DWORD) = 1
  • RequirePlatformSecurityFeatures (DWORD) = 1

3. Validación en el registro de Credential Guard:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa

• • LsaCfgFlags (DWORD) = 1

Usa PowerShell o los campos personalizados de NinjaOne para leer e informar de estos valores a gran escala.

⚠️ Aspectos a tener en cuenta

Por qué Device Guard y WDAC importan a las pymes

Las pequeñas y medianas empresas (pymes) se definen normalmente por su plantilla y su facturación. Operan con equipos más reducidos y menos recursos on-premise que las grandes compañías, pero se enfrentan a las mismas amenazas de seguridad. Por eso necesitan soluciones que no sean excesivamente complejas y que, aun así, resulten eficaces.

Device Guard y WDAC ofrecen ese equilibrio a las pymes. Estas son sus ventajas:

• Intune reduce la carga administrativa al simplificar el despliegue y la monitorización.
• Con una gestión cloud-first, las políticas se distribuyen y se aplican sin depender de la infraestructura on-premise.
• La seguridad de endpoints mejora gracias a la capacidad de WDAC para bloquear aplicaciones maliciosas o no confiables.
• Intune y WDAC aportan protección de nivel empresarial a gran escala, con controles de seguridad aplicados de forma coherente en todos los dispositivos.
• El control de aplicaciones reduce la superficie de ataque al limitar los puntos de entrada de las amenazas y el movimiento lateral.

Otras consideraciones

Ten en cuenta estos puntos clave al desplegar Windows Defender Application Control (WDAC):

Prueba primero en modo auditoría

Antes de aplicar WDAC en producción, empieza probando en modo auditoría. Este modo registra las aplicaciones que se habrían bloqueado sin impedir realmente su ejecución, de modo que puedes evaluar el impacto de tu política sin riesgos.

Firma de políticas

En algunos entornos, las políticas WDAC deben firmarse digitalmente con un certificado de firma de código para poder aplicarse con Arranque seguro. Las políticas firmadas garantizan integridad y confianza, mientras que las no firmadas pueden ignorarse o ejecutarse únicamente en modo auditoría.

Compatibilidad con las actualizaciones

Cada actualización de Windows puede añadir nuevos archivos de sistema o controladores, o modificar los existentes, y WDAC podría bloquearlos sin querer. Valida siempre tu política después de las actualizaciones importantes. También puedes pasar temporalmente al modo auditoría tras una actualización para registrar los nuevos bloqueos e identificar los archivos que necesitan excepciones.

Gestión de excepciones

Las pymes suelen depender de herramientas de terceros, scripts o agentes de automatización que quizá no estén firmados y que WDAC podría bloquear. En ese caso, crea reglas de permiso basadas en la ruta del archivo, el hash o el editor.

💡 Consejo: mantén una lista de las herramientas de confianza que deben estar en la lista de permitidos y revisa y actualiza periódicamente las reglas de excepción para evitar interrupciones.

Resolución de problemas

Estos son los problemas más habituales al configurar WDAC y cómo resolverlos:

Aplicaciones bloqueadas

Que haya aplicaciones bloqueadas indica que WDAC está funcionando correctamente y está bloqueando una aplicación que no coincide con la lista de permitidos. En ese caso, revisa los registros de CodeIntegrity para localizar los hashes de los ejecutables:

1. Pulsa Win + R, escribe eventvwr.msc y pulsa Intro para abrir el Visor de eventos.
2. Ve a:

Registros de aplicaciones y servicios > Microsoft > Windows > CodeIntegrity > Operational

3. Busca el ID de evento 3076 y el ID de evento 3099 para ver los ejecutables bloqueados y sus hashes.
4. Usa el hash o la ruta del archivo que aparece en el evento para crear una regla de excepción.

La política no se aplica

Si un dispositivo no recibe o no aplica la política, puedes hacer lo siguiente:

• Fuerza una sincronización en el endpoint:

1. 1. Abre Configuración (Win + I) > Cuentas > Acceder a trabajo o escuela > Información > Sincronizar

• Comprueba el estado del despliegue de la política en Intune:

1. 1. Ve a Centro de administración de Microsoft Intune > Dispositivos > [Nombre del dispositivo] > Configuración del dispositivo
   2. Revisa el estado de la política (Pendiente, Correcto o Error)

• Verifica el destino:

Confirma que el dispositivo está en el grupo asignado correcto y que la política se aplica a dispositivos, no solo a usuarios.

Credential Guard falla

Recuerda que Credential Guard requiere ciertas funciones de hardware, como la compatibilidad con virtualización y el Arranque seguro. Así puedes comprobar si el dispositivo las admite:

1. Reinicia en la BIOS/UEFI y comprueba que:
   • el Arranque seguro está activado
   • la compatibilidad con virtualización está habilitada

El registro no se actualiza

Si los cambios en el registro no se aplican, puedes hacer lo siguiente:

• Asegúrate de ejecutar los scripts o las consultas con privilegios de administrador.
• Confirma que la ruta y las claves del registro existen:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa

Servicios de NinjaOne

NinjaOne facilita un despliegue seguro de las políticas de Device Guard y WDAC gracias a:

Con NinjaOne, los MSP pueden ampliar y monitorizar las funciones de fortalecimiento de seguridad de Microsoft en todos sus clientes con un esfuerzo mínimo.

Configura Device Guard y WDAC en pymes para reforzar la seguridad de endpoints y el control de aplicaciones

Device Guard y Windows Defender Application Control (WDAC) son herramientas potentes para proteger los endpoints de las pymes, ya que limitan qué aplicaciones y scripts pueden ejecutarse. Esta guía ha repasado los componentes principales y las ventajas de ambas soluciones, con el foco puesto en cómo respaldan un modelo de ejecución zero trust.

También ha detallado cómo desplegar, auditar y aplicar políticas con Microsoft Intune, junto con métodos basados en PowerShell, el registro, CMD y GPO para pruebas y cumplimiento. Por último, has visto cómo NinjaOne ayuda a escalar y auditar el despliegue de políticas en todos los clientes para reforzar la seguridad de endpoints y el control de aplicaciones.

Temas relacionados:

• Cómo comprobar si Device Guard está activado o desactivado en Windows
• Cómo comprobar si Credential Guard está activado o desactivado en Windows
• Cómo evitar el mensaje «Esta aplicación se ha bloqueado por motivos de seguridad» en Windows 10