Cómo configurar la protección de red de Windows Defender Exploit Guard

Ante las estafas de phishing y otros contenidos maliciosos en línea, la protección de red de Windows Defender Exploit Guard añade una capa de seguridad sobre los endpoints. Esta guía te muestra distintas formas de configurar la protección de red de Windows Defender para que tu infraestructura de TI resista los ciberataques.

Pasos para configurar la protección de red de Windows Defender

• Con el Editor de directivas de grupo local:

  • Pulsa la tecla Windows + R, escribe gpedit.msc y pulsa Intro.
  • En la carpeta Network Protection, activa la directiva «Impedir que los usuarios y las aplicaciones accedan a sitios web peligrosos».

• Con PowerShell con permisos elevados:

  • Pulsa la tecla Windows + S y escribe powershell. Haz clic en Ejecutar como administrador debajo del icono de Windows PowerShell.
  • Introduce el cmdlet Set-MpPreference -EnableNetworkProtection Enabled y pulsa Intro.

• Con la aplicación Seguridad de Windows:

  • Abre Seguridad de Windows: abre el menú Inicio, escribe seguridad y pulsa Intro.
  • Selecciona Control de aplicaciones y navegador, Configuración de protección contra exploits y Configuración de programas. Elige las aplicaciones a las que quieres aplicar las mitigaciones de protección contra exploits.

• Comprueba la configuración en el Editor del Registro:

  • Pulsa la tecla Windows + R, escribe regedit y pulsa Intro. Ve a la clave de registro Network Protection por esta ruta: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Windows Defender Exploit Guard\Network Protection\EnableNetworkProtection.
  • Tras seleccionar la directiva EnableNetworkProtection en la carpeta Network Protection, consulta el valor correspondiente para saber si la protección de red está desactivada (0), activada (1) o en modo de auditoría (2).

• Audita páginas web manualmente con el Visor de eventos de Windows:

  • Abre el menú Inicio, escribe visor de eventos y haz clic en Visor de eventos.
  • Dentro de la carpeta Windows Defender (Operational), consulta el ID de evento 1125 para revisar los registros de las páginas web marcadas por la protección de red.

Este breve vídeo muestra cómo configurar la protección de red de Windows Defender Exploit Guard en Windows.

La protección de red en Windows 10/11

Antes de empezar a configurarla, definamos qué es la protección de red en Windows 10/11 y cómo defiende tus dispositivos de las amenazas en línea.

¿Qué es la protección de red de Windows Defender Exploit Guard?

Exploit Guard forma parte esencial del funcionamiento de Windows Defender. Apareció por primera vez en la versión 1709 de Windows 10. La protección de red de Windows Defender Exploit Guard recurre al Intelligent Security Graph (ISG), una amplísima base de datos con información de inteligencia de seguridad de todos los productos y servicios de Microsoft, para detectar y analizar patrones y prácticas habituales en los ciberataques más extendidos.

Windows Defender Exploit Guard funciona mediante cuatro componentes:

• Reducción de la superficie de ataque: se centra en bloquear amenazas procedentes de Microsoft Office, de scripts y del correo electrónico.
• Acceso controlado a carpetas: limita el acceso a los datos sensibles de los archivos y carpetas de tu equipo.
• Protección contra exploits: permite configurar mitigaciones frente a exploits para el sistema y las aplicaciones.
• Protección de red: se centra en proteger el dispositivo de amenazas web, normalmente procedentes de dominios e IP engañosas.

En esta guía nos centraremos en el componente de protección de red de Exploit Guard.

Así ayuda la protección de red de Windows Defender a evitar el acceso a dominios peligrosos y sitios de phishing

Aunque las medidas de ciberseguridad son cada vez más sólidas, los atacantes que operan en internet se han adaptado y han mejorado sus estrategias para robar información. Lo hacen con métodos como el phishing, las estafas, la ingeniería social o el acceso no autorizado a un centro de mando y control (C&C), entre otros.

La protección de red en Windows 10/11 busca detectar y cortar las conexiones salientes hacia dominios potencialmente peligrosos. Para ello usa la información que recopila el ISG y comprobaciones de reputación basadas en las direcciones IP de los dominios. Esta capacidad de filtrado bloquea y suspende la conexión en cuanto reconoce un dominio como posible origen de ataques.

Protección de red de Windows Defender frente a otras funciones de seguridad de Microsoft Defender

La protección de red de Windows Defender tiene muchas similitudes con Microsoft Defender SmartScreen, la herramienta antimalware integrada en Microsoft Edge. Ambas ayudan a proteger los equipos de los ataques de phishing y de los archivos y programas sospechosos de ser maliciosos. Además, las dos utilizan el ISG para identificar posibles ciberataques.

Aunque las dos buscan proteger el sistema, su mecanismo es distinto. SmartScreen analiza las páginas web sospechosas, revisa las descargas recientes y avisa al usuario de una posible amenaza en línea mediante un sistema de alerta temprana. La protección de red, en cambio, corta de inmediato la conexión saliente ante el primer indicio de peligro, lo que impide que los atacantes contacten con usuarios vulnerables.

Requisitos previos y del sistema para la protección de red

Versiones de Windows compatibles con la protección de red de Exploit Guard

Estas son las versiones de Windows compatibles con Windows Defender y, por extensión, con la protección de red de Exploit Guard:

Requisitos de licencia de la protección de red de Windows Defender

Si tu equipo utiliza Microsoft Defender for Endpoint, una plataforma de seguridad de nivel empresarial, deberás cumplir estos requisitos de licencia para la protección de red de Windows Defender:

• Microsoft Defender for Endpoint Plan 1
• Microsoft Defender for Endpoint Plan 2
• Microsoft Defender for Business

Las dos primeras pueden ser licencias independientes o formar parte de otros planes de Microsoft 365, mientras que la última se reserva normalmente a pequeñas y medianas empresas.

Permisos necesarios para la protección de red de Windows Defender

Para activar la protección de red en tu dispositivo necesitas permisos de administrador que te permitan configurar los ajustes de Windows Defender. Si el equipo es de tu propiedad, lo más probable es que ya cuentes con esos permisos de forma predeterminada. Pero si el dispositivo pertenece a la empresa, quizá tengas que pedir acceso de administrador a tu equipo de TI.

Con Microsoft Defender for Endpoint, un administrador puede usar el control de acceso basado en roles (RBAC) para gestionar permisos y asignar roles a distintos usuarios o grupos de usuarios. Con RBAC puedes modificar el acceso de otros usuarios al portal de Defender for Endpoint. Así, esos usuarios podrán activar la protección de red en sus propios dispositivos.

Formas de activar la protección de red de Windows Defender Exploit Guard

Ahora que ya sabes todo lo necesario sobre la protección de red, veamos cómo activar esta función.

Activar la protección de red de Windows Defender con el Editor de directivas de grupo

1. Abre el Editor de directivas de grupo local pulsando la tecla Windows + R. Escribe gpedit.msc y haz clic en Aceptar.
2. En la parte izquierda de la ventana, ve a la carpeta Network Protection siguiendo esta ruta:

Configuración del equipo → Plantillas administrativas → Componentes de Windows → Antivirus de Windows Defender → Windows Defender Exploit Guard → Network Protection

3. En la parte derecha de la ventana, haz doble clic en Impedir que los usuarios y las aplicaciones accedan a sitios web peligrosos. Así podrás editar la directiva.
4. Selecciona Habilitada, elige Bloquear en Opciones y haz clic en Aceptar.

Si gestionas varios endpoints en un entorno empresarial y quieres desplegar la protección de red en todos ellos, sigue estos pasos:

1. Abre la Consola de administración de directivas de grupo (GPMC) pulsando la tecla Windows + R. Escribe gpmc.msc y haz clic en Aceptar.
2. Haz doble clic en Objetos de directiva de grupo y busca el objeto de directiva de grupo (GPO) que quieras editar. Haz clic derecho en ese GPO y selecciona Editar.
3. Repite los pasos 2 a 4 de la sección anterior.

Activar la protección de red de Windows Defender con PowerShell

1. Abre PowerShell con permisos elevados pulsando la tecla Windows + S. Escribe powershell y haz clic en Ejecutar como administrador debajo del icono de Windows PowerShell.
2. Escribe Set-MpPreference -EnableNetworkProtection Enabled y pulsa Intro.
3. Cierra PowerShell con permisos elevados y reinicia el equipo.

También puedes comprobar si la protección de red está activada con el cmdlet «Get-MpPreference». El número que acompaña a la propiedad «EnableNetworkProtection» indica uno de estos estados:

• 0 — Desactivada
• 1 — Activada
• 2 — Modo de auditoría

Activar las mitigaciones de protección contra exploits con la aplicación Seguridad de Windows

1. Abre la aplicación Seguridad de Windows: abre el menú Inicio, escribe seguridad en la barra de búsqueda y pulsa Intro.
2. Haz clic en el mosaico Control de aplicaciones y navegador y selecciona Configuración de protección contra exploits.
3. Ve a Configuración de programas y elige la aplicación o aplicaciones a las que quieres aplicar las mitigaciones de protección contra exploits.

• • Si la aplicación ya aparece en la lista, selecciónala y haz clic en Editar.
  • Si no, selecciona Agregar programa para personalizar para añadirla.

4. Elige las mitigaciones que quieres activar para la aplicación seleccionada. Repite el proceso hasta aplicar todas las configuraciones que prefieras. Ten en cuenta que puede que se te pida reiniciar el proceso, la aplicación o incluso Windows.
5. Para configurar una mitigación concreta de protección contra exploits, ve a Configuración del sistema y especifica una de estas opciones:

• • Activado de forma predeterminada
  • Desactivado de forma predeterminada
  • Usar valor predeterminado (depende de la configuración predeterminada establecida durante la instalación de Windows 10/11)

6. Por último, cuando hayas hecho todos los cambios, haz clic en Aplicar.

Comprobar y probar la protección de red en Windows 10/11

Cómo confirmar que la protección de red de Windows Defender está activa

En la sección de PowerShell explicamos brevemente cómo confirmar si la protección de red está activada en el dispositivo. También puedes hacerlo con el Editor del Registro. Así:

1. Abre el Editor del Registro haciendo clic en el botón Inicio. Escribe regedit y pulsa Intro. En el panel izquierdo, selecciona HKEY_LOCAL_MACHINE.
2. Ve a Network Protection. Puedes seguir cualquiera de estas rutas:
   1. SOFTWARE → Policies → Microsoft → Windows Defender → Windows Defender Exploit Guard → Network Protection
   2. SOFTWARE → Microsoft → Windows Defender → Windows Defender Exploit Guard → Network Protection
3. Haz clic en EnableNetworkProtection y confirma si la protección de red está activada, desactivada o en modo de auditoría según estos valores:
   • 0 — Desactivada
   • 1 — Activada
   • 2 — Modo de auditoría

Comprobar las URL bloqueadas y los registros en el Centro de seguridad de Microsoft Defender

Para revisar las URL y los registros concretos cuyo acceso has bloqueado en varios endpoints con la protección de red, sigue estos pasos:

1. Inicia sesión en el portal de Microsoft Defender.
2. Haz clic en Configuración en el panel izquierdo y luego en Puntos de conexión.
3. En Reglas, selecciona Indicadores.
4. Las URL bloqueadas aparecerán en URL/Dominios.

Solución de problemas al configurar la protección de red

Problemas habituales al activar la protección de red de Windows Defender

Como tu dispositivo usa la protección de red para registrar en tiempo real las páginas web a las que accedes, existe la posibilidad de que marque un sitio seguro como amenaza (falso positivo) o un sitio malicioso como seguro (falso negativo).

Si te ocurre, puedes notificar el sitio marcado como falso positivo o falso negativo mediante este formulario de Windows Defender Security Intelligence.

Además, la protección de red puede ralentizar el rendimiento del equipo o la conectividad a internet, ya que trabaja de forma activa para supervisar y bloquear posibles amenazas en línea. Si el problema persiste aunque Windows Defender esté actualizado, prueba a cambiar al modo de auditoría de la protección de red así:

1. Abre PowerShell con permisos elevados.
2. Escribe Set-MpPreference -EnableNetworkProtection AuditMode y pulsa Intro.

En el modo de auditoría, la protección de red permite todas las conexiones, pero sigue avisándote de los posibles riesgos para que los gestiones tú directamente. Todos los registros pueden consultarse en el Visor de eventos de Windows, del que hablamos en la siguiente sección.

Registros y datos del Visor de eventos para depurar la protección de red

Para ver los eventos de la protección de red registrados en modo de auditoría, sigue estos pasos:

1. Abre el Visor de eventos de Windows haciendo clic en el botón Inicio, escribiendo visor de eventos y seleccionando Visor de eventos.
2. Ve a la carpeta Windows Defender (Operational) por esta ruta:

Registros de aplicaciones y servicios → Microsoft → Windows → Windows Defender (Operational)

3. Usa el ID de evento 1125 para filtrar los eventos generados por la protección de red en modo de auditoría. Desde ahí puedes revisar las páginas web marcadas por la protección de red y clasificarlas como amenazas.

Desactivar la protección de red de Windows Defender si es necesario

Aunque por norma general no recomendamos desactivar Windows Defender, recuerda que se desactiva automáticamente cuando utilizas un antivirus de terceros. Usar las dos herramientas de seguridad a la vez puede provocar problemas de compatibilidad y ralentizar el rendimiento de tu endpoint.

Si prefieres usar un antivirus ajeno a Windows y quieres desactivar Windows Defender:

1. Abre PowerShell con permisos elevados.
2. Escribe Set-MpPreference -EnableNetworkProtection Disabled y pulsa Intro.

Buenas prácticas para administradores de TI al activar la protección de red en Windows

Combinar la protección de red con otras funciones de seguridad de Windows

Para optimizar aún más la protección de tu dispositivo frente a los ciberataques, te recomendamos activar la protección de red junto con estas funciones de seguridad de Windows:

• Protección web: como parte de Microsoft Defender for Endpoint, la protección web ofrece filtrado de contenido como apoyo a los indicadores de compromiso personalizados.
• Protección contra exploits: integrada en el sistema operativo como componente de Windows Defender Exploit Guard, combate el malware (en forma de programas y aplicaciones).
• Firewall de Windows: activado de forma predeterminada en todos los dispositivos Windows, restringe el acceso entre tu dispositivo y los dominios en línea que considera poco fiables (normalmente en función del software instalado y de los permisos aprobados previamente).

Configurar exclusiones para dominios de confianza en la protección de red

Crear una lista de dominios e IP de confianza en la protección de red reduce los falsos positivos y las interrupciones innecesarias para los usuarios finales. Puedes permitir el acceso a un dominio concreto así:

1. Inicia sesión en el portal de Microsoft Defender.
2. Haz clic en Configuración y luego en Puntos de conexión.
3. En Reglas, selecciona Indicadores.
4. Haz clic en URL/Dominio y después en Agregar elemento.
5. Escribe el dominio del sitio y establece la acción de la directiva en Permitir.

Supervisar los registros de seguridad para obtener información sobre amenazas

Si prefieres un enfoque más directo para consultar los registros de seguridad y actuar en consecuencia, puedes usar el modo de auditoría de la protección de red, el Visor de eventos de Windows o ambos. Actualizar con regularidad tu lista de dominios permitidos y bloqueados también ayuda a reducir pasos a la hora de impedir el acceso a dominios potencialmente peligrosos.

Por qué importa la protección de red de Windows Defender

Activar la protección de red de Windows Defender aporta ventajas a la hora de salvaguardar los dispositivos y los datos, tanto personales como corporativos. Refuerza con precisión las medidas de seguridad en línea de los ordenadores personales. Además, ayuda a impedir el acceso entre un dominio inseguro y los endpoints gestionados por la empresa.

Los usuarios pueden activar la protección de red de Windows Defender de varias formas. Esta función puede complementar otras herramientas antimalware de Windows para reforzar las defensas frente a los ciberataques y virus más recientes. Eso sí, recuerda actualizar Windows Defender Exploit Guard con regularidad para contar con una protección más sólida y al día frente a las amenazas emergentes.