Puntos clave
- ¿Qué es Device Guard? Device Guard es un conjunto de funciones de seguridad de Windows de nivel empresarial que bloquea las aplicaciones no autorizadas y aplica la integridad de código mediante la seguridad basada en virtualización (VBS) y la integridad de código protegida por hipervisor (HVCI).
- Disponibilidad según la edición: Device Guard solo es compatible con las ediciones Enterprise y Education de Windows 10/11. No está disponible en las ediciones Home ni Pro.
- Device Guard frente a Windows Defender Application Control (WDAC): Device Guard forma parte de WDAC. Juntos aplican políticas estrictas de control de aplicaciones y refuerzan los sistemas frente al malware y los exploits de día cero.
- Cómo funciona Device Guard: Device Guard usa VBS para aislar las operaciones sensibles y HVCI para garantizar que solo se ejecute código firmado y de confianza, algo esencial para proteger la infraestructura empresarial.
- Requisitos de hardware y arranque: Device Guard necesita Arranque seguro, compatibilidad con virtualización (Intel VT-x/AMD-V) y hardware compatible (traducción de direcciones de segundo nivel o SLAT).
- Comprobar Device Guard:
- Con Información del sistema (msinfo32): ejecuta msinfo32 → ve a Resumen del sistema → consulta Seguridad basada en virtualización de Device Guard para ver si está en ejecución.
- Con PowerShell: usa este comando: Get-CimInstance -ClassName Win32_DeviceGuard -Namespace rootMicrosoftWindowsDeviceGuard. Verás las funciones de seguridad configuradas y en ejecución (por ejemplo, HVCI o Credential Guard).
- Con el Editor de directivas de grupo (gpedit.msc): ve a Configuración del equipo > Plantillas administrativas > Sistema > Device Guard. Revisa directivas como Activar la seguridad basada en virtualización y Configurar HVCI.
- Confirma la aplicación de las directivas con gpupdate y gpresult: ejecuta gpupdate /force para aplicar los cambios y gpresult /h gpresult.html para verificar que las directivas de dominio de Device Guard se han aplicado.
Esta guía explica qué es Windows Device Guard, cómo protege los dispositivos de una empresa y cómo comprobar si está activado o desactivado. Encontrarás instrucciones detalladas para verificar el estado de Device Guard, información para resolver problemas y las consecuencias de tenerlo desactivado.
Amplía la visibilidad sobre los endpoints que gestionas y mitiga las posibles amenazas.
Mira una demo gratuita de NinjaOne Endpoint Management
¿Qué es Device Guard en Windows 10/11?
Device Guard es un conjunto de funciones de seguridad de Windows diseñadas para proteger frente al malware y otras amenazas de ciberseguridad en entornos empresariales y educativos, ya que solo permite ejecutar aplicaciones y código de confianza y autorizados. Si utilizas Windows 10 Pro/Windows 10 Home o Windows 11 Pro/Windows 11 Home, Device Guard no está disponible y no podrás comprobar si está activado en tu PC.
Así funciona Windows Device Guard
Windows Device Guard forma parte de Windows Defender Application Control (WDAC) e implementa varias tecnologías de seguridad para proteger la infraestructura de Windows en entornos empresariales, tanto a nivel de hardware como de software. Entre ellas están:
- la seguridad basada en virtualización (VBS), que aísla los procesos y la información sensibles del resto del sistema, y
- la integridad de código protegida por hipervisor (HVCI), que aplica las políticas de integridad de código definidas por el usuario para garantizar que solo se ejecuten las aplicaciones incluidas en la lista de permitidos.
Estas medidas mejoran la protección frente al malware y permiten a los administradores asegurarse de que solo se ejecute el código que ellos autorizan en los sistemas de su entorno de dominio de Windows.
Por qué es importante comprobar el estado de Device Guard
Device Guard trabaja junto con Credential Guard para proteger las redes Windows empresariales frente a los ciberataques. De hecho, igual que Credential Guard, para activar Device Guard se necesita compatibilidad con virtualización por hardware y activar el Arranque seguro. Sin embargo, a diferencia de Credential Guard, Device Guard no se activa automáticamente en los sistemas que cumplen sus requisitos de hardware.
Algunos componentes que utiliza Device Guard, como HVCI, pueden activarse de forma automática si el sistema cumple los requisitos. Por eso conviene comprobar que las funciones concretas de Device Guard que necesitas están en funcionamiento una vez las hayas configurado para tus implementaciones de Windows.
Antes de poder activar Device Guard por completo, un administrador debe establecer las políticas de integridad de código que definen qué código autorizado podrá ejecutarse en los dispositivos correspondientes. Configurar estas políticas y activar Device Guard en tu dominio de Windows resulta útil por dos razones principales:
- Ayuda a proteger tus sistemas frente al malware y los ciberataques, ya que impide la ejecución de código malicioso.
- Te da control sobre lo que tus usuarios pueden hacer con sus equipos, porque solo permite ejecutar las aplicaciones aprobadas.
Cómo comprobar el estado de Device Guard
Puedes usar los siguientes métodos para comprobar el estado de Device Guard en un PC con Windows Enterprise:
Comprobar Device Guard con Información del sistema de Windows (msinfo32)
Para verificar el estado de Device Guard con la herramienta Información del sistema de Windows, sigue estos pasos:
- Haz clic con el botón derecho en el botón Inicio y selecciona Ejecutar
- Escribe msinfo32 en el cuadro de diálogo Ejecutar y haz clic en Aceptar
- En el panel de navegación de la izquierda, haz clic en Resumen del sistema
- En el panel de la derecha, desplázate hasta Seguridad basada en virtualización de Device Guard
- Si Device Guard está activado, aparecerá como En ejecución
Además del elemento de información del sistema que muestra el estado de Device Guard, hay otras entradas con datos específicos sobre las propiedades y los servicios de Device Guard, así como sobre si están disponibles o en ejecución en tu sistema.
Verificar Device Guard con comandos de PowerShell
Puedes usar el cmdlet de PowerShell Get-CimInstance para comprobar el estado de Device Guard ejecutando este comando en un símbolo del sistema de PowerShell con permisos de administrador:
Get-CimInstance –ClassName Win32_DeviceGuard –Namespace root\Microsoft\Windows\DeviceGuard
Este comando muestra las funciones de seguridad por hardware disponibles actualmente en tu PC con Windows y cuáles están activadas.
Verificar Device Guard en un solo PC con el Editor de directivas de grupo
Para comprobar si las funciones de Device Guard están activadas mediante la directiva de grupo local, sigue estos pasos:
- Abre el Editor de directivas de grupo local ejecutando gpedit.msc
- Ve a Configuración del equipo/Plantillas administrativas/Sistema/Device Guard
- Comprueba el estado de las directivas de Device Guard, entre ellas:
- Activar la seguridad basada en virtualización
- Implementar Windows Defender Application Control
- Configurar HVCI y la integridad de código en modo kernel
Ten en cuenta que las directivas de Device Guard deben configurarse a nivel de dominio y que la consola de directiva de grupo local solo debería utilizarse para comprobar el estado de Device Guard en un equipo concreto.
Si quieres ver una demostración clara y paso a paso de los métodos anteriores, echa un vistazo a este breve vídeo: «Cómo comprobar si Device Guard está activado o desactivado en Windows».
Confirmar que los cambios en la directiva de grupo han activado Device Guard
Si has hecho cambios recientes en la directiva de grupo de tu dominio de Windows y todavía no los ves aplicados, prueba a ejecutar gpupdate /force para aplicarlos o reinicia los equipos afectados.
Para comprobar si la directiva de grupo ha activado correctamente Device Guard en un dominio de Windows, puedes ejecutar gpresult /h gpresult.html en PowerShell (como administrador) y ver qué directivas de dominio se han aplicado.
Si Device Guard provoca problemas de compatibilidad, puedes desactivarlo en dispositivos concretos mediante la directiva de grupo o desactivar los ajustes de seguridad relacionados en la BIOS/UEFI de ese dispositivo.
Descubre cómo NinjaOne mejora la seguridad de los endpoints Windows.
⛨ Descubre NinjaOne Endpoint Security
Cómo garantizar la seguridad de los parques de dispositivos Windows de tu empresa
Mantener una postura de seguridad sólida frente a las ciberamenazas no tiene por qué complicarse a medida que crece el número de equipos que gestionas. Aplicar configuraciones de seguridad de Windows, incluida la activación y comprobación del estado de Device Guard, puede automatizarse con la gestión de endpoints de NinjaOne.
NinjaOne te permite gestionar tus configuraciones de Windows y generar informes sobre ellas desde una interfaz web centralizada capaz de desplegar scripts, hacer inventario y ayudar con la gestión de parches. También admite la administración de Linux, macOS, Android y dispositivos móviles de Apple, lo que garantiza una monitorización completa, visibilidad total e información actualizada sobre el estado de tu infraestructura de TI.
