{"id":901079,"date":"2026-10-14T17:24:50","date_gmt":"2026-10-14T17:24:50","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/politicas-control-aplicaciones-intune\/"},"modified":"2026-10-14T17:24:51","modified_gmt":"2026-10-14T17:24:51","slug":"politicas-control-aplicaciones-intune","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/es\/blog\/politicas-control-aplicaciones-intune\/","title":{"rendered":"C\u00f3mo configurar Device Guard y las pol\u00edticas de control de aplicaciones con Intune en pymes"},"content":{"rendered":"<p><a href=\"https:\/\/www.ninjaone.com\/es\/blog\/windows-device-guard\/\">Device Guard<\/a> y <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/windows-defender-application-control-wdac\/\">Windows Defender Application Control<\/a> (WDAC) son tecnolog\u00edas de seguridad de nivel empresarial que aplican un modelo Zero Trust en el que solo pueden ejecutarse las aplicaciones autorizadas. Para las peque\u00f1as y medianas empresas (pymes), desplegar estas funciones a trav\u00e9s de Intune supone una soluci\u00f3n escalable y gestionada desde el cloud para fortalecer los endpoints frente al movimiento lateral y a las amenazas del shadow IT.<\/p>\n<p>Esta gu\u00eda recorre paso a paso la configuraci\u00f3n de las pol\u00edticas de control de aplicaciones y de <strong>Device Guard en Intune<\/strong>: desde los componentes que intervienen hasta las estrategias de despliegue y las t\u00e9cnicas de validaci\u00f3n.<\/p>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center; vertical-align: middle;\"><strong>Haz clic para elegir un m\u00e9todo<\/strong><\/td>\n<td style=\"text-align: center; vertical-align: middle;\"><strong>\ud83d\udcbb<\/strong><br \/>\n<strong>Ideal para usuarios individuales<\/strong><\/td>\n<td style=\"text-align: center; vertical-align: middle;\"><strong>\ud83d\udcbb\ud83d\udcbb\ud83d\udcbb<\/strong><br \/>\n<strong>Ideal para empresas<\/strong><\/td>\n<\/tr>\n<tr>\n<td><a href=\"#step-1\"><strong>Paso 1: comprender los componentes de Device Guard y WDAC<\/strong><\/a><\/td>\n<td style=\"text-align: center;\">\u2713<\/td>\n<td style=\"text-align: center;\">\u2713<\/td>\n<\/tr>\n<tr>\n<td><a href=\"#step-2a\"><strong>Paso 2 &#8211; M\u00e9todo A: crear una pol\u00edtica WDAC con PowerShell<\/strong><\/a><\/td>\n<td style=\"text-align: center;\">\u2713<\/td>\n<td style=\"text-align: center;\"><\/td>\n<\/tr>\n<tr>\n<td><a href=\"#step-2b\"><strong>Paso 2 &#8211; M\u00e9todo B: desplegar Device Guard\/WDAC a trav\u00e9s de Intune<\/strong><\/a><\/td>\n<td style=\"text-align: center;\"><\/td>\n<td style=\"text-align: center;\">\u2713<\/td>\n<\/tr>\n<tr>\n<td><a href=\"#step-2c\"><strong>Paso 2 &#8211; M\u00e9todo C: aplicar Device Guard mediante directiva de grupo (opcional o h\u00edbrido)<\/strong><\/a><\/td>\n<td style=\"text-align: center;\"><\/td>\n<td style=\"text-align: center;\">\u2713<\/td>\n<\/tr>\n<tr>\n<td><a href=\"#step-3\"><strong>Paso 3: validar el control de aplicaciones con PowerShell y los registros de eventos<\/strong><\/a><\/td>\n<td style=\"text-align: center;\">\u2713<\/td>\n<td style=\"text-align: center;\">\u2713<\/td>\n<\/tr>\n<tr>\n<td><a href=\"#step-4\"><strong>Paso 4: usar el Registro para confirmar o aplicar la configuraci\u00f3n<\/strong><\/a><\/td>\n<td style=\"text-align: center;\"><\/td>\n<td style=\"text-align: center;\">\u2713<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Si prefieres una visi\u00f3n general r\u00e1pida, mira nuestra gu\u00eda en v\u00eddeo: <a href=\"https:\/\/www.ninjaone.com\/videos\/security\/how-to-configure-device-guard-and-application-control-policies-via-intune-for-smbs\/\">C\u00f3mo configurar Device Guard y las pol\u00edticas de control de aplicaciones a trav\u00e9s de Intune para pymes<\/a><\/p>\n<h2>Pasos para configurar Device Guard y las pol\u00edticas de control de aplicaciones a trav\u00e9s de Intune<\/h2>\n<p>Estos son los requisitos que necesitas para configurar Device Guard y las pol\u00edticas de control de aplicaciones a trav\u00e9s de Intune:<\/p>\n<p><strong>\ud83d\udccc Requisitos generales:<\/strong><\/p>\n<ul>\n<li>Microsoft Intune (Microsoft Endpoint Manager)<\/li>\n<li>Windows 10\/11 en edici\u00f3n Pro, Enterprise o Education<\/li>\n<li>Hardware compatible con Device Guard y WDAC (UEFI, extensiones de virtualizaci\u00f3n)<\/li>\n<li>Acceso administrativo a los endpoints y al portal de Intune<\/li>\n<li>Opcional: acceso a <a href=\"https:\/\/www.ninjaone.com\/es\/rmm\/\">NinjaOne RMM<\/a> para la monitorizaci\u00f3n y la aplicaci\u00f3n complementaria de pol\u00edticas<\/li>\n<\/ul>\n<h3 id=\"step-1\">Paso 1: comprender los componentes de Device Guard y WDAC<\/h3>\n<p>Antes de configurar nada, conviene entender qu\u00e9 son Device Guard y WDAC y c\u00f3mo trabajan juntos para mantener tus sistemas seguros:<\/p>\n<h4>\u00bfQu\u00e9 es Device Guard en Intune?<\/h4>\n<p>Device Guard es un conjunto de tecnolog\u00edas de seguridad integradas en Windows que bloquean los dispositivos para que solo puedan ejecutar aplicaciones de confianza. Re\u00fane varios componentes potentes bajo un mismo paraguas:<\/p>\n<ul>\n<li><strong>Credential Guard<\/strong>: protege las credenciales frente a ataques mediante la seguridad basada en virtualizaci\u00f3n (VBS).<\/li>\n<li><strong>Integridad de c\u00f3digo (CI)<\/strong>: garantiza que solo se ejecute c\u00f3digo firmado y de confianza.<\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/blog\/windows-defender-application-control-wdac\/\"><strong>Control de aplicaciones (WDAC)<\/strong><\/a>: define qu\u00e9 aplicaciones, ejecutables, scripts y DLL pueden ejecutarse en el dispositivo.<\/li>\n<\/ul>\n<p>En conjunto, estas tecnolog\u00edas aplican un modelo de ejecuci\u00f3n Zero Trust: nada se ejecuta si no est\u00e1 expl\u00edcitamente permitido.<\/p>\n<h4>\u00bfC\u00f3mo se configuran las pol\u00edticas?<\/h4>\n<p>Las pol\u00edticas de Device Guard y WDAC se configuran mediante XML o un proveedor de servicios de configuraci\u00f3n (CSP) y se aplican con Intune o mediante scripts locales.<\/p>\n<h3>Paso 2: elegir un m\u00e9todo de despliegue<\/h3>\n<p>Con los conceptos b\u00e1sicos claros, toca elegir el m\u00e9todo de despliegue que mejor encaje con tu infraestructura (gestionada con Intune, AD on-premise o h\u00edbrida).<\/p>\n<h4 id=\"step-2a\">M\u00e9todo A: crear una pol\u00edtica WDAC con PowerShell<\/h4>\n<p>Este m\u00e9todo te da control total sobre lo que puede ejecutarse, partiendo de lo que ya existe en tu sistema de referencia.<\/p>\n<p><strong>\ud83d\udccc Casos de uso:<\/strong><\/p>\n<ul>\n<li>Quieres una lista de permitidos personalizada para entornos de alta seguridad<\/li>\n<li>Est\u00e1s probando WDAC en un grupo reducido de dispositivos<\/li>\n<\/ul>\n<p><strong>\ud83d\udccc Requisitos previos:<\/strong><\/p>\n<ul>\n<li>Debes ejecutar PowerShell como administrador<\/li>\n<li>PowerShell 5.1 o superior para crear pol\u00edticas locales<\/li>\n<\/ul>\n<p>Paso a paso:<\/p>\n<ol>\n<li>Pulsa <strong>Win + S<\/strong> y busca <strong>PowerShell<\/strong>.<\/li>\n<li>Haz clic con el bot\u00f3n derecho en <strong>Windows PowerShell <\/strong>dentro de los resultados y selecciona <strong>Ejecutar como administrador<\/strong>. (Consulta el punto n.\u00ba 2 de <strong>\u26a0\ufe0f <\/strong><em><a href=\"#things-to-look-out-for\">Aspectos a tener en cuenta<\/a>.)<\/em><\/li>\n<li>Crea una pol\u00edtica WDAC predeterminada (modo auditor\u00eda):<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><strong><code>$policyPath = \"C:\\Policies\\WDAC_Policy.xml\"<\/code><\/strong><br \/>\n<strong><code>New-CIPolicy -Level Publisher -Fallback Hash -FilePath $policyPath -UserPEs<\/code><\/strong><\/p>\n<ol start=\"4\">\n<li>Convierte el XML a binario:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><strong><code>ConvertFrom-CIPolicy -XmlFilePath $policyPath -BinaryFilePath \"C:\\Policies\\WDAC_Policy.bin\"<\/code><\/strong><\/p>\n<ol start=\"5\">\n<li>Opcional: activa solo el modo auditor\u00eda: (Consulta el punto n.\u00ba 1 de <strong>\u26a0\ufe0f <\/strong><em><a href=\"#things-to-look-out-for\">Aspectos a tener en cuenta<\/a>.)<\/em><\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><strong><code>Set-RuleOption -FilePath $policyPath -Option 3 # 3 = Audit Mode<\/code><\/strong><\/p>\n<p>Ya puedes usar esta pol\u00edtica en Intune como configuraci\u00f3n OMA-URI personalizada o desplegarla manualmente en equipos de prueba.<\/p>\n<h4 id=\"step-2b\">M\u00e9todo B: desplegar Device Guard\/WDAC a trav\u00e9s de Intune<\/h4>\n<p>Este m\u00e9todo utiliza la secci\u00f3n de seguridad de endpoints de Intune para crear y desplegar reglas WDAC. Es la forma m\u00e1s escalable de desplegar pol\u00edticas WDAC en varios dispositivos.<\/p>\n<p><strong>\ud83d\udccc Casos de uso:<\/strong> ideal para pymes y empresas con estrategia cloud-first<\/p>\n<p><strong>\ud83d\udccc Requisitos previos:<\/strong><\/p>\n<ul>\n<li>Los dispositivos deben estar unidos a Azure AD o a AAD h\u00edbrido e inscritos en Intune<\/li>\n<li>Licencias adecuadas de Intune (Microsoft 365 Business Premium, E3 o superior, etc.)<\/li>\n<\/ul>\n<p>Paso a paso:<\/p>\n<ol>\n<li>Ve a <strong>Centro de administraci\u00f3n de Microsoft Intune &gt; Endpoint Security &gt; Reducci\u00f3n de la superficie de ataque &gt; Crear pol\u00edtica<\/strong>.<\/li>\n<li>Elige la plataforma y el perfil:\n<ul>\n<li><strong>Plataforma: <\/strong>Windows 10 y posterior<\/li>\n<li><strong>Perfil: <\/strong>Windows Defender Application Control<\/li>\n<\/ul>\n<\/li>\n<li>Configura la pol\u00edtica:\n<ul>\n<li>Empieza usando el <strong>modo auditor\u00eda<\/strong>. As\u00ed, la actividad bloqueada quedar\u00e1 registrada sin bloquearse realmente. (Consulta el punto n.\u00ba 1 de <strong>\u26a0\ufe0f <\/strong><em><a href=\"#things-to-look-out-for\">Aspectos a tener en cuenta<\/a>.)<\/em><\/li>\n<li>Aplica las reglas despu\u00e9s de probarlas (solo aplicaciones firmadas de Microsoft y componentes de Windows).<\/li>\n<li>Activa la integraci\u00f3n con Intelligent Security Graph.<\/li>\n<\/ul>\n<\/li>\n<li>Asigna la pol\u00edtica a un <strong>grupo de prueba <\/strong>o a un <strong>subconjunto de endpoints<\/strong>. (Consulta el punto n.\u00ba 3 de <strong>\u26a0\ufe0f <\/strong><em><a href=\"#things-to-look-out-for\">Aspectos a tener en cuenta<\/a>.)<\/em><\/li>\n<li>Una vez validada, cambia al <strong>modo de aplicaci\u00f3n<\/strong>. A partir de ese momento, solo se ejecutar\u00e1n las aplicaciones de confianza y se bloquear\u00e1n las que no lo sean.<\/li>\n<\/ol>\n<h4 id=\"step-2c\">M\u00e9todo C: aplicar mediante directiva de grupo (opcional\/h\u00edbrido)<\/h4>\n<p>Este m\u00e9todo es el m\u00e1s adecuado para entornos h\u00edbridos o de AD on-premise en los que Intune no se usa del todo o la directiva de grupo sigue siendo el mecanismo principal de configuraci\u00f3n.<\/p>\n<p><strong>\ud83d\udccc Casos de uso: <\/strong>ideal para organizaciones que est\u00e1n migrando del on-premise al cloud.<\/p>\n<p><strong>\ud83d\udccc Requisitos previos: <\/strong>los dispositivos deben estar unidos a AD (on-premise o h\u00edbrido)<\/p>\n<p>Paso a paso:<\/p>\n<ol>\n<li>Pulsa <strong>Win + R<\/strong>, escribe <strong>gpedit<\/strong>.msc y pulsa <strong>Intro <\/strong>para abrir el <strong>Editor de directivas de grupo<\/strong>.<\/li>\n<li>Ve a:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><strong>Configuraci\u00f3n del equipo &gt; Plantillas administrativas &gt;<\/strong><strong> Sistema <\/strong><strong>&gt; Device Guard<\/strong><\/p>\n<ol start=\"3\">\n<li>Activa:\n<ul>\n<li>Activar la seguridad basada en virtualizaci\u00f3n<\/li>\n<li>Activar Credential Guard<\/li>\n<li>Implementar Windows Defender Application Control<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p>Utiliza GPO para dispositivos unidos al dominio on-premise o h\u00edbridos cuando Intune no est\u00e9 disponible.<\/p>\n<h3 id=\"step-3\">Paso 3: validar el control de aplicaciones con PowerShell y los registros de eventos<\/h3>\n<p>Una vez desplegada, comprueba que la pol\u00edtica est\u00e1 activa y funciona correctamente.<\/p>\n<p><strong>\ud83d\udccc Casos de uso:<\/strong> \u00fasalo para auditor\u00edas y cumplimiento o para evitar interrupciones del servicio por falsos positivos.<\/p>\n<p><strong>\ud83d\udccc Requisitos previos: <\/strong>PowerShell 5.1 o superior para verificar la pol\u00edtica localmente<\/p>\n<h4>Comprobaci\u00f3n con PowerShell<\/h4>\n<ol>\n<li>Abre <strong>PowerShell<\/strong>.<\/li>\n<li>Ejecuta este comando para confirmar el estado de WDAC:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><strong><code>Get-CIPolicy | Format-List<\/code><\/strong><\/p>\n<ol start=\"3\">\n<li>Revisa los registros de auditor\u00eda: (Consulta el punto n.\u00ba 4 de <strong>\u26a0\ufe0f <\/strong><em><a href=\"#things-to-look-out-for\">Aspectos a tener en cuenta<\/a>.)<\/em><\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><strong><code>Get-WinEvent -LogName \"Microsoft-Windows-CodeIntegrity\/Operational\" | Format-Table TimeCreated, Id, Message -AutoSize<\/code><\/strong><\/p>\n<ol start=\"4\">\n<li>Verifica Credential Guard:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><strong><code>Get-CimInstance -ClassName Win32_DeviceGuard<\/code><\/strong><\/p>\n<p>El resultado deber\u00eda mostrar VirtualizationBasedSecurityStatus = 2 para indicar que est\u00e1 activo.<\/p>\n<h4>Comprobaci\u00f3n con el Visor de eventos<\/h4>\n<ol>\n<li>Pulsa <strong>Win + R<\/strong>, escribe <strong>eventvwr<\/strong>.msc y pulsa <strong>Intro <\/strong>para abrir el <strong>Visor de eventos<\/strong>.<\/li>\n<li>Ve a <strong>Registros de aplicaciones y servicios &gt; Microsoft &gt; CodeIntegrity &gt; Operational<\/strong>.<\/li>\n<li>Busca:\n<ul>\n<li><strong>ID de evento 3033<\/strong>: pol\u00edtica WDAC cargada correctamente<\/li>\n<li><strong>ID de evento 3076<\/strong>: aplicaci\u00f3n bloqueada por WDAC (modo de aplicaci\u00f3n)<\/li>\n<li><strong>ID de evento 3099<\/strong>: la aplicaci\u00f3n se habr\u00eda bloqueado (modo auditor\u00eda)<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p>Estos eventos confirman si la pol\u00edtica WDAC se aplic\u00f3 correctamente y si hubo aplicaciones bloqueadas o que se habr\u00edan bloqueado.<\/p>\n<h3 id=\"step-4\">Paso 4: usar el Registro para confirmar o aplicar la configuraci\u00f3n<\/h3>\n<p>Este m\u00e9todo env\u00eda las pol\u00edticas WDAC a los dispositivos y comprueba si Device Guard, Credential Guard o VBS est\u00e1n activados.<\/p>\n<p><strong>\ud83d\udccc Casos de uso:<\/strong> \u00fasalo si quieres verificar la aplicaci\u00f3n de la configuraci\u00f3n tras el despliegue.<\/p>\n<p><strong>\ud83d\udccc Requisitos previos:<\/strong><\/p>\n<ul>\n<li>Se requieren privilegios de administrador (consulta el punto n.\u00ba 2 de <strong>\u26a0\ufe0f <\/strong><em><a href=\"#things-to-look-out-for\">Aspectos a tener en cuenta<\/a>.)<\/em><\/li>\n<li>Configuraci\u00f3n de Device Guard desplegada (GPO o Intune)<\/li>\n<\/ul>\n<p><strong>\u26a0\ufe0f Advertencia: <\/strong>editar el registro puede provocar problemas en el sistema. <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/copia-de-seguridad-registro-de-windows\/\">Crea una copia de seguridad<\/a> antes de continuar.<\/p>\n<p>Paso a paso:<\/p>\n<ol>\n<li>Pulsa <strong>Win + R<\/strong>, escribe <strong>regedit<\/strong> y pulsa <strong>Intro <\/strong>para abrir el <strong>Editor del Registro<\/strong>.<\/li>\n<li>Ve a las claves de registro de WDAC y Device Guard:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><strong>HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Control\\DeviceGuard<\/strong><\/p>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li><strong><code>EnableVirtualizationBasedSecurity (DWORD) = 1<\/code><\/strong><\/li>\n<li><strong><code>RequirePlatformSecurityFeatures (DWORD) = 1<\/code><\/strong><\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<ol start=\"3\">\n<li>Validaci\u00f3n en el registro de Credential Guard:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><strong>HKEY_LOCAL_MACHINE<\/strong><strong>\\S<\/strong><strong>YSTEM<\/strong><strong>\\C<\/strong><strong>urrentControlSet<\/strong><strong>\\C<\/strong><strong>ontrol<\/strong><strong>\\L<\/strong><strong>sa<\/strong><\/p>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li><strong><code>LsaCfgFlags (DWORD) = 1<\/code><\/strong><\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<p>Usa PowerShell o los campos personalizados de NinjaOne para leer e informar de estos valores a gran escala.<\/p>\n<h2 id=\"things-to-look-out-for\">\u26a0\ufe0f Aspectos a tener en cuenta<\/h2>\n<table>\n<tbody>\n<tr>\n<td><strong>Riesgos<\/strong><\/td>\n<td><strong>Posibles consecuencias<\/strong><\/td>\n<td><strong>C\u00f3mo revertirlo<\/strong><\/td>\n<\/tr>\n<tr>\n<td>1. Saltarse el modo auditor\u00eda<\/td>\n<td>Puede bloquear herramientas cr\u00edticas para el negocio y dejar a los usuarios sin acceso o interrumpir servicios.<\/td>\n<td>Vuelve a poner la pol\u00edtica en modo auditor\u00eda o <a href=\"https:\/\/learn.microsoft.com\/en-us\/windows\/security\/application-security\/application-control\/app-control-for-business\/deployment\/disable-appcontrol-policies\" target=\"_blank\" rel=\"noopener\">desactiva su aplicaci\u00f3n<\/a>.<\/td>\n<\/tr>\n<tr>\n<td>2. Ejecutar scripts o herramientas sin privilegios elevados<\/td>\n<td>Los cambios en el registro pueden fallar o las pol\u00edticas pueden no aplicarse.<\/td>\n<td>Ejecuta siempre los scripts o las herramientas con privilegios de administrador.<\/td>\n<\/tr>\n<tr>\n<td>3. Desplegar la pol\u00edtica de Intune en el destino equivocado<\/td>\n<td>La pol\u00edtica puede no aplicarse o fallar sin avisar.<\/td>\n<td>Reasigna la pol\u00edtica a los grupos de dispositivos correctos y confirma el \u00e1mbito de asignaci\u00f3n.<\/td>\n<\/tr>\n<tr>\n<td>4. Falta de visibilidad sobre el comportamiento de la pol\u00edtica<\/td>\n<td>Bloqueos que pasan desapercibidos, ausencia de registro de auditor\u00eda y aplicaci\u00f3n a ciegas.<\/td>\n<td>Activa el registro de CodeIntegrity y recopila los logs con Intune o NinjaOne.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Por qu\u00e9 Device Guard y WDAC importan a las pymes<\/h2>\n<p>Las peque\u00f1as y medianas empresas (pymes) se definen normalmente por su plantilla y su facturaci\u00f3n. Operan con equipos m\u00e1s reducidos y menos recursos on-premise que las grandes compa\u00f1\u00edas, pero se enfrentan a las mismas amenazas de seguridad. Por eso necesitan soluciones que no sean excesivamente complejas y que, aun as\u00ed, resulten eficaces.<\/p>\n<p>Device Guard y WDAC ofrecen ese equilibrio a las pymes. Estas son sus ventajas:<\/p>\n<ul>\n<li>Intune <strong>reduce la carga administrativa <\/strong>al simplificar el despliegue y la monitorizaci\u00f3n.<\/li>\n<li>Con una <strong>gesti\u00f3n cloud-first<\/strong>, las pol\u00edticas se distribuyen y se aplican sin depender de la infraestructura on-premise.<\/li>\n<li>La <strong>seguridad de endpoints mejora<\/strong> gracias a la capacidad de WDAC para bloquear aplicaciones maliciosas o no confiables.<\/li>\n<li>Intune y WDAC aportan <strong>protecci\u00f3n de nivel empresarial a gran escala<\/strong>, con controles de seguridad aplicados de forma coherente en todos los dispositivos.<\/li>\n<li>El control de aplicaciones <strong>reduce la superficie de ataque <\/strong>al limitar los puntos de entrada de las amenazas y el movimiento lateral.<\/li>\n<\/ul>\n<h2>Otras consideraciones<\/h2>\n<p>Ten en cuenta estos puntos clave al desplegar Windows Defender Application Control (WDAC):<\/p>\n<h3>Prueba primero en modo auditor\u00eda<\/h3>\n<p>Antes de aplicar WDAC en producci\u00f3n, empieza probando en modo auditor\u00eda. Este modo registra las aplicaciones que se habr\u00edan bloqueado sin impedir realmente su ejecuci\u00f3n, de modo que puedes evaluar el impacto de tu pol\u00edtica sin riesgos.<\/p>\n<h3>Firma de pol\u00edticas<\/h3>\n<p>En algunos entornos, las pol\u00edticas WDAC deben firmarse digitalmente con un certificado de firma de c\u00f3digo para poder aplicarse con Arranque seguro. Las pol\u00edticas firmadas garantizan integridad y confianza, mientras que las no firmadas pueden ignorarse o ejecutarse \u00fanicamente en modo auditor\u00eda.<\/p>\n<h3>Compatibilidad con las actualizaciones<\/h3>\n<p>Cada actualizaci\u00f3n de Windows puede a\u00f1adir nuevos archivos de sistema o controladores, o modificar los existentes, y WDAC podr\u00eda bloquearlos sin querer. Valida siempre tu pol\u00edtica despu\u00e9s de las actualizaciones importantes. Tambi\u00e9n puedes pasar temporalmente al modo auditor\u00eda tras una actualizaci\u00f3n para registrar los nuevos bloqueos e identificar los archivos que necesitan excepciones.<\/p>\n<h3>Gesti\u00f3n de excepciones<\/h3>\n<p>Las pymes suelen depender de herramientas de terceros, scripts o agentes de automatizaci\u00f3n que quiz\u00e1 no est\u00e9n firmados y que WDAC podr\u00eda bloquear. En ese caso, crea reglas de permiso basadas en la ruta del archivo, el hash o el editor.<\/p>\n<p><strong>\ud83d\udca1 Consejo: <\/strong>mant\u00e9n una lista de las herramientas de confianza que deben estar en la lista de permitidos y revisa y actualiza peri\u00f3dicamente las reglas de excepci\u00f3n para evitar interrupciones.<\/p>\n<h2>Resoluci\u00f3n de problemas<\/h2>\n<p>Estos son los problemas m\u00e1s habituales al configurar WDAC y c\u00f3mo resolverlos:<\/p>\n<h3>Aplicaciones bloqueadas<\/h3>\n<p>Que haya aplicaciones bloqueadas indica que WDAC est\u00e1 funcionando correctamente y est\u00e1 bloqueando una aplicaci\u00f3n que no coincide con la lista de permitidos. En ese caso, revisa los registros de CodeIntegrity para localizar los hashes de los ejecutables:<\/p>\n<ol>\n<li>Pulsa <strong>Win + R<\/strong>, escribe <strong>eventvwr<\/strong>.msc y pulsa <strong>Intro <\/strong>para abrir el <strong>Visor de eventos<\/strong>.<\/li>\n<li>Ve a:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><strong>Registros de aplicaciones y servicios &gt; Microsoft &gt; Windows &gt; CodeIntegrity &gt; Operational<\/strong><\/p>\n<ol start=\"3\">\n<li>Busca el <strong>ID de evento 3076 <\/strong>y el <strong>ID de evento 3099 <\/strong>para ver los ejecutables bloqueados y sus hashes.<\/li>\n<li>Usa el hash o la ruta del archivo que aparece en el evento para crear una regla de excepci\u00f3n.<\/li>\n<\/ol>\n<h3>La pol\u00edtica no se aplica<\/h3>\n<p>Si un dispositivo no recibe o no aplica la pol\u00edtica, puedes hacer lo siguiente:<\/p>\n<ul>\n<li>Fuerza una sincronizaci\u00f3n en el endpoint:<\/li>\n<\/ul>\n<ol>\n<li style=\"list-style-type: none;\">\n<ol>\n<li>Abre <strong>Configuraci\u00f3n <\/strong>(Win + I) <strong>&gt; Cuentas &gt; Acceder a trabajo o escuela &gt; Informaci\u00f3n &gt; Sincronizar<\/strong><\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<ul>\n<li>Comprueba el estado del despliegue de la pol\u00edtica en Intune:<\/li>\n<\/ul>\n<ol>\n<li style=\"list-style-type: none;\">\n<ol>\n<li>Ve a <strong>Centro de administraci\u00f3n de Microsoft Intune &gt; Dispositivos &gt; [Nombre del dispositivo] &gt; Configuraci\u00f3n del dispositivo<\/strong><\/li>\n<li>Revisa el estado de la pol\u00edtica (Pendiente, Correcto o Error)<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<ul>\n<li>Verifica el destino:<\/li>\n<\/ul>\n<p style=\"padding-left: 40px;\">Confirma que el dispositivo est\u00e1 en el grupo asignado correcto y que la pol\u00edtica se aplica a dispositivos, no solo a usuarios.<\/p>\n<h3>Credential Guard falla<\/h3>\n<p>Recuerda que Credential Guard requiere ciertas funciones de hardware, como la compatibilidad con virtualizaci\u00f3n y el Arranque seguro. As\u00ed puedes comprobar si el dispositivo las admite:<\/p>\n<ol>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/blog\/arrancar-uefi-windows\/\">Reinicia en la BIOS\/UEFI<\/a> y comprueba que:\n<ul>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/blog\/comprobar-si-secure-boot-esta-activado-o-desactivado\/\">el Arranque seguro est\u00e1 activado<\/a><\/li>\n<li>la compatibilidad con virtualizaci\u00f3n est\u00e1 habilitada<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<h3>El registro no se actualiza<\/h3>\n<p>Si los cambios en el registro no se aplican, puedes hacer lo siguiente:<\/p>\n<ul>\n<li>Aseg\u00farate de ejecutar los scripts o las consultas con privilegios de administrador.<\/li>\n<li>Confirma que la ruta y las claves del registro existen:<\/li>\n<\/ul>\n<p><strong>HKEY_LOCAL_MACHINE<\/strong><strong>\\S<\/strong><strong>YSTEM<\/strong><strong>\\C<\/strong><strong>urrentControlSet<\/strong><strong>\\C<\/strong><strong>ontrol<\/strong><strong>\\D<\/strong><strong>eviceGuard<\/strong><br \/>\n<strong>HKEY_LOCAL_MACHINE<\/strong><strong>\\S<\/strong><strong>YSTEM<\/strong><strong>\\C<\/strong><strong>urrentControlSet<\/strong><strong>\\C<\/strong><strong>ontrol<\/strong><strong>\\L<\/strong><strong>sa<\/strong><\/p>\n<h2>Servicios de NinjaOne<\/h2>\n<p>NinjaOne facilita un despliegue seguro de las pol\u00edticas de Device Guard y WDAC gracias a:<\/p>\n<table>\n<tbody>\n<tr>\n<td><strong>Capacidad<\/strong><\/td>\n<td><strong>Qu\u00e9 permite NinjaOne<\/strong><\/td>\n<\/tr>\n<tr>\n<td>Automatizaci\u00f3n del fortalecimiento de endpoints<\/td>\n<td>Desplegar de forma remota <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/por-que-las-empresas-deben-invertir-en-fortalecimiento-y-automatizacion-de-endpoints\/\">scripts de fortalecimiento en los endpoints<\/a> basados en el registro y en PowerShell.<\/td>\n<\/tr>\n<tr>\n<td>Monitorizaci\u00f3n y alertas del registro<\/td>\n<td><a href=\"https:\/\/www.ninjaone.com\/es\/supervision-gestion-de-endpoints\/\">Supervisar y alertar<\/a> sobre el estado de las claves de registro relacionadas con la preparaci\u00f3n de Device Guard.<\/td>\n<\/tr>\n<tr>\n<td>Validaci\u00f3n de las pol\u00edticas WDAC<\/td>\n<td>Recopilar y revisar autom\u00e1ticamente los registros de CodeIntegrity para verificar la eficacia de la pol\u00edtica WDAC.<\/td>\n<\/tr>\n<tr>\n<td>Etiquetado de dispositivos seg\u00fan el cumplimiento<\/td>\n<td>Etiquetar los dispositivos por su estado de cumplimiento y por el resultado de la aplicaci\u00f3n de pol\u00edticas.<\/td>\n<\/tr>\n<tr>\n<td>Automatizaci\u00f3n de la remediaci\u00f3n y las auditor\u00edas<\/td>\n<td>Automatizar los informes de <a href=\"https:\/\/www.ninjaone.com\/es\/docs\/gestion-de-vulnerabilidades-ninjaone\/evaluacion-de-vulnerabilidades\/\">remediaci\u00f3n o auditor\u00eda<\/a> posteriores en funci\u00f3n de las carencias detectadas.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Con NinjaOne, los MSP pueden ampliar y monitorizar las funciones de fortalecimiento de seguridad de Microsoft en todos sus clientes con un esfuerzo m\u00ednimo.<\/p>\n<h2>Configura Device Guard y WDAC en pymes para reforzar la seguridad de endpoints y el control de aplicaciones<\/h2>\n<p>Device Guard y Windows Defender Application Control (WDAC) son herramientas potentes para proteger los endpoints de las pymes, ya que limitan qu\u00e9 aplicaciones y scripts pueden ejecutarse. Esta gu\u00eda ha repasado los componentes principales y las ventajas de ambas soluciones, con el foco puesto en c\u00f3mo respaldan un modelo de ejecuci\u00f3n zero trust.<\/p>\n<p>Tambi\u00e9n ha detallado c\u00f3mo desplegar, auditar y aplicar pol\u00edticas con Microsoft Intune, junto con m\u00e9todos basados en PowerShell, el registro, CMD y GPO para pruebas y cumplimiento. Por \u00faltimo, has visto c\u00f3mo NinjaOne ayuda a escalar y auditar el despliegue de pol\u00edticas en todos los clientes para reforzar la seguridad de endpoints y el control de aplicaciones.<\/p>\n<p><strong>Temas relacionados:<\/strong><\/p>\n<ul>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/blog\/windows-device-guard\/\">C\u00f3mo comprobar si Device Guard est\u00e1 activado o desactivado en Windows<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/blog\/credential-guard-activado-desactivado-windows\/\">C\u00f3mo comprobar si Credential Guard est\u00e1 activado o desactivado en Windows<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/blog\/esta-aplicacion-se-ha-bloqueado-para-tu-proteccion\/\">C\u00f3mo evitar el mensaje \u00abEsta aplicaci\u00f3n se ha bloqueado por motivos de seguridad\u00bb en Windows 10<\/a><\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>Device Guard y Windows Defender Application Control (WDAC) son tecnolog\u00edas de seguridad de nivel empresarial que aplican un modelo Zero Trust en el que solo pueden ejecutarse las aplicaciones autorizadas. Para las peque\u00f1as y medianas empresas (pymes), desplegar estas funciones a trav\u00e9s de Intune supone una soluci\u00f3n escalable y gestionada desde el cloud para fortalecer [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":539713,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[3025],"tags":[],"class_list":["post-901079","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-it-ops"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/901079","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/comments?post=901079"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/901079\/revisions"}],"predecessor-version":[{"id":901080,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/901079\/revisions\/901080"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/media\/539713"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/media?parent=901079"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/categories?post=901079"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/tags?post=901079"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}