Personalizar la protección contra vulnerabilidades

La protección contra vulnerabilidades aplica automáticamente muchas técnicas de mitigación de exploits tanto a los procesos del sistema operativo como a las aplicaciones individuales.

Configure estas opciones con la aplicación Seguridad de Windows en un dispositivo individual. Luego, exporte la configuración como archivo XML para implementarla en otros dispositivos. Use la directiva de grupo para distribuir el archivo XML a varios dispositivos a la vez. También puede configurar las mitigaciones con PowerShell.

En este artículo se enumeran todas las mitigaciones disponibles en la protección contra vulnerabilidades de seguridad. Indica si la mitigación se puede aplicar en todo el sistema o a aplicaciones individuales, y proporciona una breve descripción de cómo funciona la mitigación.

En este artículo también se describe cómo habilitar o configurar las mitigaciones mediante proveedores de servicios de configuración (CSP) de Seguridad de Windows, PowerShell y administración de dispositivos móviles (MDM). La configuración de la protección contra vulnerabilidades de seguridad en un único dispositivo es el primer paso para crear una configuración que se pueda implementar en la red. Para implementar esta configuración en varios dispositivos, consulte Importación, exportación e implementación de configuraciones de protección contra vulnerabilidades de seguridad.

Mitigaciones de protección contra vulnerabilidades de seguridad

Todas las mitigaciones se pueden configurar para aplicaciones individuales. Algunas mitigaciones también se pueden aplicar en el nivel de sistema operativo.

Puede configurar cada mitigación como activada, desactivada o con su valor predeterminado. Algunas mitigaciones tienen más opciones que se indican en la descripción de la tabla.

Los valores predeterminados siempre se especifican entre corchetes en la opción Usar valor predeterminado para cada mitigación. En el ejemplo siguiente, el valor predeterminado de Prevención de ejecución de datos es "Activado".

La configuración Usar valor predeterminado para cada una de las opciones de mitigación indica nuestra recomendación para un nivel básico de protección para el uso diario de los usuarios domésticos. Las implementaciones empresariales deben tener en cuenta la protección necesaria para sus necesidades individuales y, por tanto, deben modificar la configuración lejos de los valores predeterminados.

Para ver los cmdlets de PowerShell asociados para cada mitigación, consulte los cmdlets de PowerShell para las mitigaciones de protección contra vulnerabilidades en la parte inferior de este artículo.

Configuración de mitigaciones de nivel de sistema con la aplicación Seguridad de Windows

Para configurar mitigaciones de protección contra vulnerabilidades de seguridad de nivel de sistema y de nivel de aplicación en un dispositivo individual, use la aplicación Seguridad de Windows:

1. Abra la aplicación Seguridad de Windows seleccionando el icono de escudo en la barra de tareas o buscando Seguridad de Windows en el menú Inicio.

2. Seleccione el icono Control de aplicaciones y navegador (o el icono de la aplicación en la barra de menús de la izquierda) y seleccione Protección contra vulnerabilidades.

3. En la sección Configuración del sistema, busque la mitigación que quiera configurar y especifique una de las siguientes opciones. Las aplicaciones que no se configuran individualmente en la sección Configuración del programa usarán las opciones que se configuren aquí:

   • Activada de forma predeterminada: la mitigación está habilitada para aplicaciones que no tienen esta mitigación establecida en la sección de la aplicación Configuración del programa
   • Desactivada de forma predeterminada: la mitigación está deshabilitada para aplicaciones que no tienen esta mitigación establecida en la sección de la aplicación Configuración del programa
   • Usar valor predeterminado: la mitigación está habilitada o deshabilitada, según la configuración predeterminada configurada por la instalación de Windows 10 o Windows 11; el valor predeterminado (Activado o Desactivado) siempre se especifica junto a la etiqueta Usar valor predeterminado para cada mitigación

   Nota:

   Es posible que vea una ventana de Control de cuenta de usuario al cambiar algunas opciones de configuración. Escriba las credenciales de administrador para aplicar la configuración.

   Cambiar algunas opciones de configuración puede requerir reiniciar el dispositivo.

4. Repita estos pasos de configuración para todas las mitigaciones de nivel de sistema que desea configurar.

5. Vaya a la sección Configuración del programa y elija la aplicación a la que quiere aplicar mitigaciones:

   1. Si la aplicación que quiere configurar ya aparece en la lista, selecciónela y seleccione Editar
   2. Si la aplicación no aparece en la lista, en la parte superior de la lista, seleccione Agregar programa para personalizar y elija cómo quiere agregar la aplicación:
      • Use Agregar por nombre de programa para aplicar la mitigación a cualquier proceso en ejecución con ese nombre. Debe especificar un archivo con una extensión. Puede introducir una ruta de acceso completa para limitar la mitigación solo a la aplicación con ese nombre y en esa ubicación.
      • Use Elegir la ruta exacta del archivo para abrir la ventana estándar del Explorador de Windows para seleccionar archivos y buscar y seleccionar el archivo que desee.

6. Después de seleccionar la aplicación, verá una lista de todas las mitigaciones que se pueden aplicar. Para habilitar la mitigación, active la casilla y, a continuación, cambie el control deslizante a Activado. Seleccione cualquier opción adicional. Al elegir Auditoría solo se aplicará la mitigación en modo auditoría. Se le notificará si necesita reiniciar el proceso o la aplicación, o si necesita reiniciar Windows.

7. Repita estos pasos para todas las aplicaciones y mitigaciones que quiera configurar. Seleccione Aplicar cuando haya terminado de establecer la configuración.

Ahora puede exportar la configuración de protección contra vulnerabilidades como un archivo XML o seguir configurando mitigaciones específicas de la aplicación.

La exportación de la configuración como un archivo XML permite copiar la configuración de un dispositivo en otros dispositivos.

Referencia de PowerShell

Puede usar la aplicación de Seguridad de Windows para configurar la protección contra vulnerabilidades o puede usar cmdlets de PowerShell.

Siempre se aplicarán las opciones de configuración que se modificaron más recientemente, independientemente de si usa PowerShell o Seguridad de Windows. Dado que la configuración modificada más recientemente siempre se aplica, si usa la aplicación para configurar una mitigación, use PowerShell para configurar la misma mitigación, la aplicación se actualizará para mostrar los cambios realizados con PowerShell. Si fuera a usar la aplicación para volver a cambiar la mitigación, ese cambio se aplicaría.

Puede usar el verbo de PowerShell Get o Set con el cmdlet ProcessMitigation. Al usar Get se mostrará el estado de configuración actual de las mitigaciones habilitadas en el dispositivo. Agregue el cmdlet -Name y el archivo exe de la aplicación para ver las mitigaciones solo para esa aplicación:

Get-ProcessMitigation -Name processName.exe

Use Set para configurar cada mitigación en el formato siguiente:

Set-ProcessMitigation -<scope> <app executable> -<action> <mitigation or options>,<mitigation or options>,<mitigation or options>

Donde:

• <Ámbito>:
  • -Name para indicar que las mitigaciones se deben aplicar a una aplicación específica. Especifique el ejecutable de la aplicación después de esta marca.
  • -System para indicar que la mitigación debe aplicarse en el nivel del sistema
• <Acción>:
  • -Enable para habilitar la mitigación
  • -Disable para deshabilitar la mitigación
• <Mitigación>:
  • El cmdlet de la mitigación, tal como se define en la tabla de cmdlets de mitigación de la protección contra vulnerabilidades siguiente, junto con cualquier subopción (entre espacios). Cada mitigación se separa con una coma.

Por ejemplo, para habilitar la mitigación de Prevención de ejecución de datos (DEP) con emulación de thunk ATL y para un ejecutable llamado testing.exe en la carpeta C:\Apps\LOB\tests, y para evitar que ese ejecutable cree procesos secundarios, usaría el siguiente comando:

Set-ProcessMitigation -Name c:\apps\lob\tests\testing.exe -Enable DEP, EmulateAtlThunks, DisallowChildProcessCreation

Para aplicar una mitigación a nivel de sistema en lugar de aplicarla a una aplicación específica, use el ámbito -System. Por ejemplo, para habilitar DEP para todos los procesos del dispositivo, usaría el siguiente comando:

Set-Processmitigation -System -Enable DEP

Para deshabilitar las mitigaciones, puede reemplazar -Enable por -Disable. Sin embargo, en el caso de las mitigaciones de nivel de aplicación, esta acción obliga a deshabilitar la mitigación solo para esa aplicación.

Si necesita restaurar una mitigación de nivel de aplicación al valor predeterminado del sistema, también debe incluir el cmdlet -Remove. En el ejemplo siguiente se elimina la anulación de DEP específica de la aplicación para test.exe para que herede la configuración predeterminada del sistema:

Set-Processmitigation -Name test.exe -Remove -Disable DEP

También puede establecer mitigaciones en modo de auditoría. En lugar de usar el cmdlet de PowerShell para la mitigación, use el cmdlet de modo de auditoría tal como se especifica en la siguiente tabla de cmdlets de mitigación de protección contra vulnerabilidades de seguridad.

Por ejemplo, el siguiente comando habilita la supervisión solo de auditoría para la mitigación de Protección de código arbitrario (ACG) en la testing.exe usada anteriormente, que registra las infracciones de la directiva sin bloquear la ejecución:

Set-ProcessMitigation -Name c:\apps\lob\tests\testing.exe -Enable AuditDynamicCode

Puede deshabilitar el modo de auditoría mediante el mismo comando, pero reemplazando -Enable por -Disable.

Tabla de referencia de PowerShell

En esta tabla se enumeran los cmdlets de PowerShell (y el cmdlet de modo de auditoría asociado) que se pueden usar para configurar cada mitigación.

[1]: Para habilitar Export Address Filtering Plus (EAF+) para un proceso y restringirlo a módulos DLL específicos, use el siguiente formato:

Set-ProcessMitigation -Name processName.exe -Enable EnableExportAddressFilterPlus -EAFModules dllName1.dll,dllName2.dll

[2]: La auditoría de esta mitigación no está disponible a través de cmdlets de PowerShell.

Personalización de las notificaciones de protección contra vulnerabilidades

Para obtener información sobre cómo personalizar la notificación cuando se desencadena una regla y se bloquea una aplicación o un archivo, consulte Seguridad de Windows.

Contenido relacionado

• Proteger los dispositivos contra vulnerabilidades de seguridad
• Evaluación de la protección contra vulnerabilidades de seguridad
• Habilitar la protección contra vulnerabilidades de seguridad
• Importar, exportar y desplegar configuraciones de protección contra vulnerabilidades