Reglas ASR Defender mediante GPO: verificar dispositivos

¿Qué son las reglas ASR Defender mediante GPO?

Las reglas ASR Defender mediante GPO permiten a los administradores distribuir protecciones basadas en el comportamiento a dispositivos Windows mediante la directiva de grupo. Las reglas de reducción de la superficie de ataque (ASR) se centran en actividades como la creación de procesos secundarios por aplicaciones Office o la ejecución de archivos ejecutables descargados por scripts. La pregunta útil es qué GUID de reglas, modos y exclusiones tiene realmente el dispositivo de destino, en lugar de comprobar únicamente si existe una directiva ASR. Guía de configuración de Microsoft

Una directiva puede describir una protección prevista sin demostrar que todos los equipos la reciben. El modo Audit puede registrar actividad relevante sin bloquearla; las exclusiones pueden cambiar lo que evalúa una regla. Revise conjuntamente el origen del despliegue y la configuración de los dispositivos antes de informar sobre la cobertura.

Esta guía utiliza páginas de Microsoft Learn comprobadas el 3 de octubre de 2026 y la implementación revisada de etc-collector. Los comandos PowerShell son ejemplos basados en la documentación para un administrador Windows autorizado; no se ejecutaron en un parque Windows para este artículo. No se afirma ninguna cobertura de dispositivos, prevalencia de ataques ni corrección exitosa.

Funcionamiento: una matriz de reglas, modos y exclusiones

La configuración ASR es una lista de reglas con acciones individuales. En la Administración de directivas de grupo, edite la GPO prevista en Configuración del equipo → Plantillas administrativas → Componentes de Windows → Microsoft Defender Antivirus → Microsoft Defender Exploit Guard → Reducción de la superficie de ataque. Abra Configurar reglas de reducción de la superficie de ataque, seleccione Habilitada y utilice Mostrar... para introducir cada GUID de regla como nombre de valor y su modo como valor. Las plantillas antiguas pueden utilizar Windows Defender Antivirus en la ruta. Procedimiento GPO de Microsoft

Las acciones numéricas documentadas por Learn son:

Los valores proceden de la página de configuración ASR. La disponibilidad de modos, las dependencias y la compatibilidad del sistema operativo requieren una revisión específica de cada regla en la referencia de reglas ASR.

Construya una matriz con una fila por regla prevista y población de destino. Las siguientes filas son ejemplos de revisión, no un conjunto completo de reglas recomendado ni mediciones de un entorno:

Microsoft documenta una condición de ubicación de instalación para la regla Office: Office debe estar instalado en %ProgramFiles% o %ProgramFiles(x86)%. También indica que la regla LSASS no es necesaria ni aporta protección adicional cuando la protección LSA está habilitada, y recomienda esa protección junto con Credential Guard. No trate todas las reglas disponibles como requisitos incondicionales. Detalles específicos de las reglas

Nuestra guía de Credential Guard tras una actualización explica cómo verificar el aislamiento de credenciales basado en VBS y la desactivación heredada. Esas pruebas no establecen la configuración del conjunto más amplio de reglas de comportamiento ASR. Mantenga separadas la aplicabilidad de las protecciones y sus mediciones.

Establecer qué origen de administración prevalece

Una entrada GPO y un perfil Intune pueden entrar en conflicto para la misma regla. La página actual de configuración de Learn documenta que los ajustes basados en directivas tienen prioridad sobre los ajustes locales Set-MpPreference al iniciar. Esa página describe la directiva de grupo como prioritaria por defecto frente a MDM, con MDMWinsOverGP=1 favoreciendo MDM, y desaconseja configurar las mismas reglas ASR mediante ambos orígenes. La guía de solución de problemas de Defender, publicada por separado por Microsoft, advierte que este modificador no se aplica a las reglas ASR en Windows 10. Estas páginas difieren en ese límite: verifique el sistema operativo de destino y el resultado observado de la directiva en lugar de asumir que el indicador resuelve todos los conflictos.

Existe otro límite explícito: la configuración controlada aplica los ajustes de Intune o de la administración de configuración de seguridad de Defender for Endpoint e ignora los ajustes en conflicto de la directiva de grupo, Configuration Manager y los ajustes locales. Compruebe si ese mecanismo se aplica antes de atribuir la responsabilidad a la GPO. Gestión de conflictos de directivas de Microsoft

Registre el origen de administración previsto, la población de dispositivos, los perfiles en conflicto y las pruebas de la configuración que prevalece. Un cambio temporal mediante PowerShell local puede desaparecer cuando entra en vigor la directiva administrada. Por tanto, no es adecuado como única prueba de que el despliegue administrado está corregido.

Detección: comparar la intención de la GPO con la configuración de los dispositivos

Paso 1: conservar la directiva prevista

Lea la lista de GUID/acciones configurados y las exclusiones de la GPO real. Inspeccione sus datos registry.pol decodificados para la rama ASR de Windows Defender Exploit Guard, conservando la identidad de la GPO y la hora de recopilación junto con las pruebas. Un archivo binario de directiva requiere una decodificación que interprete las directivas; el nombre del archivo por sí solo no revela sus ajustes.

Distinga la lista por regla del DWORD agregado exploitguard_asr_rules que utiliza el analizador del collector descrito más adelante. Un ajuste agregado habilitado no es un inventario de GUID y acciones.

Nuestra guía de cuatro comprobaciones de seguridad GPO de Active Directory aplica el mismo método de verificación a LLMNR, WSUS, la protección LSA y las rutas UNC: comparar la intención de la directiva, el ámbito de destino y las pruebas del cliente. Esos cuatro controles no establecen la cobertura ASR; su disciplina de verificación resulta útil aquí.

Paso 2: leer las preferencias del dispositivo de destino

En cada destino evaluado, obtenga las preferencias de Defender. La referencia Get-MpPreference documenta el cmdlet y su comportamiento local por defecto. La página de configuración ASR documenta las propiedades de identificadores de reglas y acciones.

Ejecute lo siguiente por separado en la sesión administrativa PowerShell del destino:

$p = Get-MpPreference

$p.AttackSurfaceReductionRules_Ids

$p.AttackSurfaceReductionRules_Actions

Empareje las entradas por su posición en los arrays: la acción de un índice corresponde al identificador de regla del mismo índice. Conserve la salida original. Si falta una lista, las longitudes difieren o falla la recopilación, registre el resultado como no resuelto en lugar de descartar entradas silenciosamente o declarar la conformidad.

Para un par de arrays alineados y no vacíos, este ejemplo muestra la correspondencia:

for ($i = 0; $i -lt $p.AttackSurfaceReductionRules_Ids.Count; $i++) {
    [pscustomobject]@{
        Id = $p.AttackSurfaceReductionRules_Ids[$i]
        Action = $p.AttackSurfaceReductionRules_Actions[$i]
    }
}

Revise las exclusiones globales ASR con el comando de lectura documentado por Microsoft:

(Get-MpPreference).AttackSurfaceReductionOnlyExclusions

Inspeccione también las exclusiones por regla en la directiva de administración autoritativa. La lista global por sí sola no constituye una revisión completa de excepciones cuando hay exclusiones específicas de reglas configuradas. Configuración de exclusiones de Microsoft

Compare cada GUID y modo esperado con la salida del dispositivo. Investigue las reglas ausentes, las acciones inesperadas y las exclusiones inesperadas. Incluya el host, la hora de observación y el origen de administración en el registro; repita tras la aplicación de la directiva para distinguir un ajuste local transitorio del resultado administrado. Estas preferencias establecen la configuración del dispositivo, mientras que la telemetría de actividad aporta pruebas del disparo de una regla.

Paso 3: revisar los eventos ASR

En el Visor de eventos, vaya a Registros de aplicaciones y servicios → Microsoft → Windows → Windows Defender → Operational. Microsoft enumera los siguientes eventos de reglas ASR en su página del Visor de eventos de Windows:

Correlacione el identificador de regla, el dispositivo, la hora y la actividad con la matriz de configuración. Microsoft también documenta Windows Event Forwarding para centralizar la recopilación. Su guía de pruebas de despliegue distingue el Visor de eventos local de las funciones de informes que dependen del producto Defender y del plan.

Corrección: probar, revisar y aplicar las reglas aprobadas (Remediation)

Paso 1: definir un piloto representativo

Elija una población controlada de dispositivos y responsables de aplicaciones. Compruebe la compatibilidad y las dependencias de las reglas seleccionadas, establezca el origen de administración y registre las preferencias iniciales de los dispositivos. Incluya los flujos de trabajo empresariales que probablemente activen las reglas, en lugar de tratar un dispositivo inactivo como una prueba de compatibilidad.

La guía de despliegue de Microsoft organiza el trabajo en planificación, pruebas, habilitación y supervisión continua. Indica que las reglas de protección estándar normalmente pueden empezar en Block o Warn sin pruebas, mientras que otras reglas deben evaluarse primero en Audit. Aquí, un piloto Audit es una elección deliberada de evaluación, no una afirmación de que Microsoft exige la misma secuencia para cada regla.

Paso 2: configurar Audit mediante la directiva responsable

Para el piloto administrado por GPO, habilite Configurar reglas de reducción de la superficie de ataque y rellene Mostrar... con los GUID seleccionados y la acción 2. Utilice los valores documentados sin comillas, caracteres adicionales ni espacios al principio o al final. Confirme que los equipos previstos del piloto reciben esa GPO y repita la recopilación de preferencias de los dispositivos.

Por ejemplo, el nombre de valor de la regla Office sobre procesos secundarios es d4f940ab-401b-4efc-aadc-ad5f3c50688a; su valor Audit es 2. Esto ilustra la correspondencia GUID/acción de Microsoft, no una configuración descubierta. Configuración GPO de reglas

Paso 3: revisar eventos y documentar excepciones de aplicaciones

Utilice la actividad Audit para identificar flujos de trabajo legítimos que la aplicación de las reglas podría interrumpir. Revise el contexto real del proceso y del archivo con el responsable de la aplicación antes de aprobar una exclusión. Registre la regla afectada, la excepción exacta, el motivo, el responsable y la decisión de revisión.

La directiva de grupo proporciona tanto exclusiones globales como exclusiones por regla. Learn documenta que las exclusiones de archivos específicos son preferibles a excluir una carpeta completa en su procedimiento GPO global. Las exclusiones específicas de reglas requieren las plantillas administrativas adecuadas; la página actual identifica las plantillas 24H2 o posteriores cuando ese ajuste no aparece en GPMC. Verifique el ajuste disponible antes de diseñar el despliegue en torno a él. Exclusiones GPO de Microsoft

Paso 4: pasar a Block o a Warn compatible y verificar de nuevo

Cambie las acciones de las reglas aprobadas en la directiva responsable a Block 1 o Warn 6 cuando sea compatible y apropiado. La regla de robo de credenciales LSASS no admite Warn. Amplíe el despliegue mediante anillos tras revisar el comportamiento de las aplicaciones y la configuración de los dispositivos. Guía de despliegue y referencia de reglas

Repita la comparación GUID/acción y revise los eventos Block o las anulaciones Warn. Una edición de GPO completada no es el criterio de aceptación. Cierre la decisión de despliegue para una población cuando se observe la configuración prevista en sus dispositivos evaluados, se hayan revisado los flujos de trabajo relevantes y queden explícitas las excepciones restantes o los dispositivos desconocidos.

Evite sustituir una lista de reglas administrada por un comando local de conveniencia. Microsoft advierte que Set-MpPreference sobrescribe las reglas y acciones existentes proporcionadas mediante ese cmdlet y que los ajustes administrados sobrescriben los cambios locales en conflicto al iniciar. Resuelva el conflicto de orígenes y conserve la configuración no relacionada. Comportamiento de la configuración PowerShell

Cómo detecta EtcSec esta configuración

El etc-collector de EtcSec incluye DEFENDER_ASR_NOT_CONFIGURED, una comprobación de configuración GPO de gravedad Medium. La implementación revisada de defender-asr.go llama a FindRegistrySettingInt para DefenderASREnabled. Un valor ausente o distinto de 1 produce Count 1; un valor de 1 mantiene Count 0.

El helper prioriza un valor no nulo de Default Domain Controllers Policy, después de Default Domain Policy y después de otra GPO disponible. Este es el orden de búsqueda del collector, no la precedencia de directivas Windows para un dispositivo individual. No calcula los vínculos efectivos, el filtrado, la herencia ni los conflictos MDM de cada equipo.

El registrypol_parser.go revisado rellena el campo únicamente a partir de un DWORD llamado exploitguard_asr_rules en una clave que contiene Windows Defender y ASR. No rellena el inventario completo de GUID/acciones para esta comprobación. El valor agregado comparado con 1 no debe interpretarse como la acción Block de cada regla.

Utilice esta señal para abrir una investigación específica de configuración. Adjunte la lista GPO prevista, las preferencias de los dispositivos y los eventos ASR relevantes al registro de corrección. Mantenga sin resolver las mediciones no disponibles hasta recopilarlas; una comprobación de configuración a nivel de dominio no puede sustituir las pruebas de los dispositivos.