Uso del Antivirus de Windows Defender en Windows Server 2019 y 2016

Windows Defender Antivirus es el antivirus integrado gratuito de Microsoft que viene instalado por defecto en Windows Server 2016 y 2019 (desde Windows 10 2004 se usa el nombre Microsoft Defender). En este artículo, veremos las características de Windows Defender en Windows Server 2019/2016.

Habilitar la GUI de Windows Defender en Windows Server

Windows Server 2016 y 2019 (incluida la edición Core) tienen integrado el motor antivirus de Windows Defender. Puede comprobar si el antivirus de Windows Defender está instalado mediante PowerShell:

Get-WindowsFeature | Where-Object {$_. name -like "*defender*"} | ft Name,DisplayName,Installstate

Sin embargo, no hay una GUI antivirus de Windows Defender en Windows Server 2016 de forma predeterminada. Puede instalar la interfaz gráfica de Windows Defender en Windows Server 2016 a través de la consola del Administrador del servidor (Agregar funciones y funciones -> Funciones -> Funciones de Windows Defender -> función GUI para Windows Defender).

O bien, puede habilitar la GUI antivirus de Windows Defender mediante PowerShell:

Install-WindowsFeature -Name Windows-Defender-GUI

Para desinstalar la GUI de Defender, se utiliza el siguiente comando de PowerShell:

Uninstall-WindowsFeature -Name Windows-Defender-GUI

En Windows Server 2019, la GUI de Defender se basa en la aplicación APPX y se puede acceder a ella a través de la aplicación Windows Security (Configuración -> Actualización y seguridad).

Windows Defender se configura a través del menú "Protección contra virus y amenazas".

You’ll need a new app to open this windowsdefender

Add-AppxPackage -Register -DisableDevelopmentMode "C:\Windows\SystemApps\Microsoft.Windows.SecHealthUI_cw5n1h2txyewy\AppXManifest.xml"

¿Cómo desinstalar el antivirus de Windows Defender en Windows Server 2019 y 2016?

En Windows 10, cuando instala cualquier antivirus de terceros (McAfee, Norton, Avast, Kaspersky, Symantec, etc.), el antivirus integrado de Windows Defender está desactivado. Sin embargo, no sucede en Windows Server. Debe deshabilitar el motor antivirus incorporado manualmente (en la mayoría de los casos, no se recomienda usar varios programas antivirus a la vez en una computadora o servidor).

Puede desinstalar Windows Defender en Windows Server 2019/2016 mediante el Administrador del servidor o con el siguiente comando de PowerShell:

Uninstall-WindowsFeature -Name Windows-Defender

No desinstales Windows Defender si no hay otro antivirus en el servidor.

Add-WindowsFeature Windows-Defender-Features,Windows-Defender-GUI

Administrar el antivirus de Windows Defender con PowerShell

Consideremos los comandos típicos de PowerShell que puede usar para administrar Windows Defender Antivirus.

Puede asegurarse de que el servicio Antivirus de Windows Defender se esté ejecutando con este comando de PowerShell:

Get-Service WinDefend

Como puede ver, el servicio se inicia (Estado -

Running

)

Puede mostrar el estado actual y la configuración de Defender mediante el siguiente cmdlet:

Get-MpComputerStatus

El cmdlet muestra la versión y la fecha de la última actualización de la base de datos antivirus (AntivirusSignatureLastUpdated, AntispywareSignatureLastUpdated), los componentes antivirus habilitados, la hora del último análisis (QuickScanStartTime), etc.

Puede deshabilitar la protección en tiempo real de Windows Defender de la siguiente manera:

Set-MpPreference -DisableRealtimeMonitoring $true

Después de ejecutar este comando, el antivirus no escaneará en tiempo real todos los archivos abiertos por el sistema operativo o los usuarios.

Set-MpPreference -DisableRealtimeMonitoring $false

Por ejemplo, debe habilitar el escaneo de dispositivos de almacenamiento USB externos. Obtenga la configuración actual con el comando:

Get-MpPreference | fl disable*

Si el escaneo de la unidad USB está deshabilitado (

DisableRemovableDriveScanning = True

), puede habilitar el escaneo usando el comando:

Set-MpPreference -DisableRemovableDriveScanning $false

Se puede mostrar una lista completa de los cmdlets de PowerShell en el módulo de Windows Defender con el comando:

Get-Command -Module Defender

¿Cómo excluir archivos y carpetas de los análisis antivirus de Windows Defender?

Puede configurar la lista de exclusiones: estos son nombres, extensiones de archivo, directorios que se excluirán del análisis automático de Windows Defender Antivirus. La peculiaridad de Windows Defender en Windows Server 2019/2016 es la lista de exclusiones generada automáticamente que se aplica según las funciones y funciones de Windows Server instaladas.

Por ejemplo, si está instalada la función Hyper-V, se agregará el siguiente objeto a la lista de exclusión de Defender: discos virtuales y de diferenciación, discos VHDS (*.vhd, *.vhdx, *.avhd), instantáneas, Hyper-V carpetas y procesos (Vmms.exe, Vmwp.exe).

Si desea deshabilitar las exclusiones automáticas de Microsoft Defender en Windows Server, ejecute el comando:

Set-MpPreference -DisableAutoExclusions $true

Para agregar los directorios específicos a la lista de exclusión de antivirus manualmente, ejecute este comando:

Set-MpPreference -ExclusionPath "C:\ISO", "C:\VM", "C:\Nano"

Para excluir el análisis antivirus de ciertos procesos, use el siguiente comando:

Set-MpPreference -ExclusionProcess "vmms.exe", "Vmwp.exe"

Obtenga informes de estado de Windows Defender desde computadoras remotas a través de PowerShell

Puede obtener el estado del antivirus de Microsoft Defender desde equipos remotos mediante PowerShell. El siguiente script simple encontrará todos los hosts de Windows Server en el dominio de AD y obtendrá el estado de Defender a través de WinRM (usando el cmdlet Invoke-Command):

$Report = @()
$servers= Get-ADComputer -Filter 'operatingsystem -like "*server*" -and enabled -eq "true"'| Select-Object -ExpandProperty Name
foreach ($server in $servers) {
$defenderinfo= Invoke-Command $server -ScriptBlock {Get-MpComputerStatus | Select-Object -Property Antivirusenabled,RealTimeProtectionEnabled,AntivirusSignatureLastUpdated,QuickScanAge,FullScanAge}
If ($defenderinfo) {
$objReport = [PSCustomObject]@{
User = $defenderinfo.PSComputername
Antivirusenabled = $defenderinfo.Antivirusenabled
RealTimeProtectionEnabled = $defenderinfo.RealTimeProtectionEnabled
AntivirusSignatureLastUpdated = $defenderinfo.AntivirusSignatureLastUpdated
QuickScanAge = $defenderinfo.QuickScanAge
FullScanAge = $defenderinfo.FullScanAge
}
$Report += $objReport
}
}
$Report|ft

Para obtener información sobre las detecciones de antivirus, puede utilizar el siguiente script de PowerShell:

$Report = @()
$servers = Get-ADComputer -Filter 'operatingsystem -like "*server*" -and enabled -eq "true"'| Select-Object -ExpandProperty Name
foreach ($server in $servers) {
$defenderalerts= Invoke-Command $server -ScriptBlock {Get-MpThreatDetection | Select-Object -Property DomainUser,ProcessName,InitialDetectionTime ,CleaningActionID,Resources }
If ($defenderalerts) {
foreach ($defenderalert in $defenderalerts) {
$objReport = [PSCustomObject]@{
Computer = $defenderalert.PSComputername
DomainUser = $defenderalert.DomainUser
ProcessName = $defenderalert.ProcessName
InitialDetectionTime = $defenderalert.InitialDetectionTime
CleaningActionID = $defenderalert.CleaningActionID
Resources = $defenderalert.Resources
}
$Report += $objReport
}
}
}
$Report|ft

El informe muestra el nombre del archivo infectado, la acción realizada, el usuario y el proceso propietario.

Actualización de definiciones de antivirus de Windows Defender

Windows Defender Antivirus puede actualizarse automáticamente en línea desde los servidores de Windows Update. Si hay un servidor WSUS interno en su red, el antivirus de Microsoft puede recibir actualizaciones de él. Solo debe asegurarse de que la instalación de las actualizaciones haya sido aprobada en su servidor WSUS (las actualizaciones de Windows Defender Antivirus se denominan Actualizaciones de definición en la consola de WSUS) y los clientes están dirigidos al servidor WSUS correcto mediante GPO.

En algunos casos, Windows Defender puede funcionar incorrectamente después de recibir una actualización fallida. Luego se recomienda restablecer la base de datos de definiciones actual y descargarlas nuevamente:

"%PROGRAMFILES%\Windows Defender\MPCMDRUN.exe" -RemoveDefinitions -All
"%PROGRAMFILES%\Windows Defender\MPCMDRUN.exe" -SignatureUpdate

Si su Windows Server no tiene acceso directo a Internet, puede actualizar Microsoft Defender desde una carpeta de red.

Descargue las actualizaciones de Windows Defender manualmente (https://www.microsoft.com/en-us/wdsi/defenderupdates) y colóquelas en una carpeta de red compartida. Establezca la ruta a la carpeta compartida con las actualizaciones de Defender:

Set-MpPreference -SignatureDefinitionUpdateFileSharesSources \\mun-fs01\Defender

Ejecute la actualización de la definición del antivirus:

Update-MpSignature -UpdateSource FileShares

Configurar Windows Defender usando la política de grupo

Puede administrar la configuración básica de Microsoft Defender en equipos y servidores mediante la directiva de grupo. Utilice la siguiente sección de GPO: Configuraciones del equipo -> Plantilla administrativa -> Componente de Windows -> Antivirus de Windows Defender.

Esta sección proporciona más de 100 opciones diferentes para administrar la configuración de Microsoft Defender.

Por ejemplo, para deshabilitar completamente su antivirus, debe habilitar el parámetro GPO "Desactivar Antivirus de Windows Defender".

Puede encontrar más información sobre la configuración de la política de grupo de Defender disponible aquí. https://docs.microsoft.com/en-us/microsoft-365/security/defender-endpoint/use-group-policy-microsoft-defender-antivirus

La administración centralizada de Windows Defender está disponible a través de Advanced Threat Protection en el portal de Azure Security Center (ASC) con una suscripción paga (alrededor de $15 por host/mes).