Configure el acceso controlado a la carpeta mediante la política de grupo y PowerShell

El acceso controlado a carpetas es una función de prevención de intrusiones disponible con Microsoft Defender Exploit Guard, que forma parte de Microsoft Defender Antivirus. Ha sido diseñado principalmente para evitar que el ransomware cifre sus datos/archivos, pero también protege los archivos de cambios no deseados de otras aplicaciones maliciosas. En esta publicación, le mostraremos cómo configurar el acceso controlado a carpetas mediante la directiva de grupo y PowerShell en Windows 11/10.

Esta función es opcional en Windows 10, pero cuando está habilitada, la función puede rastrear archivos ejecutables, scripts y DLL que intentan realizar cambios en los archivos en las carpetas protegidas. Si la aplicación o el archivo es malicioso o no se reconoce, la función bloqueará el intento en tiempo real y recibirá una notificación de la actividad sospechosa.

Configurar el acceso a carpetas controladas mediante la directiva de grupo

Para configurar el acceso controlado a carpetas mediante la directiva de grupo, primero debe habilitar esta función. Una vez hecho esto, puede proceder a configurar lo siguiente:

Agregue una nueva ubicación para la protección a través del Editor de políticas de grupo local

Si el acceso controlado a carpetas está habilitado, las carpetas básicas se agregan de manera predeterminada. Si debe proteger los datos ubicados en una ubicación diferente, puede usar la política Configurar carpetas protegidas para agregar la nueva carpeta.

Así es cómo:

Presione la tecla de Windows + R para invocar el cuadro de diálogo Ejecutar
En el cuadro de diálogo Ejecutar, escriba gpedit.msc y presione Enter para abrir el Editor de políticas de grupo.
Dentro del Editor de políticas de grupo local, use el panel izquierdo para navegar a la ruta a continuación:

Computer Configuration > Administrative Templates > Windows Components > Microsoft Defender Antivirus > Microsoft Defender Exploit Guard > Controlled Folder Access

Haga doble clic en la política Configurar carpetas protegidas en el panel derecho para editar sus propiedades.
Seleccione el botón de radio Habilitado.
En la sección Opciones, haz clic en el botón Mostrar .
Especifique las ubicaciones que desea proteger ingresando la ruta de la carpeta (p. ej., F:\MyData) en el campo Value name y agregando 0 en el campo Valor. Repita este paso para agregar más ubicaciones.
Haga clic en el botón Aceptar .
Haga clic en el botón Aplicar .
Haga clic en el botón Aceptar .

Las nuevas carpetas ahora se agregarán a la lista de protección de Acceso controlado a carpetas. Para revertir los cambios, siga las instrucciones anteriores, pero seleccione la opción No configurado o Deshabilitado.

Aplicaciones de la lista blanca en el acceso controlado a la carpeta mediante el Editor de directivas de grupo local

Abra el Editor de políticas de grupo local.
Dentro del Editor de políticas de grupo local, use el panel izquierdo para navegar a la ruta a continuación:

Computer Configuration > Administrative Templates > Windows Components > Microsoft Defender Antivirus > Microsoft Defender Exploit Guard > Controlled Folder Access

Haga doble clic en la directiva Configurar aplicaciones permitidas en el panel derecho para editar sus propiedades.
Seleccione el botón de radio Habilitado.
En la sección Opciones, haz clic en el botón Mostrar .
Especifique la ubicación del archivo .exe para la aplicación (p. ej., C:\Archivos de programa (x86)\Google\Chrome\Applicatio
Haga clic en el botón Aceptar .
Haga clic en el botón Aplicar .
Haga clic en el botón Aceptar .

Ahora, las aplicaciones especificadas no se bloquearán cuando el acceso controlado a la carpeta esté activado y podrá realizar cambios en los archivos y carpetas protegidos. Para revertir los cambios, siga las instrucciones anteriores, pero seleccione la opción No configurado o Deshabilitado.

Para los usuarios de Windows 11/10 Home, puede agregar la función Editor de políticas de grupo local y luego seguir las instrucciones que se proporcionan arriba o puede seguir el método de PowerShell a continuación.

Configurar el acceso controlado a carpetas mediante PowerShell

Para configurar el acceso controlado a carpetas mediante la directiva de grupo, primero debe habilitar la función. Una vez hecho esto, puede proceder a configurar lo siguiente:

Agregue una nueva ubicación para la protección mediante PowerShell

Presione la tecla de Windows + X para abrir el menú de usuario avanzado.
Toque A en el teclado para iniciar PowerShell en modo administrador/elevado.
En la consola de PowerShell, escriba el siguiente comando y presione Entrar.

Add-MpPreference -ControlledFolderAccessProtectedFolders "F:\folder\path\to\add"

En el comando, sustituya el marcador de posición F: old\path o dd con la ruta real de la ubicación y el ejecutable de la aplicación que desea permitir. Entonces, por ejemplo, su comando debería verse así:

Add-MpPreference -ControlledFolderAccessProtectedFolders "F:\MyData"

Para eliminar una carpeta, escriba el siguiente comando y presione Entrar:

Disable-MpPreference -ControlledFolderAccessProtectedFolders "F:\folder\path\to\remove"

Aplicaciones de la lista blanca en Acceso controlado a carpetas mediante PowerShell

Inicie PowerShell en modo administrador/elevado.
En la consola de PowerShell, escriba el siguiente comando y presione Entrar.

Add-MpPreference -ControlledFolderAccessAllowedApplications "F:\path\to\app\app.exe"

En el comando, sustituya el marcador de posición F:\path o pp pp.exe con la ruta real de la ubicación y el ejecutable de la aplicación que desea permitir. Entonces, por ejemplo, su comando debería verse así:

Add-MpPreference -ControlledFolderAccessAllowedApplications "C:\Program Files (x86)\Google\Chrome\Application\chrome.exe"

El comando anterior agregará Chrome a la lista de aplicaciones permitidas y la aplicación podrá ejecutarse y realizar cambios en sus archivos cuando el acceso controlado a la carpeta esté habilitado.

Para eliminar una aplicación, escriba el siguiente comando y presione Entrar:

Remove-MpPreference -ControlledFolderAccessAllowedApplications "F:\path\to\app\app.exe"

¡Eso es todo sobre cómo configurar el acceso controlado a carpetas usando la política de grupo y PowerShell en Windows 11/10!