Windows Server 2025 / Revisar la seguridad de Defender y Firewall de Windows

Para revisar la protección de Windows Server 2025, compruebe el modo y la actualización de Microsoft Defender Antivirus, las exclusiones y los perfiles y reglas realmente aplicados por Firewall de Windows. Después verifique los servicios que el servidor debe ofrecer y limite cualquier excepción a una necesidad concreta. Esta práctica consulta el estado y crea una única regla de laboratorio que se elimina al terminar, manteniendo activas las protecciones.

Registrar el rol y el estado inicial

Un controlador de dominio, un servidor de archivos y un servidor web necesitan comunicaciones diferentes. Anote los roles instalados, las rutas de administración, las copias de seguridad y el estado de las actualizaciones antes de aplicar cambios comunes. Use una sesión autorizada y conserve acceso a la consola: una configuración de red incorrecta puede cortar la administración remota. No copie a DC1 una excepción pensada para FS1 sin revisar el rol y el ámbito.

• Use identidades distintas para el trabajo cotidiano y la administración.
• Restrinja la administración remota a equipos y redes aprobados.
• Documente los servicios, protocolos, puertos y orígenes necesarios para cada rol.
• Incluya las actualizaciones de protección y las pruebas de restauración en el mantenimiento.

Una configuración de referencia de seguridad sirve como punto de partida para revisar cada ajuste. No justifica ejecutar un conjunto de cambios del Registro sin comprender sus efectos. Compruebe versión compatible, dependencia del servicio y forma de volver al valor anterior. Separe las consultas de la modificación: documentar el estado no exige deshabilitar el antivirus, la protección contra alteraciones ni el firewall.

Revisar el modo y las actualizaciones de Defender

En el servidor que está revisando, abra Windows PowerShell como administrador y consulte el estado. Compare el resultado con el producto antivirus que debe proporcionar la protección principal, según los modos y el comportamiento de Microsoft Defender Antivirus. Los comandos siguientes no cambian la configuración:

Get-MpComputerStatus | Select-Object AMRunningMode,AntivirusEnabled,RealTimeProtectionEnabled,AntivirusSignatureLastUpdated
Get-MpPreference | Select-Object ExclusionPath,ExclusionProcess,ExclusionExtension

AMRunningMode Normal indica modo activo. Si Defender es el antivirus principal, contraste también AntivirusEnabled y RealTimeProtectionEnabled con el estado esperado; ningún campo aislado acredita la seguridad completa. Passive no equivale a antivirus principal activo: la compatibilidad de Defender con otros productos depende de la incorporación a Defender for Endpoint y del producto principal. En Windows Server no se debe asumir que instalar otro antivirus cambia automáticamente Defender a pasivo. Si aparece EDR Block Mode, se trata de una configuración específica de detección y respuesta de endpoints (EDR), no de otro nombre para Normal. Compare el estado con el diseño aprobado sin cambiar el modo como parte de esta consulta.

AntivirusSignatureLastUpdated muestra la última actualización de inteligencia, no la versión del motor ni una prueba de que el servidor esté libre de amenazas. Compare la fecha con la política de mantenimiento y revise también las actualizaciones del motor y la plataforma; para equipos aislados prepare una fuente de actualizaciones autorizada y controlada. Si falla una consulta, compruebe módulo, instalación, estado del producto y permisos, sin concluir que la protección es correcta. Revise ExclusionPath, ExclusionProcess y ExclusionExtension como excepciones distintas. Las exclusiones integradas y automáticas de Windows Server se diferencian de las personalizadas, por lo que una lista visible vacía no sustituye la revisión de las exclusiones aplicables al rol. Justifique cada excepción con la documentación oficial del producto y una necesidad comprobada; no excluya unidades completas ni todos los ejecutables para resolver un problema de rendimiento.

Distinguir perfiles locales y reglas efectivas

Get-NetConnectionProfile
Get-NetFirewallProfile | Select-Object Name,Enabled,DefaultInboundAction,DefaultOutboundAction
Get-NetFirewallRule -PolicyStore ActiveStore | Where-Object Enabled -eq 'True' | Select-Object DisplayName,Direction,Action,Profile

Get-NetConnectionProfile muestra la categoría de cada conexión; revise la interfaz que realmente usa FS1. El perfil Domain se reconoce al detectar el dominio y sus controladores: no se establece manualmente como un simple cambio de etiqueta. Si aparece Public o Private en la conexión prevista del dominio, investigue DNS y conectividad de dominio, como en la lección de diagnóstico de red. Además, la segunda línea consulta de forma predeterminada el almacén local persistente: sus valores no son necesariamente el resultado final de los objetos de directiva de grupo (GPO). Para comparar el estado efectivo, repita Get-NetFirewallProfile con -PolicyStore ActiveStore, según su referencia de PowerShell. No interprete NotConfigured como una confirmación de que todo el tráfico está permitido. La tercera línea sí consulta ActiveStore, pero Enabled = True no implica que cada regla coincida con el perfil, la dirección y el tráfico de esta prueba.

La guía de Firewall de Windows recomienda mantener la protección. Para un servicio, compruebe por separado si escucha, qué protocolo y puerto usa, desde qué dirección se accede y qué perfil coincide. La lista anterior omite puertos, direcciones y programa: abra wf.msc y revise las propiedades y las reglas de Supervisión, o consulte los filtros correspondientes. Crear una autorización restringida no elimina una autorización más amplia que ya permita ese tráfico. Por otro lado, un bloqueo explícito que coincida normalmente prevalece sobre una autorización conflictiva, según las reglas de prioridad del firewall. No trate el orden visual de la lista como una prioridad numerada.

Crear y retirar una regla de laboratorio limitada

Use únicamente FS1 y CLIENT1 de confianza en la red de dominio aislada del curso. En la consola de CLIENT1 confirme su IPv4 actual, obtenida mediante DHCP, y anótela; no suponga que conserva una dirección antigua. Antes de crear nada, pruebe desde CLIENT1 ping 172.24.50.20 y registre el resultado inicial. En FS1, compruebe en wf.msc o mediante Get-NetFirewallRule con el nombre exacto que Lab-ICMPv4-From-Client no existe y que el perfil del trayecto es Domain. Si el nombre ya está en uso, deténgase y no modifique esa regla. Abra PowerShell como administrador en FS1 e introduzca solo la IPv4 actual de CLIENT1. Ejecute las dos líneas por separado: si la dirección no se convierte correctamente o es IPv6, no continúe con la creación. El protocolo de mensajes de control de Internet versión 4 (ICMPv4) usa el tipo 8 para solicitudes de eco; no se abre un puerto TCP o UDP:

$clientAddress = [ipaddress](Read-Host 'Current CLIENT1 IPv4 address')
New-NetFirewallRule -Name 'Lab-ICMPv4-From-Client' -DisplayName 'Lab ICMPv4 from CLIENT1' -Direction Inbound -Protocol ICMPv4 -IcmpType 8 -RemoteAddress $clientAddress -Profile Domain -Action Allow

El resultado esperado de New-NetFirewallRule es una regla habilitada en FS1 con el nombre Lab-ICMPv4-From-Client, dirección Inbound, acción Allow, perfil Domain, protocolo ICMPv4, tipo 8 y dirección remota igual a la IPv4 verificada de CLIENT1. No concede autenticación al usuario ni limita los permisos de otros protocolos. Compruebe esos campos en las propiedades de la regla antes de interpretar el ping. Si DHCP cambia la dirección de CLIENT1, esa coincidencia por IP dejará de representar necesariamente al mismo dispositivo.

Desde CLIENT1 vuelva a ejecutar ping 172.24.50.20 con las mismas condiciones. Si antes solo faltaba esta autorización y no existe un bloqueo explícito u otro fallo de red, se esperan respuestas de FS1. Si ya respondía, la prueba no demuestra que la nueva regla fuera necesaria. Si sigue fallando, revise la IPv4 introducida, el perfil de FS1, la ruta, las reglas de bloqueo y si la política permite combinar reglas locales. No amplíe la regla a Any ni desactive el firewall para forzar el resultado. La administración del firewall desde la línea de comandos explica las consultas y los filtros. Un ping correcto tampoco demuestra que funcionen los recursos compartidos o la autenticación.

Al terminar, elimine únicamente la regla que acaba de crear en FS1, conservando el nombre exacto. No ejecute la eliminación si el nombre ya existía antes o si la creación falló:

Remove-NetFirewallRule -Name 'Lab-ICMPv4-From-Client'

Confirme que esa regla ya no aparece en el almacén local y revise el estado efectivo; repita después el mismo ping desde CLIENT1 y compare con el resultado inicial. Puede seguir respondiendo porque existe otra autorización válida. No elimine todas las reglas ICMP ni reglas distribuidas por GPO solo para conseguir que falle la demostración. Si la regla persiste por una política o hubo un error de eliminación, identifique su origen antes de afirmar que se ha retirado.

Comprobar la protección y los servicios después del cambio

Tras un cambio, compruebe tanto la protección como el servicio correspondiente: acceso de administración autorizado, autenticación de dominio y DNS en el controlador, o el recurso compartido concreto en un servidor de archivos. FS1 todavía no necesita ofrecer todos los roles del curso, por lo que un puerto sin servicio no demuestra un fallo del firewall. Registre hora, origen y destino al correlacionar conexiones bloqueadas con eventos. Si habilita registro de descartes para investigar, revise antes el perfil, la ubicación y el tamaño del registro y conserve los valores iniciales; no suponga que todos los descartes ya se registran.

Para recuperarse de un cambio incorrecto, compare con el estado anterior y revierta solo la excepción o directiva afectada desde su origen de administración. En este ejercicio la reversión prevista es retirar Lab-ICMPv4-From-Client, no restablecer todo el firewall. Volver a comprobar el acceso legítimo y el estado de protección forma parte de la solución. Si un servicio solo funciona al desactivar la protección, revise su comunicación necesaria y diseñe una excepción justificada manteniendo la consola y las copias de seguridad disponibles.