La página Seguridad del dispositivo de la aplicación Seguridad de Windows ayuda a proteger el dispositivo Windows mediante la administración de las características de seguridad del sistema operativo y basadas en hardware, incluido el arranque seguro, el aislamiento del núcleo y las protecciones de nivel de procesador. Estas características trabajan juntas para defenderlas contra malware, ataques de firmware y riesgos del sistema. La página está dividida en las siguientes secciones:
- PC de núcleo protegido: si el dispositivo es un PC de núcleo protegido, se muestra información sobre las características de los PC de núcleo protegido
- Aislamiento del núcleo: aquí puede configurar las características de seguridad que protegen el kernel de Windows
- Procesador de seguridad: proporciona información sobre el procesador de seguridad, que se denomina módulo de plataforma segura (TPM)
- Arranque seguro: si el arranque seguro está habilitado, puede encontrar más información al respecto
- Cifrado de datos: aquí puede encontrar un vínculo a la configuración de Windows, donde puede configurar el cifrado de dispositivos y otras opciones de BitLocker
- Capacidad de seguridad de hardware: evalúa las características de seguridad de hardware del dispositivo
En la aplicación 
Seguridad de Windows del equipo, selecciona Seguridad del dispositivo o usa el siguiente acceso directo:
PC de núcleo protegido
Un PC de núcleo protegido está diseñado para proporcionar características de seguridad avanzadas desde el primer momento. Estos equipos integran hardware, firmware y software para ofrecer una sólida protección contra amenazas sofisticadas.
En la aplicación Seguridad de Windows del equipo, selecciona Detalles de seguridad> del dispositivo.
Para obtener más información, consulte PC con núcleo protegido de Windows 11.
Aislamiento del núcleo
El aislamiento del núcleo proporciona características de seguridad diseñadas para proteger los procesos principales de Windows del software malintencionado aislando su memoria. Para ello, ejecuta esos procesos básicos en un entorno virtualizado.
En la aplicación Seguridad de Windows del equipo, seleccionaDetalles de aislamiento de Device Security> Core o usa el siguiente acceso directo:
Nota
Las características expuestas en la página Aislamiento del núcleo varían en función de la versión de Windows que se esté ejecutando y de los componentes de hardware instalados.
Integridad de memoria
La integridad de la memoria, también conocida como integridad de código protegida por hipervisor (HVCI), es una característica de seguridad de Windows que dificulta que los programas malintencionados usen controladores de bajo nivel para secuestrar el equipo.
Un controlador es una pieza de software que permite que el sistema operativo (Windows en este caso) y un dispositivo (como un teclado o una cámara web) se comuniquen entre sí. Cuando el dispositivo quiere que Windows haga algo, usa el controlador para enviar esa solicitud.
La integridad de la memoria funciona mediante la creación de un entorno aislado mediante la virtualización de hardware.
Piense en ello como un guardia de seguridad dentro de una cabina cerrada. Este entorno aislado (la cabina cerrada en nuestra analogía) evita que un atacante manipule la función de integridad de la memoria. Un programa que quiere ejecutar un fragmento de código que puede ser peligroso tiene que pasar el código a la integridad de la memoria dentro de esa cabina virtual para que pueda ser verificado. Cuando la integridad de la memoria está segura de que el código es seguro, devuelve el código a Windows para que lo ejecute. Por lo general, esto sucede muy rápidamente.
Sin la integridad de la memoria ejecutándose, el guardia de seguridad se encuentra al aire libre, donde es mucho más fácil para un atacante interferir o sabotear el guardia, lo que facilita que el código malicioso se cuele y cause problemas.
Puede activar o desactivar la integridad de memoria con el botón de alternancia.
Nota
Para usar la integridad de memoria, debe tener habilitada la virtualización de hardware en la UEFI o BIOS del sistema.
¿Qué sucede si dice que tengo un controlador incompatible?
Si la integridad de la memoria no se activa, puede indicarle que ya tiene instalado un controlador de dispositivo incompatible. Consulta con el fabricante del dispositivo para ver si tiene un controlador actualizado disponible. Si no tienen un controlador compatible disponible, es posible que puedas quitar el dispositivo o la aplicación que usa ese controlador incompatible.
Nota
Si intenta instalar un dispositivo con un controlador incompatible después de activar la integridad de la memoria, es posible que reciba el mismo mensaje. Si es así, se aplica el mismo consejo: consulte al fabricante del dispositivo para ver si tiene un controlador actualizado que pueda descargar, o no instale ese dispositivo en particular hasta que haya un controlador compatible disponible.
Protección de pila aplicada por hardware en modo kernel
La protección de pila aplicada por hardware es una característica de seguridad basada en hardware que dificulta que los programas malintencionados usen controladores de bajo nivel para secuestrar su PC.
Un controlador es una pieza de software que permite que el sistema operativo (Windows en este caso) y un dispositivo (como un teclado o una cámara web) se comuniquen entre sí. Cuando el dispositivo quiere que Windows haga algo, usa el controlador para enviar esa solicitud.
La protección de pila aplicada por hardware funciona evitando ataques que modifican las direcciones de retorno en la memoria en modo kernel para iniciar código malintencionado. Esta característica de seguridad requiere una CPU que contenga la capacidad de comprobar las direcciones de retorno del código en ejecución.
Al ejecutar código en modo kernel, las direcciones de retorno en la pila de modo kernel pueden ser dañadas por programas o controladores maliciosos con el fin de redirigir la ejecución normal de código a código malicioso. En las CPU compatibles, la CPU mantiene una segunda copia de las direcciones de retorno válidas en una pila de instantáneas de solo lectura que los controladores no pueden modificar. Si se ha modificado una dirección de retorno en la pila normal, la CPU puede detectar esta discrepancia comprobando la copia de la dirección de retorno en la pila de sombra. Cuando se produce esta discrepancia, el equipo muestra un error de detención, también conocido como pantalla azul, para evitar que se ejecute el código malintencionado.
No todos los controladores son compatibles con esta característica de seguridad, ya que un pequeño número de controladores legítimos se dedican a modificar la dirección de devolución con fines no malintencionados. Microsoft ha estado colaborando con numerosos editores de controladores para asegurarse de que sus controladores más recientes sean compatibles con la protección de pila impuesta por hardware.
Puede activar o desactivar la protección de pila impuesta por hardware con el botón de alternar.
Para usar la protección de pila impuesta por hardware, debe tener habilitada la integridad de memoria y debe estar ejecutando una CPU que admita Intel Control-Flow Enforcement Technology o AMD Shadow Stack.
¿Qué sucede si dice que tengo un controlador o servicio incompatible?
Si la protección de pila impuesta por hardware no se activa, es posible que le indique que ya tiene instalado un controlador de dispositivo o un servicio incompatible. Póngase en contacto con el fabricante del dispositivo o con el editor de la aplicación para ver si tienen un controlador actualizado disponible. Si no tienen un controlador compatible disponible, es posible que puedas quitar el dispositivo o la aplicación que usa ese controlador incompatible.
Algunas aplicaciones pueden instalar un servicio en lugar de un controlador durante la instalación de la aplicación e instalar el controlador solo cuando se inicia la aplicación. Para una detección más precisa de controladores incompatibles, también se enumeran los servicios que se sabe que están asociados con controladores incompatibles.
Nota
Si intenta instalar un dispositivo o una aplicación con un controlador incompatible después de activar la protección de pila impuesta por hardware, es posible que vea el mismo mensaje. Si es así, se aplica el mismo consejo: consulte con el fabricante del dispositivo o con el editor de la aplicación para ver si tienen un controlador actualizado que pueda descargar, o no instale ese dispositivo o aplicación en particular hasta que haya un controlador compatible disponible.
Protección de acceso a memoria
También conocida como protección DMA para kernel , esta característica de seguridad protege el dispositivo contra ataques que pueden producirse cuando un dispositivo malintencionado se conecta a un puerto de interconexión de componentes periféricos (PCI), como un puerto Thunderbolt.
Un ejemplo simple de uno de estos ataques sería si alguien deja su PC para tomar un breve descanso para tomar café y, mientras está fuera, un atacante interviene, conecta un dispositivo similar a USB y se va con datos confidenciales de la máquina, o inyecta malware que le permite controlar la PC de forma remota.
La protección de acceso a memoria impide este tipo de ataques al denegar el acceso directo a la memoria a esos dispositivos, excepto en circunstancias especiales, especialmente cuando el equipo está bloqueado o el usuario ha cerrado sesión.
Recomendación
Para obtener más información, consulte Protección de DMA para kernel.
Protección de firmware
Cada dispositivo tiene algún software que se ha escrito en la memoria de solo lectura del dispositivo, básicamente escrito en un chip en la placa del sistema, que se usa para las funciones básicas del dispositivo, como cargar el sistema operativo que ejecuta todas las aplicaciones que estamos acostumbrados a usar. Dado que ese software es difícil (pero no imposible) de modificar, nos referimos a él como firmware.
Dado que el firmware se carga primero y se ejecuta en el sistema operativo, las herramientas y características de seguridad que se ejecutan en el sistema operativo tienen dificultades para detectarlo o defenderse de él. Al igual que una casa que depende de una buena base para ser segura, una computadora necesita que su firmware sea seguro para garantizar que el sistema operativo, las aplicaciones y los datos de esa computadora estén seguros.
Protección del sistema es un conjunto de características que ayuda a garantizar que los atacantes no puedan hacer que el dispositivo se inicie con firmware malintencionado o que no sea de confianza.
Las plataformas que ofrecen protección de firmware normalmente también protegen el modo de administración de sistemas (SMM), un modo de funcionamiento con privilegios elevados, en diversos grados. Puede esperar uno de los tres valores, donde un número más alto indica un mayor grado de protección SMM:
- El dispositivo cumple con la primera versión de protección de firmware: ofrece mitigaciones de seguridad fundamentales para ayudar a SMM a resistir la explotación por parte de malware y evita la exfiltración de secretos del sistema operativo (incluido VBS)
- El dispositivo cumple la segunda versión de protección de firmware: además de la primera versión de protección de firmware, la segunda versión garantiza que SMM no puede deshabilitar la seguridad basada en virtualización (VBS) ni las protecciones DMA del kernel
- El dispositivo cumple con la tercera versión de protección de firmware: además de la segunda versión de protección de firmware, protege aún más el SMM al impedir el acceso a determinados registros que pueden poner en peligro el sistema operativo (incluido VBS)
Recomendación
Para obtener más información, consulte Protección del sistema: cómo una raíz de confianza basada en hardware ayuda a proteger Windows
Protección de la autoridad de seguridad local
La protección de autoridad de seguridad local (LSA) es una característica de seguridad de Windows para ayudar a evitar el robo de las credenciales usadas para iniciar sesión en Windows.
La autoridad de seguridad local (LSA) es un proceso crucial en Windows que participa en la autenticación de usuarios. Es responsable de comprobar las credenciales durante el proceso de inicio de sesión y administrar los tokens de autenticación y los vales que se usan para habilitar el inicio de sesión único para los servicios. La protección LSA ayuda a evitar que el software que no es de confianza se ejecute dentro de LSA o acceda a la memoria LSA.
¿Cómo administro la protección de la autoridad de seguridad local?
Puedes activar o desactivar la protección LSA con el botón de alternancia.
Después de cambiar la configuración, debe reiniciar para que surta efecto.
Nota
Para ayudar a proteger las credenciales, la protección LSA está habilitada de forma predeterminada en todos los dispositivos. En el caso de las nuevas instalaciones, se habilita inmediatamente. En el caso de las actualizaciones, se habilita después de reiniciar tras un período de evaluación de cinco días.
¿Qué ocurre si tengo software incompatible?
Si la protección LSA está habilitada y bloquea la carga de software en el servicio LSA, una notificación indica el archivo bloqueado. Es posible que pueda quitar el software que carga el archivo o puede deshabilitar las advertencias futuras para ese archivo cuando se bloquee la carga en LSA.
Credential Guard
Nota
Credential Guard está disponible en dispositivos que ejecutan versiones Enterprise o Education de Windows.
Mientras use su dispositivo profesional o educativo, iniciará sesión silenciosamente y obtendrá acceso a una variedad de elementos, como archivos, impresoras, aplicaciones y otros recursos de su organización. Hacer que ese proceso sea seguro, pero fácil para el usuario, significa que su PC tiene una serie de tokens de autenticación en un momento dado.
Si un atacante puede obtener acceso a uno o más de esos tokens, es posible que pueda usarlos para obtener acceso al recurso de la organización (archivos confidenciales, etc.) para el que es el token. Credential Guard ayuda a proteger esos tokens colocándolos en un entorno protegido y virtualizado donde solo ciertos servicios pueden acceder a ellos cuando sea necesario.
Recomendación
Para obtener más información, consulta Cómo funciona Credential Guard.
Lista de bloqueados de controladores vulnerables de Microsoft
Un controlador es una pieza de software que permite que el sistema operativo (Windows en este caso) y un dispositivo (como un teclado o una cámara web) se comuniquen entre sí. Cuando el dispositivo quiere que Windows haga algo, usa el controlador para enviar esa solicitud. Debido a esto, los controladores tienen mucho acceso confidencial en su sistema.
Windows 11 incluye una lista de bloqueo de controladores que tienen vulnerabilidades de seguridad conocidas, que se han firmado con certificados usados para firmar malware o que eluden el modelo de Seguridad de Windows.
Si tiene activado la integridad de memoria, el Control Inteligente de Aplicaciones o el modo S de Windows, la lista de bloqueo de controladores vulnerables también estará activa.
Nota
Si se encuentra con una pancarta titulada Asistente para compatibilidad de programas con un mensaje que indica que un controlador no se puede cargar o que una configuración de seguridad impide que se cargue un controlador, busque controladores actualizados a través de Windows Update o a través del Administrador de dispositivos. Si no hay actualizaciones disponibles, póngase en contacto con el fabricante del hardware para obtener un controlador actualizado.
Procesador de seguridad
La configuración del procesador de seguridad en la página Seguridad del dispositivo de la aplicación de Seguridad de Windows proporciona detalles sobre el Módulo de plataforma segura (TPM) en el dispositivo. El TPM es un componente de hardware diseñado para mejorar la seguridad mediante la realización de operaciones criptográficas.
Nota
Si en esta pantalla no ves una entrada de procesador de seguridad, es probable que el dispositivo no tenga el hardware TPM (Módulo de plataforma segura) necesario para esta característica o que no esté habilitado en UEFI (Unified Extensible Firmware Interface). Consulta con el fabricante del dispositivo para comprobar si el dispositivo admite TPM y, si es así, los pasos para habilitarlo.
Detalles del procesador de seguridad
Este es el lugar donde encontrarás información sobre el fabricante y los números de versión del procesador de seguridad, así como información sobre el estado del procesador de seguridad.
En la aplicación Seguridad de Windows del equipo, selecciona Detallesdelprocesador de seguridad> seguridad del dispositivo o usa el siguiente acceso directo:
Solución de problemas del procesador de seguridad
Si el procesador de seguridad no funciona correctamente, puede seleccionar el vínculo de solución de problemas del procesador de seguridad para ver los mensajes de error y las opciones avanzadas, o usar el siguiente acceso directo:
En la página de solución de problemas del procesador de seguridad, se proporcionan los mensajes de error relevantes sobre el TPM. Aquí tiene una lista de los mensajes de error y detalles:
| Mensaje | Detalles |
|---|---|
| Se necesita una actualización del firmware para el procesador de seguridad (TPM). | La placa base del dispositivo no parece admitir TPM actualmente, pero una actualización de firmware podría resolverlo. Consulta con el fabricante del dispositivo para ver si existe una actualización de firmware y cómo instalarla. Las actualizaciones de firmware suelen ser gratuitas. |
| El TPM está deshabilitado y requiere tu atención. | Es probable que el módulo de plataforma segura esté desactivado en el BIOS del sistema (sistema básico de entrada/salida) o en la UEFI (interfaz unificada extensible de firmware). Consulta la documentación de soporte técnico del fabricante del dispositivo o comunícate con su soporte técnico para obtener instrucciones sobre cómo activarlo. |
| El almacenamiento del TPM no está disponible. Borra el TPM. | El botón Borrar TPM se encuentra en esta página. Asegúrese de tener una buena copia de seguridad de los datos antes de continuar. |
| La atestación de estado de dispositivo no está disponible. Borra el TPM. | El botón Borrar TPM se encuentra en esta página. Asegúrese de tener una buena copia de seguridad de los datos antes de continuar. |
| La atestación de mantenimiento del dispositivo no es compatible con este dispositivo. | Esto significa que el dispositivo no nos proporciona suficiente información para determinar por qué TPM puede no estar funcionando correctamente en el dispositivo. |
| El TPM no es compatible con el firmware y es posible que no funcione correctamente. | Consulta con el fabricante del dispositivo para ver si hay disponible una actualización de firmware y cómo obtenerla e instalarla. Las actualizaciones de firmware suelen ser gratuitas. |
| Falta el registro de arranque medido del TPM. Intenta reiniciar el dispositivo. | |
| Hay un problema con el TPM. Intenta reiniciar el dispositivo. |
Si sigues teniendo problemas después de ocuparte de un mensaje de error, ponte en contacto con el fabricante del dispositivo para obtener asistencia.
Selecciona Borrar TPM para restablecer el procesador de seguridad a la configuración predeterminada.
Precaución
Asegúrate de hacer una copia de seguridad de los datos antes de borrar el TPM.
Arranque seguro
El arranque seguro impide que se cargue un tipo sofisticado y peligroso de malware, un rootkit, cuando se inicia el dispositivo. Los rootkits utilizan los mismos permisos que el sistema operativo y se inician antes que este, lo que significa que pueden conseguir pasar completamente desapercibidos. A menudo, los rootkits forman parte de un conjunto completo de malware que puede burlar los inicios de sesión locales, grabar las contraseñas y pulsaciones de teclas, transferir archivos privados y capturar claves de criptografía.
Puede que tengas que deshabilitar el arranque seguro para ejecutar algunas tarjetas gráficas, hardware o sistemas operativos, como Linux o versiones anteriores de Windows.
Para obtener más información, consulte Arranque seguro.
Nivel de seguridad de hardware
En la última sección de la página de seguridad del dispositivo se muestra información que indica el nivel de seguridad del dispositivo. Aquí hay una lista de mensajes y detalles:
| Mensaje | Detalles |
|---|---|
| El dispositivo satisface los requisitos de seguridad estándar de hardware. | Esto significa que el dispositivo es compatible con la integridad de memoria y el aislamiento del núcleo, y además tiene:
|
| El dispositivo satisface los requisitos de seguridad mejorada de hardware. | Esto significa que, además de cumplir todos los requisitos de seguridad estándar de hardware, el dispositivo también tiene activada la integridad de memoria. |
| El dispositivo tiene habilitadas todas las características de equipo con núcleo protegido. | Esto significa que, además de cumplir todos los requisitos de seguridad mejorada de hardware, el dispositivo también tiene activada la protección de tipo System Management Mode (SMM). |
| Standard no se admite la seguridad de hardware. | Esto significa que el dispositivo no cumple con, al menos, uno de los requisitos de seguridad estándar de hardware. |
Nota
- Mejora de la seguridad de hardware
- Si la funcionalidad de seguridad de tu dispositivo no es la que te gustaría, es posible que debas activar determinadas características de hardware (como el arranque seguro, si lo admite) o cambiar la configuración de la BIOS del sistema. Ponte en contacto con el fabricante del hardware para ver qué características son compatibles con tu hardware y cómo activarlas.
PC Manager
|
La aplicación Administrador del PC también puede ser útil en este escenario. Para obtener más información, consulte el Administrador de PC de Microsoft. Nota: El Administrador de PC de Microsoft no está disponible en todas las configuraciones regionales. |
|---|