Microsoft Defender Antivirus en Windows Server desde PowerShell

Objetivo

Comprobar el estado y la antigüedad de las firmas de Microsoft Defender Antivirus, forzar una actualización de firmas, ejecutar un análisis bajo demanda y revisar las exclusiones configuradas en Windows Server desde una sesión de PowerShell, sin la interfaz gráfica.

Requisitos previos

Una sesión de administrador elevada; Windows Server 2016 o posterior, donde Microsoft Defender Antivirus y su módulo de PowerShell Defender están instalados de forma predeterminada (comprobar Get-WindowsFeature Windows-Defender si faltan los cmdlets). Si hay instalado otro producto antivirus, comprobar AMRunningMode en el paso 1: en Windows Server, Defender no pasa a modo pasivo por sí solo.

Pasos

1. Comprobar el estado general y la antigüedad de las firmas en una sola llamada: Get-MpComputerStatus. El cmdlet devuelve campos como AntivirusEnabled, AntivirusSignatureAge y AntivirusSignatureLastUpdated, lo que permite programar un umbral de antigüedad (por ejemplo, marcar todo con AntivirusSignatureAge -gt 2).
2. Forzar una actualización de firmas fuera del calendario normal: Update-MpSignature, documentado como una actualización de «las definiciones antimalware en un equipo»; sin -UpdateSource usa el orden de reserva configurado, y -UpdateSource acepta InternalDefinitionUpdateServer (WSUS), MicrosoftUpdateServer, MMPC o FileShares.
3. Ejecutar un análisis bajo demanda: Start-MpScan -ScanType QuickScan o -ScanType FullScan; Start-MpScan -ScanType CustomScan -ScanPath D:\data analiza una sola carpeta. El cmdlet espera hasta que termina el análisis, lo que en un análisis completo puede tardar horas; añadir -AsJob en sesiones desatendidas.
4. Revisar las exclusiones configuradas antes de confiar en un análisis limpio: Get-MpPreference | Select-Object ExclusionPath, ExclusionExtension, ExclusionProcess. Get-MpPreference «obtiene las preferencias de los análisis y actualizaciones de Windows Defender», incluida cada categoría de exclusión.
5. Aplicar el principio de mínimas exclusiones: eliminar cualquier ruta, extensión o proceso excluido que no esté respaldado por una razón operativa documentada y vigente (un agente de copia de seguridad concreto, un motor de base de datos concreto) con Remove-MpPreference -ExclusionPath <path>; cada exclusión es actividad del sistema de archivos o de procesos que Defender nunca inspecciona. Las exclusiones entregadas por Directiva de grupo o Intune deben cambiarse ahí, o volverán en la siguiente actualización de directiva.
6. Las detecciones se registran en el registro de eventos de Windows en Microsoft-Windows-Windows Defender/Operational y pueden consultarse en PowerShell con Get-MpThreatDetection, que enumera las detecciones recientes con independencia de la salida del análisis en curso.

Resultado esperado

Get-MpComputerStatus informa AntivirusEnabled: True y un AntivirusSignatureLastUpdated reciente; las listas de exclusión de Get-MpPreference coinciden con un conjunto aprobado y documentado; un análisis deliberado de una carpeta que contiene el archivo de prueba EICAR (donde la política permite usarlo) produce una detección visible mediante Get-MpThreatDetection.

Límites y base de verificación

Eliminar una exclusión puede ralentizar una carga de trabajo que dependía de quedar sin analizar; eliminar una a la vez y monitorizar antes de eliminar la siguiente. Para deshacer un cambio de exclusión, volver a añadirla con Add-MpPreference -ExclusionPath <path> (su contraparte para añadir, no para leer, exclusiones) usando el valor obtenido en el paso 4. Ninguno de estos pasos requiere reinicio.