Si usas Windows 10 o Windows 11, ya tienes en casa un antivirus muy digno: Microsoft Defender. El problema es que, tal y como viene de serie, muchos usuarios ni exprimen su nivel de protección ni ajustan su impacto en el rendimiento. Con unos cuantos cambios bien pensados se puede endurecer muchísimo la seguridad y, si quieres, aumentar el nivel de protección sin convertir el PC en un tractor.
En las próximas líneas vas a ver, con todo detalle, cómo reforzar la seguridad de Windows Defender y a la vez afinar su rendimiento: desde las opciones visibles en Seguridad de Windows, pasando por ajustes avanzados con PowerShell y Registro, hasta el nuevo modo de rendimiento para desarrolladores en Windows 11. La idea es clara: reducir riesgos reales (malware, ransomware, robo de identidad…) sin que el equipo vaya a tirones.
Qué es exactamente Microsoft Defender hoy en día
Lo que antes conocíamos como Windows Defender se integra ahora como Seguridad de Windows, un panel que centraliza antivirus, firewall, control de aplicaciones, aislamiento del núcleo, protección de cuentas y opciones familiares. No es solo “el antivirus”, es una capa completa de seguridad que se apoya además en servicios en la nube de Microsoft.
En este ecosistema, Microsoft Defender Antivirus es la pieza que vigila archivos, procesos y descargas en tiempo real, se actualiza varias veces al día, incluidas las actualizaciones de inteligencia de seguridad, y se apoya en el servicio en la nube (MAPS) para decisiones rápidas ante amenazas nuevas. Sobre esa base vamos a construir más protección y mejor rendimiento.
Modo de rendimiento y Dev Drive en Windows 11
En Windows 11 existe una característica pensada sobre todo para desarrolladores: el modo de rendimiento de Microsoft Defender Antivirus, ligado a las nuevas unidades de desarrollo (Dev Drive). No es para todo el mundo, pero si compilas código o trabajas con repos grandes, te interesa tenerlo controlado.
Dev Drive es un tipo especial de volumen basado en ReFS diseñado para cargas de trabajo de desarrollo con mucho acceso a disco. Permite optimizar el sistema de archivos, gestionar mejor la seguridad del volumen, definir confianza y controlar filtros como el antivirus. Sobre estas unidades de desarrollo es donde entra en juego el modo de rendimiento de Defender.
Cuando una Dev Drive se marca como “de confianza”, Defender cambia en ese volumen de un análisis sincrónico a un escaneo asíncrono. Traducido: en lugar de analizar el archivo justo antes de abrirlo (abre ahora, escanea ahora), permite que la operación de apertura se complete y difiere el análisis (abre ahora, analiza después). Esto reduce mucho el impacto en el rendimiento de compilaciones, npm install y demás tareas intensivas.
El precio de esta mejora es que, lógicamente, hay algo menos de protección inmediata que con el modo sincrónico clásico. Aun así, el nivel de defensa sigue siendo muy superior a usar exclusiones masivas de carpetas, que directamente impiden que se escanee nada en esas rutas.
Importante: el modo de rendimiento solo funciona en unidades de desarrollo de confianza, no en la unidad del sistema formateada en NTFS (C:, D:, etc.), y requiere tener la protección en tiempo real activada.
Requisitos previos para usar el modo de rendimiento
Para poder tirar de este modo necesitas, como mínimo, cumplir con estos puntos:
- Windows 11 como sistema operativo.
- Microsoft Defender Antivirus como antivirus principal, sin que otro de terceros se lo coma.
- Protección en tiempo real y basada en la nube activadas.
- Versión de la plataforma antimalware igual o superior a 4.18.2303.8.
- Inteligencia de seguridad antimalware igual o superior a 1.385.1455.0.
Y, por supuesto, haber configurado previamente una Dev Drive. Para ello, desde Windows 11 se puede crear un volumen de este tipo con formato ReFS desde la interfaz de Configuración o desde Administración de discos, siguiendo la guía oficial de “Configurar una unidad de desarrollo”.
Cómo administrar el modo de rendimiento (Intune, GPO, PowerShell)
Si gestionas varios equipos, puedes controlar el estado del modo de rendimiento de Defender de forma centralizada:
Con Intune puedes usar una directiva de configuración OMA-URI:
- Ruta OMA-URI: ./Device/Vendor/MSFT/Defender/Configuration/PerformanceModeStatus
- Tipo de dato: entero.
- Valores: 0 = habilitado (por defecto), 1 = deshabilitado.
Con Directiva de grupo hay una plantilla específica:
- Abrir el Editor de directivas de grupo (gpedit.msc) y navegar a: Configuración del equipo > Plantillas administrativas > Componentes de Windows > Microsoft Defender Antivirus > Protección en tiempo real.
- Editar la directiva Configurar el estado del modo de rendimiento.
- Marcar “Habilitado”, aplicar y aceptar.
Desde PowerShell, basta con un comando ejecutado como administrador:
Set-MpPreference -PerformanceModeStatus Enabled
Para verificar qué volúmenes están en modo de rendimiento, entra en la app Seguridad de Windows, ve a Protección contra virus y amenazas > Administrar la protección de la unidad de desarrollo y pulsa en “Ver volúmenes”. Ahí verás algo así:
- Unidad del sistema (C:, D: NTFS): no apta para modo de rendimiento.
- Dev Drive habilitada pero sin modo de rendimiento activo.
- Dev Drive habilitada y modo de rendimiento Defender activo.
Dejar Windows Defender bien configurado desde su interfaz
Más allá del mundo desarrollador, cualquier usuario debería revisar la configuración de Seguridad de Windows. Hay varios apartados clave que conviene dejar finos si queremos que el sistema esté bien blindado sin montar un circo.
Activar control de aplicaciones y navegador
Lo primero es asegurarse de que el bloque de “Control de aplicaciones y navegador” no está medio apagado. A veces aparece con el icono en amarillo pidiendo que lo actives:
- Abre Seguridad de Windows desde el menú Inicio.
- En la pantalla de inicio, comprueba el apartado “Control de aplicaciones y navegador”.
- Si ves un botón para activar, haz clic y deja el icono en verde.
Este módulo engloba SmartScreen y la protección basada en reputación, que es tu primera barrera contra descargas raras y ejecutables poco fiables.
Ajustes básicos en Protección antivirus y contra amenazas
Dentro de Seguridad de Windows, entra en Protección antivirus y contra amenazas y baja hasta “Configuración de antivirus y protección contra amenazas” > “Administrar la configuración”. Asegúrate de que estas cuatro opciones están activadas:
- Protección en tiempo real.
- Protección basada en la nube.
- Envío automático de muestras.
- Protección contra alteraciones (impide que malware u otros programas cambien la configuración del antivirus).
Con eso marcas el mínimo razonable de seguridad. Si alguna está apagada, Defender pierde mucha eficacia, como muestran guías sobre errores de Windows Defender, especialmente la capa en la nube.
Protección contra ransomware y control de acceso a carpetas
Hay una función muy potente que casi nadie activa: el control de acceso a carpetas, dentro de la protección contra ransomware. Limita qué programas pueden escribir en carpetas críticas como Documentos, Imágenes o Vídeos.
Para habilitarla:
- En “Protección antivirus y contra amenazas”, baja hasta “Protección contra ransomware”.
- Haz clic en “Administrar la protección contra ransomware”.
- Activa “Controla el acceso a la carpeta”.
A partir de ahí, cualquier aplicación no reconocida que intente modificar archivos en esas rutas se verá bloqueada, a menos que la autorices manualmente. Eso implica que al principio es posible que tengas que añadir en la lista de permitidos algún juego o programa que guarde partidas y configuraciones en Documentos.
Protección basada en reputación y SmartScreen
En el menú “Control de aplicaciones y navegador” encontrarás la sección de Protección basada en reputación. Déjala al máximo:
- “Comprobar aplicaciones y archivos”: activado.
- SmartScreen para Microsoft Edge: activado.
- Bloqueo de aplicaciones potencialmente no deseadas: todas las casillas marcadas (apps, sitios, descargas).
- SmartScreen para aplicaciones de Microsoft Store: activado.
De esta forma, cualquier instalador sospechoso descargado de Internet pasará por un buen filtro antes de ejecutarse, y Edge bloqueará webs fraudulentas o cargadas de malware con más agresividad.
Protección contra vulnerabilidades (Exploit protection)
Dentro también de “Control de aplicaciones y navegador” está la protección contra vulnerabilidades. Aquí puedes aplicar mitigaciones a nivel global o por programa. Hay una opción especialmente interesante: “Forzar la selección aleatoria de imágenes (ASLR obligatorio)”.
Por compatibilidad suele venir desactivada. Si quieres reforzar la seguridad y tu software es relativamente moderno, puedes ponerla en “De manera predeterminada” y reiniciar el equipo. Esto obliga a que las bibliotecas se carguen en direcciones de memoria aleatorias, haciendo la vida más difícil a ciertos exploits.
Otras opciones avanzadas: navegación aislada, aislamiento del núcleo
Algunos equipos ofrecen la opción de navegación aislada para Edge (Application Guard), que lanza el navegador en un contenedor separado del sistema. Si solo usas Edge y tienes hardware compatible, puede merecer la pena activarla (ver cómo activar sandbox).
En “Aislamiento del núcleo” verás la “Integridad de memoria”. Esta función evita que código malicioso se inyecte en procesos de alto privilegio, pero en equipos antiguos puede causar caídas de rendimiento apreciables. En PCs recientes con virtualización por hardware activada suele ir mejor y es un buen refuerzo extra; en máquinas justitas, puedes dejarla desactivada para no sufrir.
Subir el nivel de defensa de Defender con PowerShell
Si quieres ir un paso más allá, puedes endurecer bastante Microsoft Defender usando Set-MpPreference desde PowerShell. Es importante abrir PowerShell como administrador o muchos comandos te darán error.
Aumentar frecuencia y calidad de las firmas
Lo primero es asegurarse de que el motor de firmas está siempre al día:
Set-MpPreference -SignatureUpdateInterval 1 Set-MpPreference -CheckForSignaturesBeforeRunningScan $True
Con esto, Defender buscará actualizaciones cada hora y, además, comprobará si hay nuevas firmas justo antes de iniciar un análisis manual o programado.
Activar y reforzar MAPS y bloqueo en la nube
El servicio Microsoft Active Protection Service (MAPS) permite que Defender tome decisiones apoyándose en la nube, especialmente útil para malware muy nuevo. Puedes ponerlo en modo avanzado:
Set-MpPreference -MAPSReporting 2
En este modo, el sistema comparte más datos con Microsoft sobre software potencialmente malicioso (nombres de archivo, comportamiento, etc.). A cambio, ganas en eficacia en detecciones de día cero.
Para el envío de muestras, puedes afinar así:
Set-MpPreference -SubmitSamplesConsent SendSafeSamples
Este ajuste limita el envío automático a muestras consideradas seguras (sin datos demasiado sensibles). Otros valores posibles son AlwaysPrompt, NeverSend o SendAllSamples.
Para hacer que la nube sea más agresiva bloqueando ejecutables sospechosos:
Set-MpPreference -CloudBlockLevel 4
Los niveles van desde 0 (por defecto) hasta 6 (tolerancia cero). El valor 4 equivale a un modo alto+, bastante estricto sin llegar al máximo absoluto.
También conviene asegurarse de que Defender bloquea lo que ve por primera vez hasta analizarlo:
Set-MpPreference -DisableBlockAtFirstSeen $False
Y si tu conexión es lenta o tienes picos de latencia, puedes ampliar el tiempo máximo que el ejecutable queda retenido mientras se analiza en la nube:
Set-MpPreference -CloudExtendedTimeout 50
De este modo, la nube tiene hasta 50 segundos para responder antes de liberar o bloquear definitivamente el archivo.
Endurecer la protección contra aplicaciones potencialmente no deseadas
Las PUA/PUW (aplicaciones potencialmente no deseadas) son esas “ofertas” que vienen de regalo en instaladores, barras de herramientas y demás fauna molesta. Para mantenerlas a raya:
Set-MpPreference -PUAProtection Enabled (Get-MpPreference).PUAProtection
El segundo comando te devuelve el estado. Si ves un 1, está activado; 0 significa desactivado.
Validar la conexión con MAPS
Para asegurarte de que el PC llega bien al servicio en la nube, puedes lanzar:
"C:\Program Files\Windows Defender\mpCmdRun.exe" -validatemapsconnection
Si devuelve “successfully established”, la comunicación está en orden y todo lo que has configurado a nivel de nube y MAPS tiene efecto real.
Ajustes avanzados de Registro para máxima agresividad
Si no te asusta tocar el Registro, hay varias claves que permiten afinar todavía más cómo se comporta Defender. Antes de nada, eso sí, haz copia del registro o crea un punto de restauración por si necesitas volver atrás.
Abre el editor de registro (Win + R > regedit) y navega a:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender
Ahí vas a crear dos subclaves nuevas: MpEngine y Spynet.
Claves en MpEngine
En la clave MpEngine añade:
- Valor DWORD (32 bits) MpBafsExtendedTimeout con valor 0x19 (25 en decimal) o el que definas según tus necesidades, para prolongar el tiempo máximo de bloqueo de archivos sospechosos mientras se analizan.
- Valor DWORD (32 bits) MpCloudBlockLevel con valor 2 (hexadecimal) para incrementar la agresividad de bloqueo en la nube por encima de los valores estándar.
Con esto logras que Defender retenga más tiempo archivos dudosos y sea más duro al decidir bloquearlos si su comportamiento o reputación no convence.
Claves en Spynet
En la clave Spynet crea estos valores DWORD de 32 bits:
- DisableBlockAtFirstSeen con valor 0 (mantiene activo el bloqueo en la primera vista).
- SpynetReporting con valor 2 (modo avanzado de participación, similar a MAPSReporting 2).
- LocalSettingOverrideSpynetReporting con valor 1 (permite que la configuración local prevalezca sobre directivas de grupo).
- SubmitSamplesConsent con valor 1 cuando quieres que las muestras se envíen automáticamente según el nivel de telemetría configurado.
Tras aplicar estos cambios, reinicia el equipo. A partir de ese momento, Defender tendrá un comportamiento aún más agresivo frente a amenazas recientes, pero también enviará más datos a Microsoft, algo que debes valorar desde el punto de vista de privacidad.
Elegir bien qué se analiza y qué no: exclusiones con cabeza
Defender permite excluir de sus análisis archivos, carpetas, extensiones o procesos completos. Es una herramienta muy útil para reducir conflictos y ganar rendimiento, pero si se usa mal se convierte en un agujero del tamaño de una catedral.
Para configurar exclusiones, consulta cómo excluir aplicaciones:
- Abre Seguridad de Windows > “Protección antivirus y contra amenazas”.
- Haz clic en “Administrar la configuración”, dentro de “Configuración de antivirus y protección contra amenazas”.
- Baja hasta “Exclusiones” y pulsa “Agregar o quitar exclusiones”.
- Elige qué vas a excluir: archivo, carpeta, tipo de archivo o proceso.
Lo sensato es usar exclusiones de forma muy quirúrgica, por ejemplo, para:
- Rutas temporales de herramientas de desarrollo que ya estén protegidas por el modo de rendimiento de Dev Drive.
- Algún ejecutable corporativo que sabes al 100 % que es seguro y siempre lo marca como falso positivo.
Evita excluir carpetas como Descargas, Escritorio o Documentos, porque es justo donde suelen caer las amenazas reales.
Buenas prácticas de rendimiento cuando Defender “lastra” el sistema
Si notas que el antivirus se come la máquina (ventiladores a tope, congelones, etc.), conviene descartar antes problemas subyacentes que no son culpa directa de Defender.
Revisar otros antivirus y hacer un arranque limpio
Lo primero es verificar que no tienes otro antivirus en paralelo. Tener Defender más un tercero suele provocar choques de escaneos y consumo doble de recursos. Desinstala o desactiva cualquier solución adicional y deja solo Defender.
Después, puedes probar un inicio en limpio para ver si hay servicios de terceros interfiriendo:
- Ejecuta msconfig y en la pestaña “Servicios” marca “Ocultar todos los servicios de Microsoft” y desactiva el resto.
- En la pestaña “Inicio de Windows” abre el Administrador de tareas y deshabilita todo lo que no sea imprescindible.
- Reinicia y comprueba si el rendimiento mejora mientras Defender está activo.
Si en este escenario el PC va fluido, el problema suele estar en algún software concreto o driver conflictivo, no en Defender como tal.
Reparar archivos de sistema y limpiar el equipo
Si hay archivos corruptos, Defender puede pasarse el día peleando con ellos y degradar el rendimiento. Usa las herramientas de reparación de sistema:
sfc /scannow dism /online /cleanup-image /restorehealth
Ejecuta primero SFC y, si encuentra errores, después DISM. A continuación, asegura que Windows y las definiciones de Defender están totalmente actualizados desde Windows Update.
No está de más pasar un solucionador oficial de Microsoft para rendimiento general y revisar el uso de disco con el Monitor de recursos para ver si algún proceso dispara el porcentaje al 100 % de forma constante.
Capas adicionales de seguridad y privacidad en Windows
Más allá del antivirus, el propio sistema operativo ofrece varias piezas que, combinadas, suben mucho el listón de seguridad sin necesidad de instalar nada extra.
Contraseña, PIN o biometría y caducidad de credenciales
Resulta sorprendente la cantidad de ordenadores que se inician directamente sin contraseña ni PIN. Para proteger el acceso local:
- Ve a Configuración > Cuentas > Opciones de inicio de sesión.
- Configura Windows Hello (PIN, huella, reconocimiento facial) o, como mínimo, una contraseña robusta.
En entornos donde interese que la clave cambie cada cierto tiempo, puedes forzar la caducidad:
- Abre Ejecutar > netplwiz y ve a la pestaña “Opciones avanzadas”.
- Entra en “Opciones avanzadas” de “Administración avanzada de usuario” y abre Usuarios y grupos locales.
- En el usuario correspondiente, desmarca “La contraseña nunca expira”.
También puedes hacerlo desde consola, activando la caducidad global:
wmic UserAccount set PasswordExpires=True
Y para un usuario concreto:
wmic UserAccount where Name="NombreUsuario" set PasswordExpires=True
Control de cuentas de usuario (UAC) y tipo de cuenta
El UAC es ese aviso que aparece pidiendo permiso cuando un programa quiere hacer cambios importantes. Es tentador bajarlo o desactivarlo, pero es una barrera crítica frente a malware que intenta colarse con privilegios elevados.
Comprueba su estado desde Panel de control > Sistema y seguridad > Seguridad y mantenimiento > Seguridad. Asegúrate de que el control de cuentas de usuario está activado y en un nivel razonablemente estricto.
Además, plantéate usar una cuenta local estándar para el día a día, manteniendo una cuenta de administrador solo para tareas puntuales. Esto reduce muchísimo el impacto de cualquier ataque que se cuele a través del navegador o de un adjunto malicioso.
Cuenta local vs. cuenta Microsoft
Una cuenta Microsoft permite sincronizar configuraciones y usar servicios en la nube, pero también implica más superficie de ataque online. Si prefieres maximizar privacidad y reducir dependencia de servicios externos, puedes usar una cuenta local.
Si ya tienes cuenta Microsoft vinculada:
- Ve a Configuración > Cuentas > Tu información.
- Pulsa en “Iniciar sesión con una cuenta local en su lugar”.
- Sigue el asistente y luego cierra sesión.
Eso sí, si quieres aprovechar al máximo funciones como sincronización de OneDrive o monitorización de robo de identidad de Defender, la cuenta Microsoft es prácticamente obligatoria.
Control parental y supervisión familiar
Si hay menores usando el equipo, el módulo de Opciones de familia en Seguridad de Windows es un aliado importante. Funciona vinculado a cuentas Microsoft infantiles y permite:
- Revisar actividad online y tiempo de pantalla.
- Restringir qué webs pueden visitar o bloquear categorías peligrosas.
- Limitar qué juegos y aplicaciones pueden ejecutar.
- Establecer horarios y tiempo máximo de uso diario.
Todo esto se gestiona desde la web de familia Microsoft o desde la propia app Mi Defender, si la tienes instalada.
Monitorización de robo de identidad con Mi Defender
Una de las funciones más recientes de Defender es la supervisión de identidad, integrada con tecnología de Experian y orientada a vigilar si tus datos personales acaban circulando por la red oscura.
Para configurarla:
- Abre Mi Defender (la versión moderna de la aplicación de seguridad).
- Entra en el apartado de robo de identidad y pulsa en “Introducción”.
- Crea tu perfil indicando los datos que quieres proteger (email, teléfono, etc.).
- Si quieres, añade miembros de la familia para que también queden cubiertos.
A partir de ahí, el sistema escaneará fuentes conocidas de filtraciones y te avisará si localiza tus datos en listas de credenciales robadas, de modo que puedas cambiar contraseñas y tomar medidas a tiempo.
Firewall, proveedores y notificaciones: pulir los últimos detalles
La parte de firewall suele venir bien configurada de serie, pero conviene asegurarse de que está activa en todos los perfiles (dominio, privado y público) desde “Firewall y protección de red” en Seguridad de Windows.
En el enlace “Administrar proveedores” podrás ver qué módulo se encarga de antivirus, firewall y protección web. Lo normal es que aparezca Microsoft Defender en antivirus y firewall; si hay otro programa tomando el control, tendrás que decidir cuál quieres que mande de verdad.
Por último, la sección de notificaciones de Seguridad de Windows deja afinar qué avisos ver y cuáles no. Es útil reducir un poco el ruido desactivando notificaciones meramente informativas (por ejemplo, “último análisis correcto, cero amenazas”), manteniendo activos solo los avisos críticos y los relacionados con bloqueos reales o problemas de configuración; si necesitas, aprende cómo desactivar las notificaciones.
Con todo este conjunto de ajustes —desde el modo de rendimiento en Dev Drive y el refuerzo por PowerShell y Registro, hasta las opciones de ransomware, reputación, UAC, firewall y supervisión de identidad— Microsoft Defender pasa de ser “el antivirus que viene por defecto” a una suite de seguridad muy seria y bastante ligera. Dedicar un rato a dejarlo a tu gusto marca la diferencia entre un Windows que solo “se defiende” y un sistema que realmente te protege sin que tengas la sensación de arrastrar un ancla cada vez que enciendes el PC.
