1. Context

Secure Exchanges utiliza ClickOnce para implementar actualizaciones en C:\Users\[nombre de usuario]\AppData\Local\Apps\2.0\

El bloqueo se produce durante la actualización del conector de Secure Exchanges, no durante la instalación inicial.

2. Identificar el bloqueo en Microsoft Defender

2.1 Consulta de Kusto (Búsqueda avanzada)

Eventos del dispositivo

| donde ActionType == "AsrExecutableEmailContentBlocked"

| donde FileName contiene "SecureExchanges"

| Marca de tiempo del proyecto, nombre del dispositivo, nombre del archivo, ruta de la carpeta, SHA256

| Ordenar por marca de tiempo Descripción

2.2 Resultado típico

1. Tipo de acción : AsrExecutableEmailContentBlocked
   
2. Nombre del archivo: SecureExchangesSDK.dll
   
3. Ruta de carpeta : C:\Users\[nombre de usuario]\AppData\Local\Apps\2.0\...
   

3. ¿Por qué está bloqueado SecureExchangesSDK.dll?

1. Administrar la comunicación segura entre Outlook y el servidor
   
2. Confirmar acciones realizadas en Outlook (envío de mensajes cifrados)
   
3. Procesamiento de mensajes cifrados/descifrados
   

Esto no es una amenaza real. Es un falso positivo común en entornos seguros.

4. Principio de seguridad: exclusiones selectivas

Nunca excluya toda la carpeta C:\Users\*\AppData\Local\Apps\2.0\

1. Deshabilitar la protección ASR para todas las aplicaciones ClickOnce
   
2. Crear una vulnerabilidad de seguridad importante
   
3. Permitir que un atacante implemente malware a través de ClickOnce sin ser detectado
   

5. Comprensión de los tipos de exclusiones de ASR

Punto crucial: El tipo de exclusión depende de la herramienta de gestión. Esta distinción es esencial para la seguridad.

6. Archivos a excluir

 C:\Users\*\AppData\Local\Temp\Deployment\*\*\SecureExchangesSDK.dll
 C:\Users\*\AppData\Local\Temp\Deployment\*\*\OSecureExchange.dll
 C:\Users\*\AppData\Local\Temp\Deployment\*\*\OSecureExchange.resources.dll

 C:\Users\*\AppData\Local\Apps\2.0\*\*\SecureExchangesSDK.dll
 C:\Users\*\AppData\Local\Apps\2.0\*\*\OSecureExchange.dll
 C:\Users\*\AppData\Local\Apps\2.0\*\*\OSecureExchange.resources.dll

 C:\Users\*\AppData\Local\Temp\Deployment\*\*\itext.barcodes.dll
 C:\Users\*\AppData\Local\Temp\Deployment\*\*\itext.bouncy-castle-adapter.dll
 C:\Users\*\AppData\Local\Temp\Deployment\*\*\itext.bouncy-castle-connector.dll
 C:\Users\*\AppData\Local\Temp\Deployment\*\*\itext.commons.dll
 C:\Users\*\AppData\Local\Temp\Deployment\*\*\itext.forms.dll
 C:\Users\*\AppData\Local\Temp\Deployment\*\*\itext.io.dll
 C:\Users\*\AppData\Local\Temp\Deployment\*\*\itext.kernel.dll
 C:\Users\*\AppData\Local\Temp\Deployment\*\*\itext.layout.dll
 C:\Users\*\AppData\Local\Temp\Deployment\*\*\itext.pdfa.dll
 C:\Users\*\AppData\Local\Temp\Deployment\*\*\itext.pdfua.dll
 C:\Users\*\AppData\Local\Temp\Deployment\*\*\itext.sign.dll
 C:\Users\*\AppData\Local\Temp\Deployment\*\*\itext.styledxmlparser.dll
 C:\Users\*\AppData\Local\Temp\Deployment\*\*\itext.svg.dll

 C:\Users\*\AppData\Local\Apps\2.0\*\*\itext.barcodes.dll
 C:\Users\*\AppData\Local\Apps\2.0\*\*\itext.bouncy-castle-adapter.dll
 C:\Users\*\AppData\Local\Apps\2.0\*\*\itext.bouncy-castle-connector.dll
 C:\Users\*\AppData\Local\Apps\2.0\*\*\itext.commons.dll
 C:\Users\*\AppData\Local\Apps\2.0\*\*\itext.forms.dll
 C:\Users\*\AppData\Local\Apps\2.0\*\*\itext.io.dll
 C:\Users\*\AppData\Local\Apps\2.0\*\*\itext.kernel.dll
 C:\Users\*\AppData\Local\Apps\2.0\*\*\itext.layout.dll
 C:\Users\*\AppData\Local\Apps\2.0\*\*\itext.pdfa.dll
 C:\Users\*\AppData\Local\Apps\2.0\*\*\itext.pdfua.dll
 C:\Users\*\AppData\Local\Apps\2.0\*\*\itext.sign.dll
 C:\Users\*\AppData\Local\Apps\2.0\*\*\itext.styledxmlparser.dll
 C:\Users\*\AppData\Local\Apps\2.0\*\*\itext.svg.dll

 C:\Users\*\AppData\Local\Temp\Deployment\*\*\BouncyCastle.Cryptography.dll
 C:\Users\*\AppData\Local\Temp\Deployment\*\*\CsvHelper.dll
 C:\Users\*\AppData\Local\Temp\Deployment\*\*\Newtonsoft.Json.dll
 C:\Users\*\AppData\Local\Temp\Deployment\*\*\PhoneNumbers.dll

 C:\Users\*\AppData\Local\Apps\2.0\*\*\BouncyCastle.Cryptography.dll
 C:\Users\*\AppData\Local\Apps\2.0\*\*\CsvHelper.dll
 C:\Users\*\AppData\Local\Apps\2.0\*\*\Newtonsoft.Json.dll
 C:\Users\*\AppData\Local\Apps\2.0\*\*\PhoneNumbers.dll 

Se necesitan varios caracteres comodín (*\*\) para cubrir la estructura de carpeta variable de ClickOnce.

A. Solicitud a través de Intune

Intune le permite configurar exclusiones por regla (ASR Only Per Rule Exclusions), lo que limita el impacto en la seguridad general.

1. Vaya a Seguridad de endpoints → Reducción de la superficie de ataque
   
2. Seleccionar o crear una política de ASR
   
3. Localice la regla " Bloquear contenido ejecutable del cliente de correo electrónico y correo web "
   
4. En Exclusiones por regla solo de ASR , agregue las rutas de la sección 6
   
5. Guardar e implementar la política
   

B. Aplicación mediante GPO (implementación empresarial)

Las exclusiones configuradas a través de GPO se aplican a TODAS las reglas de ASR, no solo a la regla en cuestión.

1. Abra gpedit.msc (o GPMC para un dominio)
   
2. Vaya a: Configuración del equipo → Plantillas administrativas → Componentes de Windows → Antivirus de Microsoft Defender → Protección contra vulnerabilidades de seguridad de Microsoft Defender → Reducción de la superficie de ataque
   
3. Haga doble clic en " Excluir archivos y rutas de las reglas de reducción de la superficie de ataque ".
   
4. Activa la estrategia y agrega las rutas de la sección 6
   
5. Aplicar la estrategia: gpupdate /force
   

C. Aplicación mediante PowerShell

Al igual que con GPO, las exclusiones de PowerShell son GLOBALES y se aplican a todas las reglas de ASR.

Añadir una exclusión:

Add-MpPreference -AttackSurfaceReductionOnlyExclusions "C:\Usuarios\*\AppData\Local\Apps\2.0\*\SecureExchangesSDK.dll"

Obtener-MpPreference | Seleccionar-Objeto -ExpandirPropiedad AtaqueSuperficieReducciónSoloExclusiones

7. Verifique que la excepción funcione

1. Esperar la propagación (hasta 90 minutos para GPO/Intune)
   
2. Probar una actualización de Secure Exchanges en una estación de trabajo *Esto sucede automáticamente cuando se reinicia Outlook
   
3. Consulta Búsqueda avanzada para ver si aparecen nuevos bloques.
   
4. Si no se encuentran resultados → La exclusión está funcionando correctamente
   

Si el problema persiste

1. La exclusión no se aplicó correctamente (verifique la sintaxis).
   
2. GPO/Intune aún no se ha implementado.
   
3. Un conflicto con otra política de seguridad

1. Vuelva a ejecutar la consulta de Kusto para identificar todos los archivos bloqueados
   
2. Compruebe si se están bloqueando nuevas DLL y agréguelas a las exclusiones.
   
3. Verificar la aplicación de las GPO: gpresult /h C:\temp\rapport_gpo.html
   
4. Forzar una actualización: gpupdate /force
   

Referencias de Microsoft

1. Utilice reglas de reducción de la superficie de ataque para prevenir infecciones de malware - Microsoft Defender for Endpoint | Microsoft Learn
2. Información de referencia sobre las reglas de reducción de la superficie de ataque - Microsoft Defender para Endpoint | Microsoft Learn