Cómo saber si tu antivirus está ralentizando el sistema

Muchas veces instalamos un antivirus, lo dejamos trabajando en segundo plano y nos olvidamos de que está ahí… hasta que el ordenador empieza a ir más lento y nos preguntamos si tiene algo que ver. Saber si el antivirus está lastrando el rendimiento del sistema es clave para evitar cuelgues, esperas eternas y una mala experiencia de uso en el día a día.

En este artículo vas a ver, con todo lujo de detalles, cómo funcionan los antivirus por dentro, por qué pueden ralentizar Windows, cómo comprobar si realmente son los culpables en tu caso y qué ajustes puedes aplicar para reducir ese impacto, tanto en equipos domésticos como en entornos empresariales.

Cómo y por qué un antivirus puede ralentizar tu sistema

Un antivirus moderno no es un simple programita que se abre cuando tú quieres; en realidad es un conjunto de servicios que se ejecutan de forma constante desde que enciendes el equipo hasta que lo apagas. Suele incluir un monitor residente que actúa como controlador del sistema de archivos, interceptando cada lectura y escritura de datos.

Eso significa que cada vez que un programa lee o guarda un archivo en disco (documentos, fotos, bases de datos, copias de seguridad, etc.), el antivirus analiza ese flujo de datos antes de permitir que la operación continúe. Si detecta algo sospechoso, bloquea la operación, pone el archivo en cuarentena o intenta “curarlo” borrando el código malicioso. Para reducir la latencia en transferencias y lecturas intensivas conviene revisar cómo funciona la caché de escritura en disco y sus efectos prácticos en E/S: activar la caché de escritura puede ayudar en ciertos escenarios.

Este funcionamiento tiene un coste inevitable: consume CPU, memoria RAM y tiempo de E/S de disco. Aunque hoy en día los procesadores son potentes y muchas tareas ofimáticas dejan margen de sobra, el tiempo adicional que añade el filtro del antivirus a cada operación de disco se nota especialmente cuando se trabaja con miles de archivos o con ficheros muy grandes.

Con protección residente básica (sin heurística avanzada ni escaneo profundo de archivos comprimidos o correo) es habitual que las operaciones de lectura se ralenticen entre un 15 % y un 100 %. Si se activan análisis más exhaustivos, escaneo de archivos comprimidos, correos y análisis heurísticos agresivos, el tiempo extra puede dispararse hasta un 250-600 %, es decir, que una operación de disco llegue a tardar hasta seis veces más.

Para un usuario doméstico abrir un documento en 50 ms o en 300 ms puede ser asumible, pero en procesos automáticos que manejan decenas de miles de archivos (por ejemplo copias de seguridad completas o servidores de ficheros) esa diferencia multiplica horas de espera y puede convertir una ventana de backup nocturno en algo imposible de completar a tiempo.

Funciones extra del antivirus que también consumen recursos

Además del motor básico, muchos productos integran funciones adicionales como VPN, cortafuegos, controles parentales o extensiones para navegador. Todo esto suma procesos residentes, más memoria ocupada y más inspecciones de tráfico de red o de páginas web. Si buscas comparar características de suites de seguridad y sus componentes adicionales, por ejemplo los que incluyen antivirus “todo en uno”, revisa las características de AVG para entender cómo influyen en recursos.

Si tu equipo es algo justo de recursos, tener un paquete de seguridad “todo en uno” puede suponer que el sistema se vuelva perezoso al abrir aplicaciones pesadas, al jugar online o al trabajar con herramientas de edición de vídeo, audio o imagen. Incluso en equipos potentes, varias capas de seguridad mal configuradas o duplicadas pueden generar cuellos de botella.

También es frecuente que el antivirus ejecute análisis programados en momentos poco oportunos, como cuando estás en plena videollamada o jugando. Un escaneo completo puede llegar a consumir una cantidad muy alta de CPU y disco (en algunos casos más del 50 % del rendimiento disponible), lo que se nota en tirones, ventiladores al máximo y aplicaciones que responden tarde.

En dispositivos móviles ocurre algo parecido: las apps de seguridad que analizan constantemente el sistema, el tráfico web o todas las aplicaciones instaladas pueden disparar el uso de CPU y la batería, especialmente en teléfonos más antiguos o de gama baja.

Cómo comprobar si el antivirus está afectando al rendimiento

Para salir de dudas y no culpar injustamente al antivirus, conviene hacer una pequeña comprobación. En Windows, la forma más directa es acudir al Administrador de tareas para ver el consumo real de recursos del software de seguridad mientras usas el equipo de forma normal.

En Windows 10 y Windows 11, puedes abrirlo con Ctrl + Shift + Esc o con clic derecho en el botón Inicio y eligiendo Administrador de tareas. En la pestaña “Procesos” verás el listado de programas en ejecución, y normalmente aparecerá el nombre comercial del antivirus o procesos como MsMpEng.exe en el caso de Microsoft Defender.

Fíjate en las columnas de CPU, memoria, disco y red para comprobar qué porcentaje está consumiendo el antivirus. Haz esta comprobación en dos momentos: durante un uso normal y mientras se ejecuta un análisis rápido o completo. Si ves picos muy altos, especialmente de CPU y disco, es un indicador claro de que el antivirus tiene un impacto importante.

Ten en cuenta que el consumo no es constante: cuando el antivirus ejecuta un examen completo o analiza archivos muy complejos (por ejemplo, grandes ISOs, VHDX o archivos comprimidos con muchos ficheros dentro) el uso de recursos se dispara durante un rato y luego se estabiliza.

En entornos profesionales también se pueden usar herramientas más avanzadas, como el Analizador de rendimiento para Microsoft Defender, Process Monitor (ProcMon) o la Windows Performance Recorder (WPR/WPRUI). Estas utilidades permiten capturar trazas de unos minutos mientras se reproduce el problema y luego analizar exactamente qué componente del antivirus o qué ruta de archivos está originando el cuello de botella.

Factores frecuentes que disparan el uso de CPU en Microsoft Defender

Si utilizas Microsoft Defender como antivirus principal, hay una serie de situaciones muy concretas que suelen provocar un uso elevado de CPU y de disco por parte del servicio antimalware (MsMpEng.exe). Conocerlas ayuda a ajustar la configuración o a pedir cambios al proveedor del software implicado.

Un primer motivo típico son los archivos binarios no firmados (exe, dll y otros). Cada vez que se ejecuta o carga un binario sin firma digital, Defender lanza análisis de protección en tiempo real y también durante escaneos programados o bajo demanda. En entornos corporativos, es recomendable firmar internamente estos binarios mediante una PKI propia o pedir al proveedor que firme su software y registrar el certificado como permitido.

Otro escenario problemático es usar formatos como HTA, CHM o ficheros no pensados como bases de datos para almacenar información estructurada. Defender tiene que descomponer y analizar esos formatos complejos, lo que aumenta considerablemente el consumo de CPU. Siempre que sea posible, conviene migrar esa información a bases de datos reales o, como mal menor, definir exclusiones bien controladas.

También influyen las ofuscaciones agresivas en scripts. Si un script está muy ofuscado, Defender necesita dedicar más esfuerzo para comprobar si oculta cargas maliciosas, elevando el uso de CPU durante el examen. En desarrollo interno, lo ideal es usar ofuscación solo cuando sea estrictamente necesario y, si aplica, excluir procesos o rutas concretas.

Otro punto delicado es no dejar que la caché de Defender se estabilice antes de sellar una imagen VDI en entornos de escritorio virtual no persistente. Si se congela la imagen sin que la caché esté bien construida, cada arranque puede disparar trabajo extra de análisis. Lo recomendable es seguir las guías específicas de configuración de Defender en infraestructuras de escritorio remoto o VDI.

Además, unas exclusiones mal definidas o escritas con errores pueden causar tanto consumos innecesarios como agujeros de seguridad. Para validarlas se puede usar la herramienta MpCmdRun.exe con el parámetro -CheckExclusion -Path, comprobando que las rutas y procesos excluidos son los correctos.

Por último, cuando se habilita la característica de cálculo de hash de archivos para indicadores de archivo, cada lectura o copia de archivos grandes (por ejemplo desde un recurso compartido de red o a través de VPN) conlleva un cálculo adicional, lo que supone más carga de CPU. Es una decisión de equilibrio entre seguridad y rendimiento: se puede desactivar esta característica si el impacto es demasiado alto, sabiendo que afectará a la funcionalidad basada en hashes.

Identificar qué componente del antivirus causa la carga

No todo el consumo proviene del mismo sitio; en Microsoft Defender y otros antivirus se distinguen varios componentes que generan carga: protección en tiempo real, exámenes programados, análisis tras actualizaciones y módulos de red o comportamiento. Ajustarlos de forma fina puede marcar una diferencia enorme.

La primera comprobación suele ser la protección en tiempo real (RTP). En entornos administrados se puede usar el modo de solución de problemas: se desactiva temporalmente la protección contra alteraciones, se desmarca la protección en tiempo real durante unos minutos y se comprueba si el uso de CPU baja de forma significativa. Si lo hace, ya sabes que el cuello de botella está en la inspección permanente de archivos y eventos.

En segundo lugar hay que revisar la configuración de los exámenes programados. Defender permite definir la prioridad de CPU de los análisis, el porcentaje máximo de CPU que pueden usar y si solo se ejecutan cuando el equipo está inactivo. Establecer la prioridad baja hace que otros procesos de usuario tengan preferencia, y reducir el límite de uso de CPU (por ejemplo de 50 % a 20-30 %) mejora la experiencia a costa de que el análisis tarde más.

También se puede configurar cada cuánto tiempo se ejecutan los análisis rápidos diarios y en qué horario, así como los escaneos semanales completos. Usar los valores “Not configured” para muchos de estos parámetros deja que el comportamiento por defecto de Defender se combine con el criterio de inactividad del sistema, reduciendo interferencias con el trabajo diario.

Un tercer foco son los análisis que se disparan automáticamente tras una actualización de inteligencia de seguridad (las firmas). Por defecto, Defender realiza un escaneo al recibir nuevas definiciones para garantizar protección óptima, lo que puede dar la impresión de exámenes “fantasma” fuera de la programación. Es posible desactivar este comportamiento mediante directiva de grupo si se prioriza rendimiento sobre ese plus de seguridad.

Tampoco hay que olvidar los posibles conflictos con otros programas de seguridad (antivirus de terceros, EDR, DLP, VPNs corporativas, gestores de privilegios, etc.). Cuando dos soluciones intentan inspeccionar los mismos flujos, el impacto en rendimiento se multiplica. Lo recomendable es excluir recíprocamente procesos y rutas de cada producto en el otro y evitar tener más de un antivirus con protección en tiempo real activo a la vez.

Por último, si el sistema maneja un número muy grande de archivos o carpetas, especialmente en perfiles de usuario redirigidos a recursos compartidos de red, OneDrive u otras soluciones similares, cada análisis recorre rutas con mayor latencia que un disco local. Ficheros enormes como ISO, VHD o VHDX en Escritorio, Descargas o Documentos pueden alargar muchísimo los escaneos; es mejor moverlos a carpetas fuera del perfil o a unidades de red no sometidas a la misma política de análisis.

Antivirus y copias de seguridad: un binomio delicado

En servidores de ficheros y de respaldo es donde más se nota el efecto del antivirus sobre el rendimiento global. Aquí no hablamos de abrir cuatro documentos, sino de copiar cientos de miles de archivos cada noche y mantener bases de datos críticas en funcionamiento continuo.

Imagina un equipo con Windows y unos 51.000 archivos entre sistema y datos de usuario. Una copia de seguridad completa podría tardar alrededor de 30 minutos si no hay interferencias. Con el monitor antivirus activo y análisis avanzados, ese tiempo puede multiplicarse por varias veces, llegando a horas, lo que se traduce en copias que no terminan dentro de la ventana de mantenimiento y afectan al resto de tareas.

En servidores de archivos grandes, con más de 500.000 ficheros, una copia completa con monitor activo puede tardar docenas de horas. A eso se añade la posibilidad de que el antivirus bloquee temporalmente algunos archivos mientras los analiza, provocando errores tipo “no se puede abrir el archivo”, “no se puede encontrar el archivo” o tamaños de archivo aparentemente corruptos (por ejemplo, ver 0 bytes donde hay 100 KB).

En el caso de servidores de backup como los que usan sistemas tipo Ferro Backup System, el problema es aún más delicado: las estaciones envían paquetes comprimidos (por ejemplo ZIP) al servidor, que los guarda en disco. El antivirus detecta operaciones de escritura intensivas y, al ver archivos comprimidos, intenta escanearlos a fondo, cargando el procesador y bloqueando la escritura durante bastante tiempo.

Si durante ese proceso se corta la conexión con la estación de trabajo por tiempo de espera, se intentan retransmitir paquetes, con riesgo de que la copia quede incompleta. Y si el antivirus decide “curar” un archivo con malware dentro de un ZIP de copia de seguridad, puede alterar la integridad de ese backup, rompiendo la estructura comprimida o dejando huecos en los datos.

Algo parecido sucede con bases de datos y sistemas de correo. Retrasos de 1-2 segundos a la hora de bloquear partes de un archivo de base de datos pueden provocar errores de “tiempo de espera de transacción”, detención de servicios o violación de la integridad de los datos. Por eso, en servidores críticos conviene diseñar con mucho cuidado qué rutas y procesos están bajo monitorización continua.

Buenas prácticas de configuración en entornos empresariales

En redes corporativas no basta con instalar un antivirus y listo; hay que definir políticas claras, exclusiones bien pensadas y un equilibrio razonable entre seguridad y rendimiento. Aplicar algunos principios básicos evita sustos y problemas de productividad.

La primera recomendación es establecer una política corporativa de soluciones aprobadas. Es decir, decidir qué antivirus o suite de seguridad pueden usarse y desautorizar instaladores no controlados. Esto facilita el soporte técnico, la negociación de licencias por volumen y asegura que todo se integra correctamente con otras herramientas de seguridad como EDR o SIEM.

Después es fundamental automatizar la monitorización del estado del antivirus. En lugar de revisar equipo por equipo, se pueden utilizar scripts programados en PowerShell que consulten el estado con comandos como Get-MpComputerStatus en Windows Defender o que interroguen la clase AntiVirusProduct en el espacio de nombres root/SecurityCenter2 mediante CIM/WMI, recopilando información de toda la flota.

Estas comprobaciones permiten ver qué antivirus está instalado, su versión, si la protección en tiempo real está activa y si las firmas están al día. A la vez, facilitan la detección de dispositivos sin protección o con software duplicado. En plataformas de gestión de experiencia digital (DEX), esta visibilidad se integra en paneles centralizados, con alertas cuando un endpoint incumple la política.

Otra práctica esencial es mantener las actualizaciones al día: tanto las definiciones de virus (al menos a diario) como el motor del antivirus y el propio sistema operativo. Un antivirus desactualizado no solo protege menos, sino que puede generar más falsos positivos o rendir peor, al no aprovechar optimizaciones recientes del motor.

Por último, merece la pena documentar de forma sistemática qué solución de seguridad lleva cada equipo, cuándo se actualizó por última vez, incidentes relevantes y cambios de configuración (por ejemplo, exclusiones de procesos de backup o de bases de datos). Esta documentación ayuda en auditorías (RGPD, ENS, PCI DSS, etc.) y facilita la resolución de problemas futuros.

Cómo saber qué antivirus tienes y evitar conflictos

Antes de optimizar nada necesitas saber exactamente qué solución antivirus está instalada y si hay más de una activa. Tener dos programas de este tipo trabajando en tiempo real al mismo tiempo es casi garantía de conflictos y pérdida de rendimiento.

En Windows 10 y 11 puedes comprobarlo de forma muy visual desde la Configuración del sistema. Basta con ir a Inicio > Configuración > Privacidad y seguridad > Seguridad de Windows > Protección contra virus y amenazas. En esa pantalla se muestra con claridad qué proveedor de antivirus está activo en ese momento.

Además, puedes acudir a Configuración > Aplicaciones > Aplicaciones instaladas (o “Aplicaciones y características” en Windows 10) y revisar la lista en busca de nombres conocidos como Norton, McAfee, Kaspersky, Bitdefender, Avast, AVG, ESET o soluciones corporativas tipo CrowdStrike, SentinelOne, Carbon Black, etc. Esto te sirve tanto para identificar el antivirus principal como restos de productos viejos mal desinstalados.

En entornos profesionales, PowerShell ofrece una forma más técnica y automatizable. Comandos como Get-MpComputerStatus muestran detalles de Windows Defender (protección en tiempo real, versiones, fechas de actualización, etc.), mientras que Get-CimInstance -Namespace root/SecurityCenter2 -ClassName AntiVirusProduct o la consulta WMI equivalente con Get-WmiObject enumeran todos los antivirus registrados en el sistema, indicando su estado y la ruta al ejecutable firmado.

Para soporte remoto o scripts legacy, el Símbolo del sistema todavía puede ser útil mediante la orden wmic /namespace:\\root\securitycenter2 path antivirusproduct get displayname,productstate, que devuelve de forma rápida el nombre y estado de los productos de seguridad activos.

Si detectas más de un antivirus residente, lo más prudente es elegir uno como solución principal y desinstalar el resto usando las herramientas oficiales del fabricante. En muchos casos, Windows Defender se desactiva automáticamente al instalar un antivirus compatible de terceros, pero si este no se registra correctamente o no es reconocido, Defender puede seguir activo y generar esa doble protección que penaliza el rendimiento.

Gestión de antivirus, DEX y seguridad avanzada

En organizaciones con muchos endpoints, la comprobación manual se vuelve inviable. Aquí entran en juego las plataformas de gestión de experiencia digital (DEX) y soluciones de inventario centralizado, que integran el estado del antivirus con otros indicadores de salud del dispositivo.

Este tipo de plataformas despliegan un agente que recopila métricas de rendimiento, servicios en ejecución, registros de eventos y, entre otros datos, el antivirus instalado, su versión y su estado. Así es posible ver, de un vistazo, qué equipos tienen antivirus, si está actualizado y cómo se comporta respecto al rendimiento del sistema.

Además, muchas soluciones DEX permiten correlacionar problemas de rendimiento con la actividad del antivirus, detectar tendencias (por ejemplo, una versión concreta del motor que provoca más consumo) y automatizar acciones correctivas: desde forzar una actualización hasta empujar cambios de política o exclusiones en lote.

Es importante entender que el antivirus es solo una capa de una estrategia de defensa en profundidad. Para protegerse de amenazas modernas (día cero, APT, ransomware sofisticado o ataques sin archivos) conviene combinarlo con firewalls de endpoint, soluciones EDR, segmentación de red y controles de privilegios mínimos. El antivirus sigue siendo la base, pero no lo cubre todo.

Todo esto debe ir alineado con las exigencias normativas en España y la UE: RGPD, Esquema Nacional de Seguridad (ENS) para administraciones públicas, PCI DSS si se procesan pagos, o estándares sectoriales específicos en sanidad, banca, etc. Estas normas suelen exigir no solo tener herramientas de protección, sino poder demostrar, con registros y evidencias, que se gestionan y supervisan adecuadamente.

Para los usuarios finales y empleados, la parte técnica debe ir acompañada de formación y concienciación. Un antivirus muy potente no sirve de mucho si los usuarios ignoran las alertas, instalan software dudoso o caen de forma recurrente en campañas de phishing. Combinar buenas herramientas con buenas prácticas humanas es lo que realmente reduce el riesgo.

Teniendo todo esto en cuenta, se puede decir que un antivirus bien elegido, correctamente configurado y monitorizado no tiene por qué convertir tu ordenador en un caracol: es cuestión de equilibrar seguridad, rendimiento y facilidad de gestión para que la protección no se convierta en el problema.