Cómo automatizar el escalado de alertas de Defender a sistemas PSA

Microsoft Defender for Endpoint ofrece alertas de seguridad potentes y en tiempo real. Sin embargo, los técnicos de TI pueden pasarlas por alto si no se escalan al sistema PSA del MSP. Automatizar el escalado de alertas y la creación de tickets cierra la brecha entre la detección y la respuesta. Además, integrar Defender con un software PSA permite que los técnicos actúen de inmediato ante las amenazas.

Si prefieres una explicación visual del tema, mira Cómo automatizar el escalado de alertas de Defender a sistemas PSA.

Microsoft Power Automate para el escalado de alertas

Microsoft Defender incluye Power Automate, una herramienta integrada que convierte automáticamente las alertas de Defender en tickets de servicio accionables sin necesidad de escribir scripts personalizados. Para usarla y automatizar el escalado de alertas de Defender a sistemas PSA necesitas acceso de administrador a Microsoft Power Automate.

Cómo crear un token de API en Microsoft Defender para sistemas PSA:

1. Usa el conector de Defender for Cloud Apps y selecciona «When an alert is generated» como desencadenador.
2. Añade acciones para definir tu lógica de respuesta: notificar, escalar o aislar.
3. Ve a Defender for Cloud Apps > Policy Management y edita la política correspondiente.
4. Activa Send Alerts to Power Automate y selecciona tu playbook.

Descubre más sobre cómo usar Power Automate para simplificar los flujos de trabajo de los MSP.

Si tu organización no tiene una suscripción a Microsoft Power Automate, puedes seguir estos pasos para generar informes de rendimiento de TI.

Formas de automatizar el escalado de alertas de Defender a sistemas PSA

Puedes automatizar el escalado de alertas de Defender a sistemas PSA recuperando las alertas de Defender, dando formato a la carga útil de la alerta, activando un webhook, programando el sondeo de alertas, añadiendo un registro de auditoría o usando directivas de grupo para mejorar el registro y el contexto de las alertas.

📌 Requisitos previos:

• Microsoft 365 Defender Plan 2 o Microsoft 365 E5
• Acceso por API a tu sistema PSA
• Permisos de Microsoft Graph: SecurityEvents.Read.All, Incident.Read.All, Alert.Read.All
• Registro de aplicación en Azure AD para la autenticación de la automatización
• Acceso de administrador a NinjaOne, al RMM o al motor de scripting
• PowerShell 7+ y el módulo Graph SDK

📌 Estrategias de implementación recomendadas:

Haz clic para elegir un método	💻 Ideal para usuarios individuales	💻💻💻 Ideal para empresas
Método 1: conéctate a Microsoft Graph y recupera las alertas de Defender		✓
Método 2: da formato a la carga útil de la alerta para crear el ticket en el PSA		✓
Método 3: activa un webhook o una llamada a la API del sistema PSA		✓
Método 4: programa el sondeo de alertas con PowerShell o Azure Automation		✓
Método 5: añade un registro de auditoría en el registro de los endpoints escalados		✓
Método 6: usa directivas de grupo para mejorar el registro y el contexto de las alertas		✓

Método 1: conéctate a Microsoft Graph y recupera las alertas de Defender

📌 Caso de uso: equipos de TI que quieren recuperar alertas de Defender en vivo

Parte 1: registra tu aplicación en Entra ID (Azure AD)

1. Inicia sesión en el centro de administración de Microsoft Entra.
2. Ve a Entra ID > App registrations y haz clic en New registration.
3. Introduce un Name para tu aplicación.
4. Indica quién puede usar la aplicación en Supported account types.
5. Pulsa Register para completar el registro.
6. Anota el Application (client) ID que aparece en la página Overview de la aplicación.

Parte 2: asigna los permisos de la API de Microsoft Graph

1. Ve a App registration > selecciona la aplicación que has creado >API permissions.
2. Haz clic en Add a permission > Microsoft Graph
3. Elige:
   • Delegated permissions: si interviene un usuario con sesión iniciada
   • Application permissions: si tu aplicación se ejecuta en segundo plano

Parte 3: genera y guarda un secreto de cliente

1. Selecciona App registration > selecciona la aplicación que has creado >Certificates & secrets.
2. Haz clic en New client secret.
3. Añade una descripción y una fecha de expiración, y pulsa Add.
4. Copia el valor de inmediato, porque solo se muestra una vez.

Parte 4: anota el ID de cliente, el ID de tenant y el secreto de cliente

Valores	Dónde encontrarlos
ID de cliente	App Registration → selecciona la aplicación que has creado → Overview
ID de tenant	App Registration → Overview
Secreto de cliente	App Registration → selecciona la aplicación que has creado → Certificates & secrets

Parte 5: conectarse a Microsoft Graph y recuperar las alertas de Defender

1. Pulsa Win, escribe PowerShell y haz clic en Ejecutar como administrador.
2. Copia y pega el siguiente script en la consola y pulsa Intro:

• Script de conexión de PowerShell:

$clientId = "YOUR-APP-CLIENT-ID" $tenantId = "YOUR-TENANT-ID" $clientSecret = "YOUR-CLIENT-SECRET" $secureSecret = ConvertTo-SecureString $clientSecret -AsPlainText -Force $credential = New-Object System.Management.Automation.PSCredential($clientId, $secureSecret) Connect-MgGraph -TenantId $tenantId -ClientSecretCredential $credential

• Recuperar las alertas:

Tipo de alerta	Script
Importar solo el submódulo Security	Import-Module Microsoft.Graph.Security
Conectar (sustituye por tu aplicación o por el inicio de sesión interactivo)	Connect-MgGraph
Cambiar al perfil beta para obtener datos de alerta más completos	Select-MgProfile -Name beta
Obtener las alertas nuevas	Get-MgSecurityAlert | Where-Object { $_.Status -eq «newAlert» }

💡 Nota: El cmdlet Select-MgProfile -Name beta quedó obsoleto a partir de Microsoft Graph PowerShell v2.0. En versiones más recientes conviene instalar y utilizar el módulo Microsoft.Graph.Beta

⚠️ Advertencia: antes de aplicar el cambio de configuración en distintos endpoints, lo mejor es probarlo primero en una máquina local. (Más información en: Aspectos a tener en cuenta)

Método 2: da formato a la carga útil de la alerta para crear el ticket en el PSA

📌 Casos de uso: administradores de TI que quieren preparar los detalles de la alerta para enviarlos rápidamente al sistema de helpdesk

Se trata de preparar el contenido del ticket a partir de las alertas de Microsoft Defender y darle formato de carga útil JSON para enviarlo a un sistema PSA mediante webhook.

Paso 1: da formato al título del ticket

• Crea un título con la gravedad y el título de la alerta:
  • «[$($_.Severity)] $($_.Title)»
• Ejemplo:
  • [High] Ransomware activity detected

Paso 2: redacta el cuerpo del ticket

• Incluye los detalles relevantes al crear el cuerpo del ticket:
  • Defender Alert: $alert.Description
  • Device: $alert.DeviceName
  • User: $alert.UserPrincipalName
  • Detected At: $alert.CreatedDateTime
  • Alert ID: $alert.Id
• Ejemplo:
  • Defender Alert: File encryption behavior detected on device LAPTOP-1234.
  • Device: LAPTOP-1234
  • User: [email protected]
  • Detected At: 2025-07-01T14:00:00Z
  • Alert ID: 3d7f2ae1-xxxx-yyyy-zzzz-abc123

💡 Nota: los nombres de los campos pueden variar según el entorno y la versión de Microsoft Graph.

Paso 3: asigna la categoría al tipo de incidencia del PSA

A continuación, debes hacer coincidir la categoría de la alerta con un tipo de incidencia del PSA. Usa esta tabla como referencia:

Categoría de Defender	Tipo de incidencia en el PSA
Malware	Incidente de seguridad
Robo de credenciales	Amenaza de identidad
Actividad sospechosa	Análisis de comportamiento
Phishing	Seguridad del correo electrónico
Software no deseado	Potencialmente no deseado
Otros	Alerta general

💡 Nota: las correspondencias exactas pueden variar según el sistema PSA.

Paso 4: construye la carga útil JSON

Con los ejemplos anteriores, la carga útil JSON debería quedar así:

{ "summary": "[High] Ransomware activity detected", "description": "Defender Alert: File encryption behavior detected on device LAPTOP-1234.\n\nDevice: LAPTOP-1234\nUser: [email protected]\nDetected At: 2025-07-01T14:00:00Z\nAlert ID: 3d7f2ae1-xxxx-yyyy-zzzz-abc123", "priority": "High", "endpoint": "LAPTOP-1234", "detectedAt": "2025-07-01T14:00:00Z" }

Método 3: activa un webhook o una llamada a la API del sistema PSA

📌 Caso de uso: enviar las alertas de Defender directamente a la cola de tickets del PSA

1. Pulsa Win + R, escribe PowerShell y haz clic en Ejecutar como administrador.
2. Copia y pega el siguiente script en la consola y pulsa Intro para enviar un ticket con PowerShell y un webhook:

Invoke-RestMethod -Method Post -Uri $psaWebhookUrl -Body
($alertJson | ConvertTo-Json -Depth 5) -ContentType «application/json»

💡 Nota: $psaWebhookUrl y $alertJson son marcadores de posición y debes sustituirlos por el endpoint real del webhook de tu PSA y por una carga útil JSON con el formato correcto.

En sistemas con acceso a la API basado en tokens:

• Autentícate mediante un token REST
• Usa HTTP POST al endpoint /tickets
• Confirma que la respuesta tiene el estado 200/201 y que devuelve el ID del ticket

💡 Consejo: registra la creación de tickets en local o en los registros de eventos para poder hacer seguimiento.

Método 4: programa el sondeo de alertas con PowerShell o Azure Automation

📌 Caso de uso: ejecutar el script cada 5 a 15 minutos para detectar y escalar alertas automáticamente

1. Pulsa Win + R, escribe PowerShell y haz clic en Ejecutar como administrador.
2. Copia y pega el siguiente script en la consola y pulsa Intro para detectar y escalar nuevas alertas cada 5 a 15 minutos:

$alerts = Get-MgSecurityAlert | Where-Object { $_.Status -eq «newAlert» -and $_.CreatedDateTime -gt (Get-Date).AddMinutes(-15)}

Puedes ejecutarlo mediante:

• Azure Automation con identidad administrada
• El Programador de tareas de Windows en un endpoint controlado por el RMM
• Una política de scripting de NinjaOne

💡 Nota: antes de ejecutar este script debes conectarte con Connect-MgGraph y comprobar que la aplicación tiene los permisos correctos.

Método 5: añade un registro de auditoría en el registro de los endpoints escalados

📌 Caso de uso: registrar la hora del último escalado de alertas para las comprobaciones de auditoría del endpoint

1. Escribe en el registro del dispositivo afectado durante la creación del ticket.
2. Pulsa Win + R, escribe PowerShell y haz clic en Ejecutar como administrador.
3. Copia y pega el siguiente script en la consola y pulsa Intro:

New-ItemProperty -Path "HKLM:\SOFTWARE\Org\DefenderEscalation" -Name "LastAlertEscalated" -Value "$(Get-Date -Format u)" -PropertyType String -Force

Así los agentes del RMM pueden analizar y validar la gestión de las alertas a nivel de dispositivo.

⚠️ Advertencia: escribir en el registro puede entrar en conflicto con claves o políticas existentes. (Más información en: Aspectos a tener en cuenta)

Método 6: usa directivas de grupo para mejorar el registro y el contexto de las alertas

📌 Caso de uso: que las alertas futuras incluyan más contexto para facilitar la investigación

1. Pulsa Win + R, escribe gpmc.msc y pulsa Intro para abrir el Editor de directivas de grupo local.
2. Ve a:

Configuración del equipo > Plantillas administrativas > Componentes de Windows > Antivirus de Microsoft Defender > Informes

3. Activa lo siguiente:
   • Send alert information to Microsoft Defender for Endpoint
   • Monitor and log detected threats

Aplica las políticas de auditoría

1. Ve a:

Configuración del equipo > Configuración de Windows > Configuración de seguridad > Configuración de directiva de auditoría avanzada > Directivas de auditoría del sistema> Acceso a objetos

2. Activa lo siguiente para enriquecer la telemetría de las alertas:
   • Auditar sistema de archivos (registro de eliminación de archivos).
   • Auditar Registro (cambios en el registro).
3. Después, ve a:

Configuración del equipo > Configuración de Windows > Configuración de seguridad > Configuración de directiva de auditoría avanzada > Directivas de auditoría del sistema > Seguimiento detallado > Auditar creación de procesos

4. Activa Process execution

⚠️ Advertencia: activar políticas de auditoría detalladas aumenta el tamaño de los registros. (Más información en: Aspectos a tener en cuenta)

⚠️ Aspectos a tener en cuenta

Riesgos	Posibles consecuencias	Cómo revertirlo
No probar en una máquina local	Implementar un script sin probar puede provocar fallos en los dispositivos, por ejemplo por incompatibilidad de claves del registro.	Aplica los cambios que quieras en una máquina local y comprueba si la configuración produce los resultados esperados.
Claves en conflicto	Algunas claves y políticas pueden fallar si entran en conflicto entre sí.	Usa una ruta del registro específica para evitar conflictos.
Mayor tamaño de los registros	Consume espacio en disco rápidamente	Configura la retención y los límites de tamaño de los registros en el Visor de eventos.

Otras consideraciones

Estas prácticas garantizan que tu PSA gestione las alertas de seguridad con precisión en entornos multitenant.

Eliminación de duplicados

Evita tickets duplicados comprobando el ID de la alerta en una caché o base de datos antes de crear uno nuevo. Así evitas avalanchas de tickets por alertas repetidas.

Ciclo de vida de la alerta

Mantén los tickets del PSA sincronizados con las alertas de Defender para que el estado del ticket siempre coincida con el estado real de la alerta. Esto mejora el seguimiento de los incidentes y reduce el desorden de tickets.

Gestión multitenant

Incluye contexto, como el ID de tenant o el nombre del cliente, para que los tickets se asocien al cliente, tenant o sede correctos en entornos multitenant.

Retención de datos

Conserva la correspondencia entre alertas y tickets para mantener la relación entre los ID de alerta de Defender y los ID de ticket del PSA con fines de cumplimiento, auditoría o revisión de incidentes. La retención de datos también permite un análisis más profundo de los patrones de amenazas y de la capacidad de respuesta del PSA.

Resolución de problemas habituales en el escalado de alertas

Estos son los problemas más frecuentes en las integraciones de Defender con el PSA, junto con sus soluciones.

Fallos en la API de Graph

Si no puedes recuperar alertas de Defender o encuentras errores parecidos, lo más probable es que los tokens hayan caducado o que el endpoint de la API sea incorrecto. Asegúrate de usar el formato de endpoint correcto para solucionarlo.

Tiempos de espera del webhook

Hay casos en los que la alerta de Defender se activa, pero el ticket no aparece en el PSA porque la plataforma PSA no es accesible desde el cloud de Microsoft. Cuando ocurre, lo mejor es validar la accesibilidad de la URL del webhook.

Tickets duplicados

Los tickets duplicados en el PSA pueden aparecer cuando no se registra el ID de la alerta o del incidente tras crear el primer ticket. Comprueba siempre si la alerta ya se ha escalado antes de crear un ticket nuevo para evitar duplicados.

El ticket no aparece

Algunos tickets son difíciles de localizar o aparecen en otra cola porque se crearon en el tablero, la cola o el service desk equivocados. En este caso, lo mejor es confirmar que los campos obligatorios están incluidos y correctamente asignados.

Servicios de NinjaOne que refuerzan la automatización del escalado de alertas

Con NinjaOne, los MSP pueden agilizar los flujos de trabajo que van de la amenaza al ticket, reducir el tiempo de respuesta y ofrecer un seguimiento listo para auditorías en toda su base de clientes. Algunos servicios que refuerzan la automatización del escalado de alertas son:

• Programación y distribución de scripts: ejecuta scripts de consulta a Microsoft Graph y de escalado de tickets en los tenants de tus clientes.
• Desencadenadores de webhook: integra directamente con la gestión de tickets o con canales de Slack para reenviar las alertas.
• Monitorización del registro: controla las etiquetas de escalado a nivel de dispositivo mediante análisis personalizados del registro.
• Control de políticas de alertas: usa NinjaOne para decidir qué alertas requieren escalado, supresión o remediación.
• Paneles centralizados: muestra el estado de las alertas de Defender, los resultados del escalado y los endpoints afectados en todos los tenants.

Si eres MSP y quieres centralizar y automatizar este flujo de trabajo, descubre más en las preguntas frecuentes sobre RMM de NinjaOne.

Olvídate de la monitorización manual: automatiza el escalado de alertas

Automatizar el escalado de alertas de Defender a plataformas PSA es imprescindible para los MSP que necesitan llevar a la práctica sus flujos de detección y respuesta. La automatización importa porque también elimina la carga de vigilar las alertas manualmente y garantiza un escalado documentado con seguimiento de los niveles de servicio.

NinjaOne PSA centraliza la facturación, la documentación y la gestión de activos en un único panel de control, y convierte las alertas automatizadas de Defender en flujos de remediación detallados y con seguimiento. Integrar las alertas de Defender con NinjaOne PSA garantiza que los incidentes de seguridad se registren, asignen y escalen automáticamente según su gravedad, lo que mejora los tiempos de respuesta y evita que se pasen alertas por alto. Gana eficiencia con NinjaOne PSA. Regístrate hoy mismo en la prueba gratuita de 14 días.

Temas relacionados:

• Respuesta a incidentes en el cloud: buenas prácticas en 2026
• Cómo automatizar la gestión de vulnerabilidades
• Guía completa: ¿qué es la gestión de crisis de TI?
• ¿Qué es el software de automatización de servicios profesionales (PSA)?
• ¿PSA o RMM? ¿Cuál es la diferencia?