Cómo crear un flujo de triaje de incidentes en varios tenants de Microsoft 365

Contar con un flujo de trabajo de triaje de incidentes completo y bien definido es imprescindible para los administradores de TI, sobre todo para quienes gestionan un gran número de dispositivos. Así el equipo de TI detecta y contiene incidentes, como las brechas de seguridad, de forma mucho más rápida y eficiente, y se evita que el personal sufra fatiga por exceso de alertas.

Un flujo de triaje de incidentes también ayuda a cumplir los SLA de incidentes y garantiza que tu organización cumpla con los requisitos normativos. Además, mejora la coherencia de los informes para las revisiones trimestrales de negocio y el cumplimiento legal.

Si prefieres verlo explicado en vídeo Cómo crear un flujo de triaje de incidentes en varios tenants de Microsoft 365.

Guía paso a paso para crear un marco de triaje de incidentes

El primer paso para crear un flujo de triaje de incidentes es definir un marco fijo y generar un archivo JSON o CSV donde registrar los incidentes que puedan surgir. Tendrás que extraer los datos de la API de Microsoft Graph y comprobar si hay alertas que requieran atención.

Si se produce un incidente, puedes etiquetar dispositivos o usuarios concretos mediante el Registro de Windows.

📌 Requisitos previos:

• Esta guía se aplica a sistemas con tenants de Microsoft 365 que tengan Microsoft Defender for Office 365 o Microsoft 365 Defender.
• Necesitarás tener instalado Windows PowerShell 7 o superior.
• Hacen falta registros de aplicaciones con cuentas específicas por tenant. Si es posible, conviene disponer también de una cuenta de servicio centralizada para ganar eficiencia.
• Necesitarás una plataforma RMM para gestionar tus dispositivos.
• Opcional: resulta útil tener Logic Apps o un SIEM para automatizar el escalado de los incidentes de alta gravedad.
• Recomendado: también puedes usar Microsoft Lighthouse para obtener una vista unificada y gratuita de las alertas de seguridad de todos los tenants delegados, o Microsoft Sentinel si necesitas funciones avanzadas de SOAR (orquestación, automatización y respuesta de seguridad) entre tenants.

📌 Estrategias de despliegue recomendadas:

Paso 1: define un marco de triaje entre tenants

Lo primero es estandarizar las fases básicas del triaje para todos tus tenants cuando se produzca un incidente. Aquí tienes una guía de triaje de ejemplo:

Crea una plantilla JSON o un esquema CSV para registrar estos incidentes. Los detalles concretos de la plantilla dependerán de las políticas y expectativas de tu organización.

Paso 2: usa la API de Microsoft Graph para extraer las alertas de cada tenant

📌 Requisito previo: Microsoft Graph ya debe estar instalado y configurado para tus cuentas de Microsoft 365, con permisos de API delegados o a nivel de aplicación.

1. Abre el menú Inicio y busca Windows PowerShell.
2. Haz clic con el botón derecho en Windows PowerShell > Ejecutar como administrador.
3. Escribe este script y pulsa Intro:

Connect-MgGraph -Scopes "SecurityEvents.Read.All"

$alerts = Get-MgSecurityAlert -All | Where-Object { $_.Status -ne "resolved" }

Para filtrar por gravedad y producto:

$highAADAlerts = $alerts | Where-Object {

$_.Severity -eq «high» -and $_.ProductName -eq «Azure Active Directory Identity Protection»

$highAADAlerts | Select-Object Id, Severity, Status, ProductName, Title, CreatedDateTime}

Esto mostrará todas las alertas relevantes de Defender para tus tenants, si las hay.

4. Ejecuta estas consultas en un ciclo programado para todos tus tenants y exporta los resultados a un archivo .CSV o .JSON para seguir los datos con facilidad. Puedes hacerlo con tu herramienta de gestión de endpoints preferida.

Paso 3: etiqueta dispositivos o usuarios con el Registro o PowerShell para el triaje local

Cuando se produce un incidente en un endpoint concreto, los administradores pueden crear claves y valores del Registro para registrar los datos del incidente en ese dispositivo o perfil de usuario. Esta información se guarda localmente. Para hacerlo, sigue estos pasos:

1. Abre el menú Inicio y busca Windows PowerShell.
2. Haz clic con el botón derecho en Windows PowerShell > Ejecutar como administrador.
3. Despliega un script que cree los valores del Registro necesarios para seguir los datos del incidente en un dispositivo.

Aquí tienes un script de PowerShell de ejemplo que puedes utilizar:

New-Item -Path "HKLM:\SOFTWARE\Org\IncidentTriage" -Force

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\IncidentTriage" -Name "LastAlert" -Value "PhishingAttempt"

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\IncidentTriage" -Name "Tag" -Value "UnderInvestigation"

El nombre y el valor de las claves del Registro («LastAlert», «PhishingAttempt», «Tag» y «UnderInvestigation») dependen del incidente que quieras registrar. Cámbialos según tus necesidades.

4. Para consultar estas claves y valores del Registro, abre el Símbolo del sistema como administrador.
5. Escribe este comando y pulsa Intro:

reg query HKLM\SOFTWARE\Org\IncidentTriage

Sustituye la ruta por la del valor que quieras consultar.

💡 Nota: puedes usar una herramienta RMM para analizar los dispositivos que gestionas, generar un informe con los valores de las etiquetas y seguir el estado de cada endpoint.

Las claves del Registro son útiles para el seguimiento local desde el RMM, pero también deberías aplicar etiquetas de Defender for Endpoint mediante la API. Así el estado «Under Investigation» será visible para cualquiera que consulte el Centro de seguridad de Microsoft Defender.

# Ejemplo: etiquetar un dispositivo en Defender for Endpoint mediante la API

$DeviceID = "your-device-id"

$Tag = "UnderInvestigation"

Invoke-RestMethod -Uri "https://api.security.microsoft.com/api/machines/$DeviceID/tags" -Method Post -Body @{Value=$Tag;Action=»Add»}

Paso 4: automatiza la respuesta con PowerShell o acceso condicional

Si el incidente afecta a una cuenta de usuario comprometida, puedes deshabilitarla e invalidar todas sus sesiones. Con Windows PowerShell puedes desplegar respuestas concretas para ese incidente. Estas son algunas de las acciones posibles cuando se produce un incidente:

📌 Requisito previo: Microsoft Graph ya debe estar instalado y configurado para tus cuentas de Microsoft 365, con permisos de API delegados o a nivel de aplicación.

1. Abre el menú Inicio y busca Windows PowerShell.
2. Haz clic con el botón derecho en Windows PowerShell > Ejecutar como administrador.
3. Para deshabilitar las cuentas comprometidas:

Update-MgUser -UserId $user.Id -AccountEnabled $false

Para invalidar las sesiones de la cuenta comprometida:

Invoke-MgInvalidateUserRefreshToken -UserId $user.Id

Para obligar a un usuario a cambiar su contraseña:

Update-MgUser -UserId $user.Id -ForceChangePasswordNextSignIn $true

Para marcar un dispositivo como puesto en cuarentena con una etiqueta del Registro:

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\IncidentTriage" -Name "IsolationState" -Value "Quarantined"

Ten en cuenta que esto hay que hacerlo manualmente en el endpoint comprometido. No puedes hacerlo en remoto, porque el equipo debe quedar aislado de la red de tu organización.

💡 Nota: los administradores pueden usar una herramienta de gestión de endpoints para aplicar reglas de firewall o deshabilitar interfaces de red.

En lugar de acudir físicamente al equipo para desconectarlo, usa la API de Defender para aislar el dispositivo. Así se cortan todas las conexiones de red salvo la que mantiene con Microsoft 365, lo que impide el movimiento lateral.

# Aislar un dispositivo de forma remota

Invoke-MgIsolateSecurityMachine -MachineId $MachineId -Comment «Isolating due to high-severity alert.»

⚠️ Resolución de problemas y aspectos a tener en cuenta

Otros aspectos a considerar al crear un marco de respuesta a incidentes en varios tenants de Microsoft 365

• Usa registros de aplicaciones basados en certificados con fechas de caducidad cortas para evitar brechas de seguridad.
• Almacena los registros de incidentes y de triaje por ID de tenant o por nombre para mostrar, de cara a las auditorías históricas.
• Plantéate integrar Logic Apps o Power Automate para escalar los incidentes de alta gravedad.
• Valora incorporar herramientas de seguridad de terceros mediante API siempre que sea posible, para dar a tu organización más capas de protección y evitar brechas de seguridad.

Cómo te ayuda NinjaOne en tu flujo de triaje de ciberincidentes

NinjaOne facilita el triaje de incidentes entre tenants de estas formas:

• Ejecutando scripts de PowerShell sobre etiquetas de dispositivo o ámbitos de cliente concretos para resolver los incidentes
• Registrando los incidentes y creando informes a partir de sus metadatos
• Ofreciendo paneles fáciles de usar y registros de auditoría de scripts en todos los tenants, para preparar resúmenes y revisiones de negocio con menos esfuerzo

Refuerza la seguridad con un proceso de triaje de incidentes completo

Con un flujo de triaje automatizado y bien definido, los administradores de TI contienen incidentes como las brechas de seguridad de forma mucho más rápida y eficiente. Además, estandariza la documentación y permite a las organizaciones cumplir con sus obligaciones legales.

Temas relacionados:

• ¿Qué es la respuesta a incidentes?
• ¿Qué es la respuesta a incidentes en el cloud?
• Cómo mejorar la eficiencia con la automatización de flujos de trabajo de TI
• Cómo crear un checklist de respuesta a incidentes para técnicos de MSP
• MSP: 6 claves para sobrevivir a un brote de ransomware entre tus clientes