{"id":899031,"date":"2026-10-14T15:57:28","date_gmt":"2026-10-14T15:57:28","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/automatizar-escalado-de-alertas-defender-psa\/"},"modified":"2026-10-14T15:57:28","modified_gmt":"2026-10-14T15:57:28","slug":"automatizar-escalado-de-alertas-defender-psa","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/es\/blog\/automatizar-escalado-de-alertas-defender-psa\/","title":{"rendered":"C\u00f3mo automatizar el escalado de alertas de Defender a sistemas PSA"},"content":{"rendered":"<div class=\"in-context-cta\"><h2 style=\"margin-top: 0px;\">Puntos clave<\/h2>\n<ul>\n<li><strong>Convierte las alertas autom\u00e1ticamente<\/strong> en tickets de servicio del PSA sin scripts personalizados usando Defender for Cloud Apps.<\/li>\n<li><b>Recupera las alertas de Defender<\/b><span style=\"font-weight: 400;\"> con Microsoft Graph para tener una visibilidad de seguridad centralizada.<\/span><\/li>\n<li><b>Da formato a los datos de la alerta<\/b><span style=\"font-weight: 400;\"> para crear tickets en el PSA de forma autom\u00e1tica y coherente.<\/span><\/li>\n<li><b>Activa tickets en el PSA<\/b><span style=\"font-weight: 400;\"> mediante webhooks o API para automatizar la respuesta a incidentes.<\/span><\/li>\n<li><b>Programa el sondeo de alertas<\/b><span style=\"font-weight: 400;\"> con PowerShell o Azure Automation para una monitorizaci\u00f3n continua.<\/span><\/li>\n<li><b>Registra los escalados en local<\/b><span style=\"font-weight: 400;\"> mediante el registro para facilitar auditor\u00edas e informes.<\/span><\/li>\n<li><b>Enriquece la telemetr\u00eda de las alertas<\/b><span style=\"font-weight: 400;\"> con directivas de grupo para mejorar el contexto de investigaci\u00f3n.<\/span><\/li>\n<\/ul>\n<\/div>\n<p>Microsoft Defender for Endpoint ofrece alertas de seguridad potentes y en tiempo real. Sin embargo, los t\u00e9cnicos de TI pueden pasarlas por alto si no se escalan al sistema PSA del MSP. Automatizar el <strong>escalado de alertas<\/strong> y la creaci\u00f3n de tickets cierra la brecha entre la detecci\u00f3n y la respuesta. Adem\u00e1s, integrar Defender con un <a href=\"https:\/\/www.ninjaone.com\/es\/msp\/psa\/\">software PSA<\/a> permite que los t\u00e9cnicos act\u00faen de inmediato ante las amenazas.<\/p>\n<p>Si prefieres una explicaci\u00f3n visual del tema, mira <a href=\"https:\/\/www.ninjaone.com\/videos\/security\/how-to-automate-alert-escalation-from-defender-to-psa-systems\/\">C\u00f3mo automatizar el escalado de alertas de Defender a sistemas PSA.<\/a><\/p>\n<div class=\"in-context-cta\"><p style=\"text-align: center;\">Detecta r\u00e1pidamente los problemas de tus sistemas Windows con flujos de tickets automatizados.<\/p>\n<p style=\"text-align: center;\"><a href=\"https:\/\/www.ninjaone.com\/es\/prueba-gratuita-formulario\/\">Empieza tu prueba gratuita de 14 d\u00edas de NinjaOne PSA.<\/a><\/p>\n<\/div>\n<h2><strong>Microsoft Power Automate para el escalado de alertas<\/strong><\/h2>\n<p>Microsoft Defender incluye Power Automate, una herramienta integrada que convierte autom\u00e1ticamente las alertas de Defender en tickets de servicio accionables sin necesidad de escribir scripts personalizados. Para usarla y automatizar el escalado de alertas de Defender a sistemas PSA necesitas acceso de administrador a Microsoft Power Automate.<\/p>\n<h4><strong>C\u00f3mo crear un token de API en Microsoft Defender para sistemas PSA:<\/strong><\/h4>\n<ol>\n<li>Usa el conector de Defender for Cloud Apps y selecciona \u00abWhen an alert is generated\u00bb como desencadenador.<\/li>\n<li>A\u00f1ade acciones para definir tu l\u00f3gica de respuesta: notificar, escalar o aislar.<\/li>\n<li>Ve a Defender for Cloud Apps &gt; Policy Management y edita la pol\u00edtica correspondiente.<\/li>\n<li>Activa Send Alerts to Power Automate y selecciona tu playbook.<\/li>\n<\/ol>\n<p>Descubre m\u00e1s sobre <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/flujos-de-trabajo-power-automate\/\">c\u00f3mo usar Power Automate para simplificar los flujos de trabajo de los MSP.<\/a><\/p>\n<p>Si tu organizaci\u00f3n no tiene una suscripci\u00f3n a Microsoft Power Automate, puedes seguir estos pasos para generar informes de rendimiento de TI.<\/p>\n<h2>Formas de automatizar el escalado de alertas de Defender a sistemas PSA<\/h2>\n<p>Puedes automatizar el escalado de alertas de Defender a sistemas PSA recuperando las alertas de Defender, dando formato a la carga \u00fatil de la alerta, activando un webhook, programando el sondeo de alertas, a\u00f1adiendo un registro de auditor\u00eda o usando directivas de grupo para mejorar el registro y el contexto de las alertas.<\/p>\n<p>\ud83d\udccc <strong>Requisitos previos:<\/strong><\/p>\n<ul>\n<li>Microsoft 365 Defender Plan 2 o Microsoft 365 E5<\/li>\n<li>Acceso por API a tu sistema PSA<\/li>\n<li>Permisos de Microsoft Graph: SecurityEvents.Read.All, Incident.Read.All, Alert.Read.All<\/li>\n<li>Registro de aplicaci\u00f3n en Azure AD para la autenticaci\u00f3n de la automatizaci\u00f3n<\/li>\n<li>Acceso de administrador a NinjaOne, al RMM o al motor de scripting<\/li>\n<li>PowerShell 7+ y el m\u00f3dulo Graph SDK<\/li>\n<\/ul>\n<p>\ud83d\udccc <strong>Estrategias de implementaci\u00f3n recomendadas:<\/strong><\/p>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center; vertical-align: middle;\">\n<p style=\"text-align: center;\"><strong>Haz clic para elegir un m\u00e9todo<\/strong><\/p>\n<\/td>\n<td style=\"text-align: center;\"><strong>\ud83d\udcbb<\/strong><br \/>\n<strong>Ideal para usuarios individuales<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>\ud83d\udcbb\ud83d\udcbb\ud83d\udcbb<\/strong><br \/>\n<strong>Ideal para empresas<\/strong><\/td>\n<\/tr>\n<tr>\n<td><a href=\"#method-1\"><strong>M\u00e9todo 1: con\u00e9ctate a Microsoft Graph y recupera las alertas de Defender<\/strong><\/a><\/td>\n<td style=\"text-align: center;\"><\/td>\n<td style=\"text-align: center;\"><strong>\u2713<\/strong><\/td>\n<\/tr>\n<tr>\n<td><a href=\"#method-2\"><strong>M\u00e9todo 2: da formato a la carga \u00fatil de la alerta para crear el ticket en el PSA<\/strong><\/a><\/td>\n<td style=\"text-align: center;\"><\/td>\n<td style=\"text-align: center;\"><strong>\u2713<\/strong><\/td>\n<\/tr>\n<tr>\n<td><a href=\"#method-3\"><strong>M\u00e9todo 3: activa un webhook o una llamada a la API del sistema PSA<\/strong><\/a><\/td>\n<td style=\"text-align: center;\"><\/td>\n<td style=\"text-align: center;\"><strong>\u2713<\/strong><\/td>\n<\/tr>\n<tr>\n<td><a href=\"#method-4\"><strong>M\u00e9todo 4: programa el sondeo de alertas con PowerShell o Azure Automation<\/strong><\/a><\/td>\n<td style=\"text-align: center;\"><\/td>\n<td style=\"text-align: center;\"><strong>\u2713<\/strong><\/td>\n<\/tr>\n<tr>\n<td><a href=\"#method-5\"><strong>M\u00e9todo 5: a\u00f1ade un registro de auditor\u00eda en el registro de los endpoints escalados<\/strong><\/a><\/td>\n<td style=\"text-align: center;\"><\/td>\n<td style=\"text-align: center;\"><strong>\u2713<\/strong><\/td>\n<\/tr>\n<tr>\n<td><a href=\"#method-6\"><strong>M\u00e9todo 6: usa directivas de grupo para mejorar el registro y el contexto de las alertas<\/strong><\/a><\/td>\n<td style=\"text-align: center;\"><\/td>\n<td style=\"text-align: center;\"><strong>\u2713<\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h3 id=\"method-1\">M\u00e9todo 1: con\u00e9ctate a Microsoft Graph y recupera las alertas de Defender<\/h3>\n<p>\ud83d\udccc <strong>Caso de uso<\/strong>: equipos de TI que quieren recuperar alertas de Defender en vivo<\/p>\n<h4>Parte 1: registra tu aplicaci\u00f3n en Entra ID (Azure AD)<\/h4>\n<ol>\n<li>Inicia sesi\u00f3n en el centro de administraci\u00f3n de Microsoft Entra.<\/li>\n<li>Ve a <strong>Entra ID<\/strong> &gt; <strong>App registrations<\/strong> y haz clic en <strong>New registration<\/strong>.<\/li>\n<li>Introduce un <strong>Name <\/strong>para tu aplicaci\u00f3n.<\/li>\n<li>Indica qui\u00e9n puede usar la aplicaci\u00f3n en <strong>Supported account types<\/strong>.<\/li>\n<li>Pulsa <strong>Register <\/strong>para completar el registro.<\/li>\n<li>Anota el Application (client) ID que aparece en la p\u00e1gina Overview de la aplicaci\u00f3n.<\/li>\n<\/ol>\n<h4>Parte 2: asigna los permisos de la API de Microsoft Graph<\/h4>\n<ol>\n<li>Ve a <strong>App registration<\/strong> &gt; selecciona la aplicaci\u00f3n que has creado &gt;<strong>API permissions<\/strong>.<\/li>\n<li>Haz clic en <strong>Add a permission<\/strong> &gt; <strong>Microsoft Graph<\/strong><\/li>\n<li>Elige:\n<ul style=\"list-style-type: disc;\">\n<li><strong>Delegated permissions<\/strong>: si interviene un usuario con sesi\u00f3n iniciada<\/li>\n<li><strong>Application permissions<\/strong>: si tu aplicaci\u00f3n se ejecuta en segundo plano<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<h4>Parte 3: genera y guarda un secreto de cliente<\/h4>\n<ol>\n<li>Selecciona <strong>App registration<\/strong> &gt; selecciona la aplicaci\u00f3n que has creado &gt;<strong>Certificates &amp; secrets<\/strong>.<\/li>\n<li>Haz clic en <strong>New client secret<\/strong>.<\/li>\n<li>A\u00f1ade una descripci\u00f3n y una fecha de expiraci\u00f3n, y pulsa <strong>Add<\/strong>.<\/li>\n<li>Copia el valor de inmediato, porque solo se muestra una vez.<\/li>\n<\/ol>\n<h4>Parte 4: anota el ID de cliente, el ID de tenant y el secreto de cliente<\/h4>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>Valores<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>D\u00f3nde encontrarlos<\/strong><\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">ID de cliente<\/td>\n<td style=\"text-align: center;\">App Registration \u2192 selecciona la aplicaci\u00f3n que has creado \u2192 Overview<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">ID de tenant<\/td>\n<td style=\"text-align: center;\">App Registration \u2192 Overview<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">Secreto de cliente<\/td>\n<td style=\"text-align: center;\">App Registration \u2192 selecciona la aplicaci\u00f3n que has creado \u2192 Certificates &amp; secrets<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h4>Parte 5: conectarse a Microsoft Graph y recuperar las alertas de Defender<\/h4>\n<ol>\n<li>Pulsa <strong>Win<\/strong>, escribe <a href=\"https:\/\/www.ninjaone.com\/es\/it-hub\/endpoint-management\/powershell\/\"><strong>PowerShell<\/strong><\/a> y haz clic en <strong>Ejecutar como administrador<\/strong>.<\/li>\n<li>Copia y pega el siguiente script en la consola y pulsa <strong>Intro<\/strong>:<\/li>\n<\/ol>\n<ul>\n<li>Script de conexi\u00f3n de PowerShell:<\/li>\n<\/ul>\n<table>\n<tbody>\n<tr>\n<td><code><strong>$clientId = \"YOUR-APP-CLIENT-ID\"<\/strong><\/code><br \/>\n<code><strong>$tenantId = \"YOUR-TENANT-ID\"<\/strong><\/code><br \/>\n<code><strong>$clientSecret = \"YOUR-CLIENT-SECRET\"<\/strong><\/code><br \/>\n<strong>$secureSecret = ConvertTo-SecureString $clientSecret -AsPlainText -Force<\/strong><br \/>\n<strong>$credential = New-Object System.Management.Automation.PSCredential($clientId, $secureSecret)<\/strong><br \/>\n<strong>Connect-MgGraph -TenantId $tenantId -ClientSecretCredential $credential<\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ul>\n<li>Recuperar las alertas:<\/li>\n<\/ul>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>Tipo de alerta<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>Script<\/strong><\/td>\n<\/tr>\n<tr>\n<td>Importar solo el subm\u00f3dulo Security<\/td>\n<td>Import-Module Microsoft.Graph.Security<\/td>\n<\/tr>\n<tr>\n<td>Conectar (sustituye por tu aplicaci\u00f3n o por el inicio de sesi\u00f3n interactivo)<\/td>\n<td>Connect-MgGraph<\/td>\n<\/tr>\n<tr>\n<td>Cambiar al perfil beta para obtener datos de alerta m\u00e1s completos<\/td>\n<td>Select-MgProfile -Name beta<\/td>\n<\/tr>\n<tr>\n<td>Obtener las alertas nuevas<\/td>\n<td>Get-MgSecurityAlert | Where-Object { $_.Status -eq \u00abnewAlert\u00bb }<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>\ud83d\udca1 Nota: <\/strong>El cmdlet Select-MgProfile -Name beta qued\u00f3 obsoleto a partir de Microsoft Graph PowerShell v2.0. En versiones m\u00e1s recientes conviene instalar y utilizar el m\u00f3dulo Microsoft.Graph.Beta<\/p>\n<p>\u26a0\ufe0f <strong>Advertencia<\/strong>: antes de aplicar el cambio de configuraci\u00f3n en distintos endpoints, lo mejor es probarlo primero en una m\u00e1quina local. (M\u00e1s informaci\u00f3n en: <a href=\"#things-to-look-out-for\"><em>Aspectos a tener en cuenta<\/em><\/a>)<\/p>\n<h3 id=\"method-2\">M\u00e9todo 2: da formato a la carga \u00fatil de la alerta para crear el ticket en el PSA<\/h3>\n<p>\ud83d\udccc <strong>Casos de uso<\/strong>: administradores de TI que quieren preparar los detalles de la alerta para enviarlos r\u00e1pidamente al sistema de helpdesk<\/p>\n<p>Se trata de preparar el contenido del ticket a partir de las alertas de Microsoft Defender y darle formato de carga \u00fatil JSON para enviarlo a un sistema PSA mediante webhook.<\/p>\n<h4>Paso 1: da formato al t\u00edtulo del ticket<\/h4>\n<ul>\n<li>Crea un t\u00edtulo con la gravedad y el t\u00edtulo de la alerta:\n<ul>\n<li>\u00ab[$($_.Severity)] $($_.Title)\u00bb<\/li>\n<\/ul>\n<\/li>\n<li>Ejemplo:\n<ul>\n<li>[High] Ransomware activity detected<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<h4>Paso 2: redacta el cuerpo del ticket<\/h4>\n<ul>\n<li>Incluye los detalles relevantes al crear el cuerpo del ticket:\n<ul>\n<li><strong>Defender Alert<\/strong>: $alert.Description<\/li>\n<li><strong>Device<\/strong>: $alert.DeviceName<\/li>\n<li><strong>User<\/strong>: $alert.UserPrincipalName<\/li>\n<li><strong>Detected At<\/strong>: $alert.CreatedDateTime<\/li>\n<li><strong>Alert ID<\/strong>: $alert.Id<\/li>\n<\/ul>\n<\/li>\n<li>Ejemplo:\n<ul>\n<li><strong>Defender Alert<\/strong>: File encryption behavior detected on device LAPTOP-1234.<\/li>\n<li><strong>Device<\/strong>: LAPTOP-1234<\/li>\n<li><strong>User<\/strong>: john.doe@company.com<\/li>\n<li><strong>Detected At<\/strong>: 2025-07-01T14:00:00Z<\/li>\n<li><strong>Alert ID<\/strong>: 3d7f2ae1-xxxx-yyyy-zzzz-abc123<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<p>\ud83d\udca1 <strong>Nota<\/strong>: los nombres de los campos pueden variar seg\u00fan el entorno y la versi\u00f3n de Microsoft Graph.<\/p>\n<h4>Paso 3: asigna la categor\u00eda al tipo de incidencia del PSA<\/h4>\n<p>A continuaci\u00f3n, debes hacer coincidir la categor\u00eda de la alerta con un tipo de incidencia del PSA. Usa esta tabla como referencia:<\/p>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>Categor\u00eda de Defender<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>Tipo de incidencia en el PSA<\/strong><\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">Malware<\/td>\n<td style=\"text-align: center;\">Incidente de seguridad<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">Robo de credenciales<\/td>\n<td style=\"text-align: center;\">Amenaza de identidad<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">Actividad sospechosa<\/td>\n<td style=\"text-align: center;\">An\u00e1lisis de comportamiento<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">Phishing<\/td>\n<td style=\"text-align: center;\">Seguridad del correo electr\u00f3nico<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">Software no deseado<\/td>\n<td style=\"text-align: center;\">Potencialmente no deseado<\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center;\">Otros<\/td>\n<td style=\"text-align: center;\">Alerta general<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>\ud83d\udca1 <strong>Nota<\/strong>: las correspondencias exactas pueden variar seg\u00fan el sistema PSA.<\/p>\n<h4>Paso 4: construye la carga \u00fatil JSON<\/h4>\n<p>Con los ejemplos anteriores, la carga \u00fatil JSON deber\u00eda quedar as\u00ed:<\/p>\n<table>\n<tbody>\n<tr>\n<td><strong>{<\/strong><br \/>\n<code><strong>\"summary\": \"[High] Ransomware activity detected\",<\/strong><\/code><br \/>\n<code><strong>\"description\": \"Defender Alert: File encryption behavior detected on device LAPTOP-1234.\\n\\nDevice: LAPTOP-1234\\nUser: john.doe@company.com\\nDetected At: 2025-07-01T14:00:00Z\\nAlert ID: 3d7f2ae1-xxxx-yyyy-zzzz-abc123\",<\/strong><\/code><br \/>\n<code><strong>\"priority\": \"High\",<\/strong><\/code><br \/>\n<code><strong>\"endpoint\": \"LAPTOP-1234\",<\/strong><\/code><br \/>\n<code><strong>\"detectedAt\": \"2025-07-01T14:00:00Z\"<\/strong><\/code><br \/>\n<strong>}<\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h3 id=\"method-3\">M\u00e9todo 3: activa un webhook o una llamada a la API del sistema PSA<\/h3>\n<p>\ud83d\udccc <strong>Caso de uso<\/strong>: enviar las alertas de Defender directamente a la cola de tickets del PSA<\/p>\n<ol>\n<li>Pulsa <strong>Win + R,<\/strong> escribe <strong>PowerShell<\/strong> y haz clic en <strong>Ejecutar como administrador<\/strong>.<\/li>\n<li>Copia y pega el siguiente script en la consola y pulsa <strong>Intro <\/strong>para enviar un ticket con PowerShell y un webhook:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><strong>Invoke-RestMethod -Method Post -Uri $psaWebhookUrl -Body<br \/>\n($alertJson | ConvertTo-Json -Depth 5) -ContentType \u00abapplication\/json\u00bb<\/strong><\/p>\n<p>\ud83d\udca1 <strong>Nota<\/strong>: $psaWebhookUrl y $alertJson son marcadores de posici\u00f3n y debes sustituirlos por el endpoint real del webhook de tu PSA y por una carga \u00fatil JSON con el formato correcto.<\/p>\n<p>En sistemas con acceso a la API basado en tokens:<\/p>\n<ul>\n<li>Autent\u00edcate mediante un token REST<\/li>\n<li>Usa HTTP POST al endpoint \/tickets<\/li>\n<li>Confirma que la respuesta tiene el estado 200\/201 y que devuelve el ID del ticket<\/li>\n<\/ul>\n<p>\ud83d\udca1 <strong>Consejo<\/strong>: registra la creaci\u00f3n de tickets en local o en los registros de eventos para poder hacer seguimiento.<\/p>\n<h3 id=\"method-4\">M\u00e9todo 4: programa el sondeo de alertas con PowerShell o Azure Automation<\/h3>\n<p>\ud83d\udccc <strong>Caso de uso<\/strong>: ejecutar el script cada 5 a 15 minutos para detectar y escalar alertas autom\u00e1ticamente<\/p>\n<ol>\n<li>Pulsa <strong>Win + R,<\/strong> escribe <strong>PowerShell<\/strong> y haz clic en <strong>Ejecutar como administrador<\/strong>.<\/li>\n<li>Copia y pega el siguiente script en la consola y pulsa <strong>Intro <\/strong>para detectar y escalar nuevas alertas cada 5 a 15 minutos:<\/li>\n<\/ol>\n<table>\n<tbody>\n<tr>\n<td><strong>$alerts = Get-MgSecurityAlert | Where-Object {<br \/>\n<\/strong><strong>             $_.Status -eq \u00abnewAlert\u00bb -and $_.CreatedDateTime -gt (Get-Date).AddMinutes(-15)<\/strong><strong>}<\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Puedes ejecutarlo mediante:<\/p>\n<ul>\n<li>Azure Automation con identidad administrada<\/li>\n<li>El Programador de tareas de Windows en un endpoint controlado por el RMM<\/li>\n<li>Una pol\u00edtica de scripting de NinjaOne<\/li>\n<\/ul>\n<p>\ud83d\udca1 <strong>Nota<\/strong>: antes de ejecutar este script debes conectarte con Connect-MgGraph y comprobar que la aplicaci\u00f3n tiene los permisos correctos.<\/p>\n<h3 id=\"method-5\">M\u00e9todo 5: a\u00f1ade un registro de auditor\u00eda en el registro de los endpoints escalados<\/h3>\n<p>\ud83d\udccc <strong>Caso de uso<\/strong>: registrar la hora del \u00faltimo escalado de alertas para las comprobaciones de auditor\u00eda del endpoint<\/p>\n<ol>\n<li>Escribe en el registro del dispositivo afectado durante la creaci\u00f3n del ticket.<\/li>\n<li>Pulsa <strong>Win + R,<\/strong> escribe <strong>PowerShell<\/strong> y haz clic en <strong>Ejecutar como administrador<\/strong>.<\/li>\n<li>Copia y pega el siguiente script en la consola y pulsa <strong>Intro<\/strong>:<\/li>\n<\/ol>\n<table>\n<tbody>\n<tr>\n<td><code><strong>New-ItemProperty -Path \"HKLM:\\SOFTWARE\\Org\\DefenderEscalation\" <\/strong><\/code><br \/>\n<code><strong>-Name \"LastAlertEscalated\" <\/strong><\/code><br \/>\n<code><strong>-Value \"$(Get-Date -Format u)\" -PropertyType String -Force<\/strong><\/code><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>As\u00ed los agentes del RMM pueden analizar y validar la gesti\u00f3n de las alertas a nivel de dispositivo.<\/p>\n<p>\u26a0\ufe0f <strong>Advertencia<\/strong>: escribir en el registro puede entrar en conflicto con claves o pol\u00edticas existentes. (M\u00e1s informaci\u00f3n en: <a href=\"#things-to-look-out-for\"><em>Aspectos a tener en cuenta<\/em><\/a>)<\/p>\n<h3 id=\"method-6\">M\u00e9todo 6: usa directivas de grupo para mejorar el registro y el contexto de las alertas<\/h3>\n<p>\ud83d\udccc <strong>Caso de uso<\/strong>: que las alertas futuras incluyan m\u00e1s contexto para facilitar la investigaci\u00f3n<\/p>\n<ol>\n<li>Pulsa <strong>Win + R,<\/strong> escribe <strong>gpmc.msc<\/strong> y pulsa <strong>Intro <\/strong>para <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/abrir-editor-directivas-grupo-local\/\">abrir el Editor de directivas de grupo local<\/a>.<\/li>\n<li>Ve a:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><strong>Configuraci\u00f3n del equipo &gt; Plantillas administrativas &gt; Componentes de Windows &gt; Antivirus de Microsoft Defender &gt; Informes<\/strong><\/p>\n<ol start=\"3\">\n<li>Activa lo siguiente:\n<ul style=\"list-style-type: disc;\">\n<li>Send alert information to Microsoft Defender for Endpoint<\/li>\n<li>Monitor and log detected threats<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<h4>Aplica las pol\u00edticas de auditor\u00eda<\/h4>\n<ol>\n<li>Ve a:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><strong>Configuraci\u00f3n del equipo &gt; Configuraci\u00f3n de Windows &gt; Configuraci\u00f3n de seguridad &gt; Configuraci\u00f3n de directiva de auditor\u00eda avanzada &gt; Directivas de auditor\u00eda del sistema&gt; Acceso a objetos<\/strong><\/p>\n<ol start=\"2\">\n<li>Activa lo siguiente para enriquecer la telemetr\u00eda de las alertas:\n<ul style=\"list-style-type: disc;\">\n<li>Auditar sistema de archivos (registro de eliminaci\u00f3n de archivos).<\/li>\n<li>Auditar Registro (cambios en el registro).<\/li>\n<\/ul>\n<\/li>\n<li>Despu\u00e9s, ve a:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\"><strong>Configuraci\u00f3n del equipo &gt; Configuraci\u00f3n de Windows &gt; Configuraci\u00f3n de seguridad &gt; Configuraci\u00f3n de directiva de auditor\u00eda avanzada &gt; Directivas de auditor\u00eda del sistema &gt; Seguimiento detallado &gt; Auditar creaci\u00f3n de procesos<\/strong><\/p>\n<ol start=\"4\">\n<li>Activa Process execution<\/li>\n<\/ol>\n<p>\u26a0\ufe0f <strong>Advertencia<\/strong>: activar pol\u00edticas de auditor\u00eda detalladas aumenta el tama\u00f1o de los registros. (M\u00e1s informaci\u00f3n en: <a href=\"#things-to-look-out-for\"><em>Aspectos a tener en cuenta<\/em><\/a>)<\/p>\n<h2 id=\"things-to-look-out-for\">\u26a0\ufe0f Aspectos a tener en cuenta<\/h2>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center;\"><strong>Riesgos<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>Posibles consecuencias<\/strong><\/td>\n<td style=\"text-align: center;\"><strong>C\u00f3mo revertirlo<\/strong><\/td>\n<\/tr>\n<tr>\n<td>No probar en una m\u00e1quina local<\/td>\n<td>Implementar un script sin probar puede provocar fallos en los dispositivos, por ejemplo por incompatibilidad de claves del registro.<\/td>\n<td>Aplica los cambios que quieras en una m\u00e1quina local y comprueba si la configuraci\u00f3n produce los resultados esperados.<\/td>\n<\/tr>\n<tr>\n<td>Claves en conflicto<\/td>\n<td>Algunas claves y pol\u00edticas pueden fallar si entran en conflicto entre s\u00ed.<\/td>\n<td>Usa una ruta del registro espec\u00edfica para evitar conflictos.<\/td>\n<\/tr>\n<tr>\n<td>Mayor tama\u00f1o de los registros<\/td>\n<td>Consume espacio en disco r\u00e1pidamente<\/td>\n<td>Configura la retenci\u00f3n y los l\u00edmites de tama\u00f1o de los registros en el Visor de eventos.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Otras consideraciones<\/h2>\n<p>Estas pr\u00e1cticas garantizan que tu PSA gestione las alertas de seguridad con precisi\u00f3n en entornos multitenant.<\/p>\n<h3>Eliminaci\u00f3n de duplicados<\/h3>\n<p>Evita tickets duplicados comprobando el ID de la alerta en una cach\u00e9 o base de datos antes de crear uno nuevo. As\u00ed evitas avalanchas de tickets por alertas repetidas.<\/p>\n<h3>Ciclo de vida de la alerta<\/h3>\n<p>Mant\u00e9n los tickets del PSA sincronizados con las alertas de Defender para que el estado del ticket siempre coincida con el estado real de la alerta. Esto mejora el seguimiento de los incidentes y reduce el desorden de tickets.<\/p>\n<h3>Gesti\u00f3n multitenant<\/h3>\n<p>Incluye contexto, como el ID de tenant o el nombre del cliente, para que los tickets se asocien al cliente, tenant o sede correctos en entornos multitenant.<\/p>\n<h3>Retenci\u00f3n de datos<\/h3>\n<p>Conserva la correspondencia entre alertas y tickets para mantener la relaci\u00f3n entre los ID de alerta de Defender y los ID de ticket del PSA con fines de cumplimiento, auditor\u00eda o revisi\u00f3n de incidentes. La retenci\u00f3n de datos tambi\u00e9n permite un an\u00e1lisis m\u00e1s profundo de los patrones de amenazas y de la capacidad de respuesta del PSA.<\/p>\n<h2>Resoluci\u00f3n de problemas habituales en el escalado de alertas<\/h2>\n<p>Estos son los problemas m\u00e1s frecuentes en las integraciones de Defender con el PSA, junto con sus soluciones.<\/p>\n<h3>Fallos en la API de Graph<\/h3>\n<p>Si no puedes recuperar alertas de <a href=\"https:\/\/www.microsoft.com\/en-us\/microsoft-365\/microsoft-defender-for-individuals\" target=\"_blank\" rel=\"noopener\">Defender<\/a> o encuentras errores parecidos, lo m\u00e1s probable es que los tokens hayan caducado o que el endpoint de la API sea incorrecto. Aseg\u00farate de usar el formato de endpoint correcto para solucionarlo.<\/p>\n<h3>Tiempos de espera del webhook<\/h3>\n<p>Hay casos en los que la alerta de Defender se activa, pero el ticket no aparece en el PSA porque la plataforma PSA no es accesible desde el cloud de Microsoft. Cuando ocurre, lo mejor es validar la accesibilidad de la URL del webhook.<\/p>\n<h3>Tickets duplicados<\/h3>\n<p>Los tickets duplicados en el PSA pueden aparecer cuando no se registra el ID de la alerta o del incidente tras crear el primer ticket. Comprueba siempre si la alerta ya se ha escalado antes de crear un ticket nuevo para evitar duplicados.<\/p>\n<h3>El ticket no aparece<\/h3>\n<p>Algunos tickets son dif\u00edciles de localizar o aparecen en otra cola porque se crearon en el tablero, la cola o el service desk equivocados. En este caso, lo mejor es confirmar que los campos obligatorios est\u00e1n incluidos y correctamente asignados.<\/p>\n<div class=\"in-context-cta\"><p style=\"text-align: center;\">Convierte las alertas de Defender en tickets accionables con remediaci\u00f3n automatizada.<\/p>\n<p style=\"text-align: center;\"><a href=\"https:\/\/www.ninjaone.com\/es\/msp\/psa\/\">Descubre las funciones de NinjaOne PSA.<\/a><\/p>\n<\/div>\n<h2>Servicios de NinjaOne que refuerzan la automatizaci\u00f3n del escalado de alertas<\/h2>\n<p>Con NinjaOne, los MSP pueden agilizar los flujos de trabajo que van de la amenaza al ticket, reducir el tiempo de respuesta y ofrecer un seguimiento listo para auditor\u00edas en toda su base de clientes. Algunos servicios que refuerzan la automatizaci\u00f3n del escalado de alertas son:<\/p>\n<ul>\n<li><strong>Programaci\u00f3n y distribuci\u00f3n de scripts<\/strong>: ejecuta scripts de consulta a Microsoft Graph y de escalado de tickets en los tenants de tus clientes.<\/li>\n<li><strong>Desencadenadores de webhook<\/strong>: integra directamente con la gesti\u00f3n de tickets o con canales de Slack para reenviar las alertas.<\/li>\n<li><strong>Monitorizaci\u00f3n del registro<\/strong>: controla las etiquetas de escalado a nivel de dispositivo mediante an\u00e1lisis personalizados del registro.<\/li>\n<li><strong>Control de pol\u00edticas de alertas<\/strong>: usa NinjaOne para decidir qu\u00e9 alertas requieren escalado, supresi\u00f3n o remediaci\u00f3n.<\/li>\n<li><strong>Paneles centralizados<\/strong>: muestra el estado de las alertas de Defender, los resultados del escalado y los endpoints afectados en todos los tenants.<\/li>\n<\/ul>\n<p>Si eres MSP y quieres centralizar y automatizar este flujo de trabajo, descubre m\u00e1s en las <a href=\"https:\/\/www.ninjaone.com\/es\/rmm\/faq\/\">preguntas frecuentes sobre RMM<\/a> de NinjaOne.<\/p>\n<h2>Olv\u00eddate de la monitorizaci\u00f3n manual: automatiza el escalado de alertas<\/h2>\n<p>Automatizar el escalado de alertas de Defender a plataformas PSA es imprescindible para los MSP que necesitan llevar a la pr\u00e1ctica sus flujos de detecci\u00f3n y respuesta. La automatizaci\u00f3n importa porque tambi\u00e9n elimina la carga de vigilar las alertas manualmente y garantiza un escalado documentado con seguimiento de los niveles de servicio.<\/p>\n<p><a href=\"https:\/\/www.ninjaone.com\/es\/msp\/psa\/\">NinjaOne PSA<\/a> centraliza la facturaci\u00f3n, la documentaci\u00f3n y la gesti\u00f3n de activos en un \u00fanico panel de control, y convierte las alertas automatizadas de Defender en flujos de remediaci\u00f3n detallados y con seguimiento. Integrar las alertas de Defender con NinjaOne PSA garantiza que los incidentes de seguridad se registren, asignen y escalen autom\u00e1ticamente seg\u00fan su gravedad, lo que mejora los tiempos de respuesta y evita que se pasen alertas por alto. Gana eficiencia con NinjaOne PSA. <a href=\"https:\/\/www.ninjaone.com\/es\/prueba-gratuita-formulario\/\">Reg\u00edstrate hoy mismo en la prueba gratuita de 14 d\u00edas<\/a>.<\/p>\n<p><strong>Temas relacionados:<\/strong><\/p>\n<ul>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/blog\/respuesta-a-incidentes-en-el-cloud\/\">Respuesta a incidentes en el cloud: buenas pr\u00e1cticas en 2026<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/blog\/automatizar-gestion-de-vulnerabilidades\/\">C\u00f3mo automatizar la gesti\u00f3n de vulnerabilidades<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/blog\/gestion-de-crisis-de-ti\/\">Gu\u00eda completa: \u00bfqu\u00e9 es la gesti\u00f3n de crisis de TI?<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/blog\/software-de-automatizacion-de-servicios-profesionales-psa\/\">\u00bfQu\u00e9 es el software de automatizaci\u00f3n de servicios profesionales (PSA)?<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/blog\/psa-y-rmm-diferencias\/\">\u00bfPSA o RMM? \u00bfCu\u00e1l es la diferencia?<\/a><\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>Microsoft Defender for Endpoint ofrece alertas de seguridad potentes y en tiempo real. Sin embargo, los t\u00e9cnicos de TI pueden pasarlas por alto si no se escalan al sistema PSA del MSP. Automatizar el escalado de alertas y la creaci\u00f3n de tickets cierra la brecha entre la detecci\u00f3n y la respuesta. Adem\u00e1s, integrar Defender con [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":536397,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[4357],"tags":[],"class_list":["post-899031","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-operaciones-de-ti"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/899031","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/comments?post=899031"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/899031\/revisions"}],"predecessor-version":[{"id":899032,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/899031\/revisions\/899032"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/media\/536397"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/media?parent=899031"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/categories?post=899031"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/tags?post=899031"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}