Zo automatiseert u alert escalation van Defender naar PSA-systemen

Microsoft Defender for Endpoint beschikt over krachtige, realtime beveiligingsmeldingen. IT-technici kunnen die notificaties echter over het hoofd zien wanneer ze niet worden geëscaleerd naar het PSA-systeem van de MSP. Het automatiseren van alert escalation en het aanmaken van tickets overbrugt de kloof tussen detectie en respons. Door Defender te integreren met PSA-software, kunnen technici ook direct op dreigingen reageren.

Wilt u een video-uitleg over dit onderwerp? Bekijk dan Alert escalation van Defender naar PSA-systemen automatiseren.

Microsoft Power Automate gebruiken voor alert escalation

Microsoft Defender for Endpoint biedt een ingebouwde Power Automate-connector die Defender-notificaties automatisch omzet in bruikbare servicetickets zonder dat u daarvoor eigen scripts hoeft te schrijven. U hebt beheerderstoegang tot Microsoft Power Automate nodig om alert escalation van Defender naar PSA-systemen te automatiseren.

1. Meld u aan bij Microsoft Power Automate.
2. Ga naar Mijn stromen > Nieuw > Geautomatiseerd – vanaf leeg.
3. Zoek naar “Microsoft Defender ATP Triggers” als connector en selecteer vervolgens de trigger New Alerts.
4. Kies uw volgende actie, zoals het isoleren van het device, het versturen van een e-mail of het activeren van een webhook om een PSA-ticket aan te maken.
5. Sla de stroom op en schakel hem in.

Lees meer over hoe u met Power Automate MSP-workflows vereenvoudigt.

Manieren om alert escalation van Defender naar PSA-systemen te automatiseren

U kunt alert escalation van Defender naar PSA-systemen automatiseren door Defender-notificaties op te halen, de alert payload op te maken, een webhook te activeren, alert polling in te plannen, een audittrail toe te voegen of Group Policy te gebruiken om logging en alertcontext te verbeteren.

Vereisten:

• Microsoft Defender for Endpoint Plan 2 of Microsoft 365 E5
• API-toegang tot uw PSA-systeem
• Microsoft Graph-machtigingen: SecurityAlert.Read.All en, als u incidenten ophaalt, SecurityIncident.Read.All
• Een app-registratie in Microsoft Entra ID voor authenticatie van de automatisering
• Beheerderstoegang tot NinjaOne, RMM of een scriptengine
• PowerShell 7+ en de Graph SDK-module

Methode 1: verbinding maken met Microsoft Graph en Defender-notificaties ophalen

Deze methode is uitstekend geschikt voor IT-teams die live Defender-notificaties willen ophalen

Deel 1: registreer uw app in Entra ID (Azure AD)

1. Meld u aan bij het Microsoft Entra-beheercentrum.
2. Ga naar Entra ID > App-registraties en klik op Nieuwe registratie.
3. Voer een naam in voor uw app.
4. Geef onder Ondersteunde accounttypen op wie de applicatie mag gebruiken.
5. Klik op Registreren om de registratie af te ronden.
6. Noteer de Toepassings-id (client) die op de pagina Overzicht van de applicatie wordt getoond.

Deel 2: Microsoft Graph API-machtigingen toewijzen

1. Ga naar App-registraties, selecteer de applicatie die u hebt aangemaakt en ga vervolgens naar API-machtigingen.
2. Klik op Een machtiging toevoegen > Microsoft Graph
3. Kies:
   • Gedelegeerde machtigingen: als er een aangemelde gebruiker bij betrokken is
   • Toepassingsmachtigingen: als uw app op de achtergrond draait

Deel 3: een clientgeheim genereren en opslaan

1. Selecteer App-registraties, selecteer de applicatie die u hebt aangemaakt en ga vervolgens naar Certificaten & geheimen.
2. Klik op Nieuw clientgeheim.
3. Voeg een beschrijving en een vervaldatum toe en klik op Toevoegen.
4. Kopieer de waarde van het geheim direct en bewaar die veilig, want hij wordt maar één keer getoond.

Deel 4: noteer de client-id, tenant-id en het clientgeheim

Waarden	Waar te vinden
Client-id	App-registraties → selecteer de applicatie die u hebt aangemaakt → Overzicht
Tenant-id	App-registraties → Overzicht
Clientgeheim	App-registraties → selecteer de applicatie die u hebt aangemaakt → Certificaten & geheimen

Deel 5: verbinding maken met Microsoft Graph en Defender-notificaties ophalen

1. Druk op Win, typ PowerShell en klik op Als administrator uitvoeren.
2. Kopieer en plak het volgende script in de prompt en druk op Enter:

• PowerShell-verbindingsscript:

$clientId = “YOUR-APP-CLIENT-ID” $tenantId = “YOUR-TENANT-ID” $clientSecret = “YOUR-CLIENT-SECRET” $secureSecret = ConvertTo-SecureString $clientSecret -AsPlainText -Force $credential = New-Object System.Management.Automation.PSCredential($clientId, $secureSecret) Connect-MgGraph -TenantId $tenantId -ClientSecretCredential $credential

• Notificaties ophalen:

Type notificatie	Script
Alleen de Security-submodule importeren	Import-Module Microsoft.Graph.Security
Verbinding maken (vervang door uw app of interactieve aanmelding)	Connect-MgGraph
Nieuwe notificaties ophalen	Get-MgSecurityAlertV2 | Where-Object { $_.Status -eq "new" }

Waarschuwing: voordat u de instellingswijziging op verschillende endpoints uitrolt kunt u die het beste eerst op een lokale machine testen.

Methode 2: de alert payload opmaken voor het aanmaken van PSA-tickets

Deze methode is bedoeld voor IT-beheerders die details van Defender-notificaties willen voorbereiden voor verzending naar een helpdesk- of PSA-systeem.

Hiermee bereidt u ticketinhoud voor op basis van Microsoft Defender-notificaties en maakt u die op als JSON-payload om via een webhook naar een PSA-systeem te sturen.

Stap 1: de tickettitel opmaken

• Stel een titel samen met severity en title:
  • "[$($_.Severity)] $($_.Title)"
• Voorbeeld:
  • [High] Ransomware activity detected

Stap 2: de ticketinhoud samenstellen

• Zorg dat u relevante details opneemt wanneer u de ticketinhoud aanmaakt:
  • Defender Alert: $alert.Description
  • Device: $alert.DeviceName
  • User: $alert.UserPrincipalName
  • Detected At: $alert.CreatedDateTime
  • Alert ID: $alert.Id
• Voorbeeld:
  • Defender Alert: File encryption behavior detected on device LAPTOP-1234.
  • Device: LAPTOP-1234
  • User: [email protected]
  • Detected At: 2025-07-01T14:00:00Z
  • Alert ID: 3d7f2ae1-xxxx-yyyy-zzzz-abc123

Let op: veldnamen kunnen per omgeving en per Microsoft Graph-versie verschillen.

Stap 3: de categorie koppelen aan een PSA-issuetype

Daarna koppelt u de alertcategorie aan een PSA-issuetype. Gebruik het volgende als referentie:

Voorbeeld Defender-categorie	Voorbeeld PSA-issuetype
Malware	Beveiligingsincident
Diefstal van inloggegevens	Identiteitsdreiging
Verdachte activiteit	Gedragsanalyse
Phishing	E-mailbeveiliging
Ongewenste software	Mogelijk ongewenst
Overig	Algemene notificatie

Let op: de exacte koppelingen kunnen per PSA-systeem verschillen.

Stap 4: de JSON-payload opbouwen

Met de bovenstaande voorbeelden zou een generieke JSON-payload er zo uit kunnen zien. Pas de veldnamen en waarden aan op de vereisten van uw PSA-API:

{ "summary": "[High] Ransomware activity detected", "description": "Defender Alert: File encryption behavior detected on device LAPTOP-1234.\n\nDevice: LAPTOP-1234\nUser: [email protected]\nDetected At: 2025-07-01T14:00:00Z\nAlert ID: 3d7f2ae1-xxxx-yyyy-zzzz-abc123", "priority": "High", "endpoint": "LAPTOP-1234", "detectedAt": "2025-07-01T14:00:00Z" }

Methode 3: een webhook of API-aanroep naar het PSA-systeem activeren

Deze methode stuurt opgemaakte Defender-alertgegevens naar een PSA-API of webhook om een ticket aan te maken.

1. Druk op Win + R, typ PowerShell en klik op Als administrator uitvoeren.
2. Kopieer en plak het volgende script in de prompt en druk op Enter om een ticket te versturen met PowerShell en een webhook:

Invoke-RestMethod -Method Post -Uri $psaWebhookUrl -Body
($alertJson | ConvertTo-Json -Depth 5) -ContentType “application/json”

Let op: $psaWebhookUrl en $alertJson zijn placeholders en moeten worden vervangen door uw eigen PSA-webhook-endpoint en een correct opgemaakte JSON-payload.

Voor systemen met token-gebaseerde API-toegang:

• Authenticeer via een REST-token
• Gebruik HTTP POST naar het /tickets-endpoint
• Controleer of de responsstatus 200/201 is en of er een ticket-id wordt teruggegeven

Tip: leg het aanmaken van tickets lokaal of in de gebeurtenislogboeken vast voor traceerbaarheid.

Methode 4: alert polling inplannen met PowerShell of Azure Automation

Stel dit script zo in dat het elke 5 tot 15 minuten wordt uitgevoerd via een planningsplatform om recente notificaties op te halen en te verwerken.

1. Druk op Win + R, typ PowerShell en klik op Als administrator uitvoeren.
2. Kopieer en plak het volgende script in de prompt en druk op Enter om elke 5 tot 15 minuten nieuwe notificaties te detecteren en te escaleren:

$alerts = Get-MgSecurityAlertV2 | Where-Object { $_.Status -eq "new" -and $_.CreatedDateTime -gt (Get-Date).AddMinutes(-15) }

U kunt dit uitvoeren via:

• Azure Automation met een beheerde identiteit
• Windows Taakplanner op een endpoint dat via RMM wordt beheerd
• Een NinjaOne-scriptingbeleid

Let op: voordat u dit script uitvoert moet u eerst verbinding maken met Connect-MgGraph en controleren of de app de juiste machtigingen heeft.

Methode 5: een audittrail in het register toevoegen aan geëscaleerde endpoints

Use case: het tijdstip van de laatste alert escalation vastleggen voor endpointaudits

1. Leg tijdens het aanmaken van het ticket gegevens vast in het register van het betreffende device.
2. Druk op Win + R, typ PowerShell en klik op Als administrator uitvoeren.
3. Kopieer en plak het volgende script in de prompt en druk op Enter:

$alerts = Get-MgSecurityAlertV2 | a $path = "HKLM:\SOFTWARE\Org\DefenderEscalation" New-Item -Path $path -Force | Out-Null New-ItemProperty -Path $path ` -Name "LastAlertEscalated" ` -Value "$(Get-Date -Format u)" ` -PropertyType String ` -Force Where-Object { $_.Status -eq "new" -and $_.CreatedDateTime -gt (Get-Date).AddMinutes(-15) }

Zo kunnen RMM-agents het laatst vastgelegde escalatietijdstip op deviceniveau uitlezen.

Waarschuwing: schrijven naar het register kan conflicteren met bestaande sleutels of beleidsregels. (Meer informatie vindt u in: Waar u op moet letten)

Methode 6: Group Policy gebruiken om logging en alertcontext te verbeteren

Deze stap geeft toekomstige notificaties meer context, waardoor het eenvoudiger wordt om problemen te onderzoeken.

1. Druk op Win + R, typ gpedit.msc en druk op Enter om de Editor voor lokaal groepsbeleid te openen.
2. Ga naar:

Computerconfiguratie > Beheersjablonen > Windows-onderdelen > Microsoft Defender Antivirus > Rapportage

3. Configureer de rapportagebeleidsregels van Microsoft Defender Antivirus die uw omgeving nodig heeft:
   • Alertinformatie naar Microsoft Defender for Endpoint sturen
   • Gedetecteerde dreigingen monitoren en loggen

Auditbeleid toepassen

1. Ga naar:

Computerconfiguratie > Windows-instellingen > Beveiligingsinstellingen > Geavanceerde configuratie van controlebeleid > Systeemcontrolebeleid > Objecttoegang

2. Schakel het volgende in om de alerttelemetrie te verrijken:
   • Bestandssysteem controleren (logging voor bestandsverwijdering).
   • Register controleren (wijzigingen in het register).
3. Ga vervolgens naar:

Computerconfiguratie > Windows-instellingen > Beveiligingsinstellingen > Geavanceerde configuratie van controlebeleid > Systeemcontrolebeleid > Gedetailleerde tracering > Procescreatie controleren

4. Schakel Procesuitvoering in

Waarschuwing: het inschakelen van gedetailleerd auditbeleid vergroot de omvang van de logboeken. (Meer informatie vindt u in: Waar u op moet letten)

Waar u op moet letten

Risico’s	Mogelijke gevolgen	Herstelacties
Niet testen op een lokale machine	Het uitrollen van een ongetest script kan fouten of onbedoelde configuratiewijzigingen veroorzaken.	Test de wijzigingen eerst op een device buiten de productieomgeving en controleer of de configuratie het gewenste resultaat oplevert.
Conflicterende sleutels	Registerwaarden kunnen worden overschreven of conflicteren met instellingen die via Group Policy, MDM of andere beheertools worden beheerd.	Gebruik een apart registerpad om conflicten te voorkomen.
Grotere logbestanden	Verbruikt snel schijfruimte.	Stel bewaartermijnen en groottelimieten voor logboeken in via Logboeken.

Aanvullende overwegingen

De volgende praktijken zorgen ervoor dat uw PSA beveiligingsnotificaties nauwkeurig afhandelt in multi-tenant omgevingen.

Ontdubbeling

Voorkom dubbele tickets door de alert-id in een cache of database te controleren voordat u een nieuw ticket aanmaakt. Zo voorkomt u een stortvloed aan tickets door herhaalde notificaties.

Alert lifecycle

Houd de status van PSA-tickets synchroon met de relevante statuswijzigingen van Defender-notificaties op basis van vastgelegde koppelingsregels. Dat verbetert de traceerbaarheid van incidenten en beperkt rommel in uw ticketoverzicht.

Oog voor multi-tenant omgevingen

Neem context op, zoals de tenant-id of klantnaam, zodat tickets in multi-tenant omgevingen aan de juiste klant, tenant of locatie worden gekoppeld.

Gegevensbewaring

Bewaar de koppeling tussen alert en ticket, zodat de relatie tussen Defender-alert-id’s en PSA-ticket-id’s behouden blijft voor compliance, audits of incidentevaluaties. Gegevensbewaring maakt ook diepgaandere analytics mogelijk op dreigingspatronen en de responsiviteit van uw PSA.

Veelvoorkomende problemen met alert escalation oplossen

Hieronder vindt u veelvoorkomende problemen bij integraties tussen Defender en PSA, met de bijbehorende oplossingen.

Graph API werkt niet

Als u geen notificaties kunt ophalen uit Defender of vergelijkbare fouten tegenkomt, zijn verlopen tokens of een onjuist API-endpoint de waarschijnlijke oorzaak. Gebruik de juiste endpoint-indeling om de problemen op te lossen.

Webhook-timeouts

Als een webhook-aanvraag mislukt of er geen ticket in de PSA verschijnt, controleert u de webhook-URL, de netwerkverbinding, de authenticatie, de payload-indeling en de HTTP-respons die de PSA teruggeeft. Deze controles helpen problemen met connectiviteit, configuratie of de API op te sporen die het aanmaken van een ticket kunnen verhinderen.

Dubbele tickets

Dubbele PSA-tickets kunnen ontstaan wanneer de alert- of incident-id niet wordt bijgehouden nadat het eerste ticket is aangemaakt. Controleer altijd of de notificatie al is geëscaleerd voordat u een nieuw ticket aanmaakt, om duplicatie te voorkomen.

Ticket niet zichtbaar

Sommige tickets zijn lastig te vinden of staan in een andere wachtrij omdat ze op het verkeerde board, in de verkeerde wachtrij of bij de verkeerde service desk zijn aangemaakt. In dat geval kunt u het beste controleren of de vereiste velden zijn ingevuld en correct zijn gekoppeld.

NinjaOne-diensten die het automatiseren van alert escalation versterken

MSP’s kunnen NinjaOne gebruiken om endpointworkflows te automatiseren, scripts uit te voeren, notificaties te genereren en ticketworkflows te ondersteunen in beheerde omgevingen. Enkele diensten die het automatiseren van alert escalation versterken:

• Scripts plannen en uitrollen: voer Microsoft Graph-query’s en scripts voor ticketescalatie uit in alle klanttenants.
• Webhook-triggers: integreer rechtstreeks met ticketsystemen of Slack-kanalen om notificaties door te sturen.
• Aangepaste endpointmonitoring: gebruik scripts of ondersteunde monitoringvoorwaarden om escalatie-indicatoren op deviceniveau te controleren.
• Beheer van alertbeleid: bepaal met NinjaOne welke notificaties escalatie, onderdrukking of remediatie vereisen.
• Centraal overzicht: monitor beheerde endpoints, geactiveerde voorwaarden en automatiseringsactiviteit via de NinjaOne-dashboards..

Wilt u als MSP deze workflow centraliseren en automatiseren? Lees dan meer in de NinjaOne RMM-FAQ.

Stop met handmatig notificaties monitoren en automatiseer alert escalation

Het automatiseren van alert escalation van Defender naar PSA-platforms helpt MSP’s om detectie- en responsworkflows operationeel te maken. Automatisering verlaagt de overhead van handmatige alertmonitoring en ondersteunt gedocumenteerde escalatie, terwijl het volgen van serviceniveaus via de PSA kan worden ingericht wanneer die is geconfigureerd.

Gerelateerde onderwerpen:

• Cloud incident response: beste praktijken in 2026
• Zo automatiseert u vulnerability management
• Complete gids: wat is IT-crisismanagement?
• Wat is Professional Services Automation (PSA)-software?
• PSA versus RMM: wat is het verschil?