Como automatizar o escalonamento de alertas do Defender para sistemas PSA

O Microsoft Defender for Endpoint tem alertas de segurança em tempo real bastante robustos. Mesmo assim, técnicos de TI podem deixar passar esses alertas quando eles não chegam ao sistema PSA do MSP. Automatizar o escalonamento de alertas e a criação de tickets fecha a lacuna entre detecção e resposta. Integrar o Defender a um software PSA também garante que os técnicos ajam imediatamente diante das ameaças.

Para ver o tema explicado em vídeo, assista a Como automatizar o escalonamento de alertas do Defender para sistemas PSA.

Escalonamento de alertas com o Microsoft Power Automate

O Microsoft Defender for Endpoint traz um conector nativo do Power Automate que converte alertas do Defender em tickets de serviço acionáveis, sem precisar de scripts personalizados. Para automatizar o escalonamento de alertas do Defender para sistemas PSA, é preciso ter acesso de administrador ao Microsoft Power Automate.

1. Entre no Microsoft Power Automate.
2. Vá em Meus fluxos > Novo > Automatizado do zero.
3. Busque “Microsoft Defender ATP Triggers” como conector e selecione o gatilho New Alerts.
4. Escolha a próxima ação, como isolar o dispositivo, enviar um e-mail ou acionar um webhook para criar um ticket no PSA.
5. Salve e ative o fluxo.

Saiba mais sobre como usar o Power Automate para simplificar fluxos de trabalho de MSPs.

Formas de automatizar o escalonamento de alertas do Defender para sistemas PSA

Dá para automatizar o escalonamento de alertas do Defender para sistemas PSA recuperando os alertas do Defender, formatando o payload do alerta, acionando um webhook, agendando a consulta periódica de alertas, criando uma trilha de auditoria ou usando a Política de Grupo para melhorar os logs e o contexto dos alertas.

Pré-requisitos:

• Microsoft Defender for Endpoint Plano 2 ou Microsoft 365 E5
• Acesso de API ao seu sistema PSA
• Permissões do Microsoft Graph: SecurityAlert.Read.All e, para recuperar incidentes, SecurityIncident.Read.All
• Registro de aplicativo no Microsoft Entra ID para autenticação da automação
• Acesso de administrador ao NinjaOne, ao RMM ou ao mecanismo de scripts
• PowerShell 7+ e módulo Graph SDK

Método 1: conectar ao Microsoft Graph e recuperar alertas do Defender

Este método é ideal para equipes de TI que precisam recuperar alertas do Defender em tempo real

Parte 1: registre o aplicativo no Entra ID (Azure AD)

1. Entre no centro de administração do Microsoft Entra.
2. Acesse Entra ID > Registros de aplicativo e clique em Novo registro.
3. Informe um nome para o aplicativo.
4. Defina quem pode usar o aplicativo em Tipos de conta com suporte.
5. Clique em Registrar para concluir.
6. Anote a ID do aplicativo (cliente) exibida na página Visão geral do aplicativo.

Parte 2: atribua permissões da API do Microsoft Graph

1. Vá em Registros de aplicativo, selecione o aplicativo criado e abra Permissões de API.
2. Clique em Adicionar uma permissão > Microsoft Graph
3. Escolha:
   • permissões delegadas: quando há um usuário conectado envolvido
   • permissões de aplicativo: quando o aplicativo roda em segundo plano

Parte 3: gere e armazene um segredo do cliente

1. Selecione Registros de aplicativo, escolha o aplicativo criado e vá em Certificados e segredos.
2. Clique em Novo segredo do cliente.
3. Adicione uma descrição e a expiração, depois clique em Adicionar.
4. Copie o Valor do segredo na hora e guarde-o em local seguro, porque ele aparece uma única vez.

Parte 4: anote a ID do cliente, a ID do tenant e o segredo do cliente

Valores	Onde encontrar
ID do cliente	Registros de aplicativo → Selecione o aplicativo criado → Visão geral
ID do tenant	Registros de aplicativo → Visão geral
Segredo do cliente	Registros de aplicativo → Selecione o aplicativo criado → Certificados e segredos

Parte 5: conexão ao Microsoft Graph e recuperação dos alertas do Defender

1. Pressione Win, digite PowerShell e clique em Executar como administrador.
2. Copie e cole o script abaixo no prompt e pressione Enter:

• Script de conexão do PowerShell:

$clientId = “YOUR-APP-CLIENT-ID” $tenantId = “YOUR-TENANT-ID” $clientSecret = “YOUR-CLIENT-SECRET” $secureSecret = ConvertTo-SecureString $clientSecret -AsPlainText -Force $credential = New-Object System.Management.Automation.PSCredential($clientId, $secureSecret) Connect-MgGraph -TenantId $tenantId -ClientSecretCredential $credential

• Recuperar alertas:

Tipo de alerta	Script
Importar apenas o submódulo Security	Import-Module Microsoft.Graph.Security
Conectar (substitua pelo seu aplicativo ou login interativo)	Connect-MgGraph
Obter novos alertas	Get-MgSecurityAlertV2 | Where-Object { $_.Status -eq "new" }

Aviso: antes de aplicar a mudança de configuração em vários endpoints, teste primeiro em uma máquina local.

Método 2: formatar o payload do alerta para criar o ticket no PSA

Este método serve para administradores de TI que querem preparar os detalhes do alerta do Defender antes de enviá-los a um helpdesk ou sistema PSA.

O objetivo é montar o conteúdo do ticket a partir dos alertas do Microsoft Defender e formatá-lo em um payload JSON para envio ao sistema PSA via webhook.

Etapa 1: formate o título do ticket

• Monte um título com a severidade e o título:
  • "[$($_.Severity)] $($_.Title)"
• Exemplo:
  • [High] Ransomware activity detected

Etapa 2: componha o corpo do ticket

• Inclua os detalhes relevantes ao criar o corpo do ticket:
  • Defender Alert: $alert.Description
  • Device: $alert.DeviceName
  • User: $alert.UserPrincipalName
  • Detected At: $alert.CreatedDateTime
  • Alert ID: $alert.Id
• Exemplo:
  • Defender Alert: File encryption behavior detected on device LAPTOP-1234.
  • Device: LAPTOP-1234
  • User: [email protected]
  • Detected At: 2025-07-01T14:00:00Z
  • Alert ID: 3d7f2ae1-xxxx-yyyy-zzzz-abc123

Observação: os nomes dos campos variam conforme o ambiente e a versão do Microsoft Graph.

Etapa 3: mapeie a categoria para o tipo de problema no PSA

Depois, associe a categoria do alerta a um tipo de problema do PSA. Use a tabela a seguir como referência:

Exemplo de categoria do Defender	Exemplo de tipo de problema no PSA
Malware	Incidente de segurança
Roubo de credenciais	Ameaça de identidade
Atividade suspeita	Análise comportamental
Phishing	Segurança de e-mail
Software indesejado	Potencialmente indesejado
Outros	Alerta geral

Observação: os mapeamentos exatos mudam de um sistema PSA para outro.

Etapa 4: monte o payload JSON

Com base nos exemplos acima, um payload JSON genérico ficaria assim. Ajuste os nomes dos campos e os valores conforme os requisitos da API do seu PSA:

{ "summary": "[High] Ransomware activity detected", "description": "Defender Alert: File encryption behavior detected on device LAPTOP-1234.\n\nDevice: LAPTOP-1234\nUser: [email protected]\nDetected At: 2025-07-01T14:00:00Z\nAlert ID: 3d7f2ae1-xxxx-yyyy-zzzz-abc123", "priority": "High", "endpoint": "LAPTOP-1234", "detectedAt": "2025-07-01T14:00:00Z" }

Método 3: acionar webhook ou chamada de API para o sistema PSA

Este método envia os dados formatados do alerta do Defender para uma API ou webhook do PSA, que então cria o ticket.

1. Pressione Win + R, digite PowerShell e clique em Executar como administrador.
2. Copie e cole o script abaixo no prompt e pressione Enter para enviar um ticket com PowerShell e um webhook:

Invoke-RestMethod -Method Post -Uri $psaWebhookUrl -Body
($alertJson | ConvertTo-Json -Depth 5) -ContentType “application/json”

Observação: $psaWebhookUrl e $alertJson são espaços reservados e devem ser substituídos pelo endpoint real do webhook do seu PSA e por um payload JSON formatado corretamente.

Para sistemas com acesso de API baseado em token:

• Autentique via token REST
• Use HTTP POST no endpoint /tickets
• Confirme o status de resposta 200/201 e o retorno da ID do ticket

Dica: registre a criação do ticket localmente ou nos logs de eventos para garantir rastreabilidade.

Método 4: agendar a consulta de alertas com PowerShell ou Azure Automation

Configure o script para rodar a cada 5 a 15 minutos em uma plataforma de agendamento, recuperando e processando os alertas recentes.

1. Pressione Win + R, digite PowerShell e clique em Executar como administrador.
2. Copie e cole o script abaixo no prompt e pressione Enter para detectar e escalonar novos alertas a cada 5 a 15 minutos:

$alerts = Get-MgSecurityAlertV2 | Where-Object { $_.Status -eq "new" -and $_.CreatedDateTime -gt (Get-Date).AddMinutes(-15) }

Você pode executar isso por meio de:

• Azure Automation com identidade gerenciada
• Agendador de Tarefas do Windows em endpoint controlado pelo RMM
• política de scripts do NinjaOne

Observação: antes de rodar este script, conecte-se usando Connect-MgGraph e confirme que o aplicativo tem as permissões corretas.

Método 5: criar uma trilha de auditoria no registro dos endpoints escalonados

Caso de uso: registrar o horário do último escalonamento de alerta para verificações de auditoria no endpoint

1. Grave o registro no dispositivo afetado durante a criação do ticket.
2. Pressione Win + R, digite PowerShell e clique em Executar como administrador.
3. Copie e cole o script abaixo no prompt e pressione Enter:

$alerts = Get-MgSecurityAlertV2 | a $path = "HKLM:\SOFTWARE\Org\DefenderEscalation" New-Item -Path $path -Force | Out-Null New-ItemProperty -Path $path ` -Name "LastAlertEscalated" ` -Value "$(Get-Date -Format u)" ` -PropertyType String ` -Force Where-Object { $_.Status -eq "new" -and $_.CreatedDateTime -gt (Get-Date).AddMinutes(-15) }

Assim, os agentes de RMM conseguem ler o horário do último escalonamento registrado diretamente no dispositivo.

Aviso: gravar no registro pode gerar conflito com chaves ou políticas já existentes. (Mais informações em: Pontos de atenção)

Método 6: usar a Política de Grupo para melhorar os logs e o contexto dos alertas

Esta etapa dá mais contexto aos próximos alertas e facilita a investigação dos problemas.

1. Pressione Win + R, digite gpedit.msc e pressione Enter para abrir o Editor de Política de Grupo Local.
2. Navegue até:

Configuração do Computador > Modelos Administrativos > Componentes do Windows > Microsoft Defender Antivírus > Relatórios

3. Configure as políticas de relatório do Microsoft Defender Antivírus necessárias para o seu ambiente:
   • Enviar informações de alerta para o Microsoft Defender for Endpoint
   • Monitorar e registrar ameaças detectadas

Aplique políticas de auditoria

1. Navegue até:

Configuração do Computador > Configurações do Windows > Configurações de Segurança > Configuração de Política de Auditoria Avançada > Políticas de Auditoria do Sistema> Acesso a Objetos

2. Ative as opções a seguir para enriquecer a telemetria dos alertas:
   • Auditar Sistema de Arquivos (registro de exclusão de arquivos).
   • Auditar Registro (alterações no registro).
3. Depois, navegue até:

Configuração do Computador > Configurações do Windows > Configurações de Segurança > Configuração de Política de Auditoria Avançada > Políticas de Auditoria do Sistema > Controle Detalhado > Auditar Criação de Processo

4. Ative a execução de processos

Aviso: ativar políticas de auditoria detalhadas aumenta o tamanho dos logs. (Mais informações em: Pontos de atenção)

Pontos de atenção

Riscos	Possíveis consequências	Como reverter
Não testar em uma máquina local	Aplicar um script sem teste pode causar erros ou mudanças de configuração indesejadas.	Teste as alterações primeiro em um dispositivo fora de produção e verifique se a configuração gera o resultado esperado.
Chaves em conflito	Os valores do registro podem ser sobrescritos ou entrar em conflito com configurações gerenciadas por Política de Grupo, MDM ou outras ferramentas de gerenciamento.	Use um caminho de registro dedicado para evitar conflitos.
Logs maiores	Consomem espaço em disco rapidamente.	Configure a retenção e os limites de tamanho dos logs no Visualizador de Eventos.

Outras considerações

As práticas a seguir garantem que o PSA trate os alertas de segurança com precisão em ambientes multitenant.

Remoção de duplicidades

Evite tickets duplicados verificando a ID do alerta em um cache ou banco de dados antes de criar um novo. Isso impede a enxurrada de tickets gerada por alertas repetidos.

Ciclo de vida do alerta

Mantenha o status do ticket no PSA sincronizado com as mudanças de status dos alertas do Defender, conforme as regras de mapeamento definidas. Isso melhora a rastreabilidade dos incidentes e reduz a bagunça de tickets.

Visão por tenant

Inclua informações de contexto, como ID do tenant ou nome do cliente, para garantir que os tickets fiquem associados ao cliente, tenant ou site correto em ambientes multitenant.

Retenção de dados

Preserve o mapeamento entre alerta e ticket para manter a correspondência entre as IDs de alerta do Defender e as IDs de ticket do PSA, seja por conformidade, auditoria ou revisão de incidentes. A retenção de dados também permite análises mais profundas sobre padrões de ameaças e a capacidade de resposta do PSA.

Solução de problemas comuns no escalonamento de alertas

Veja abaixo os problemas mais comuns nas integrações entre Defender e PSA, com as respectivas soluções.

Falhas na API do Graph

Se não conseguir recuperar alertas do Defender ou receber erros parecidos, os culpados costumam ser tokens expirados ou um endpoint de API incorreto. Use o formato correto de endpoint para resolver.

Timeouts do webhook

Se a requisição do webhook falhar ou o ticket não aparecer no PSA, verifique a URL do webhook, a conectividade de rede, a autenticação, o formato do payload e a resposta HTTP devolvida pelo PSA. Essas checagens ajudam a identificar problemas de conectividade, configuração ou API que impedem a criação do ticket.

Tickets duplicados

Tickets duplicados no PSA aparecem quando a ID do alerta ou do incidente não é rastreada depois da criação do primeiro ticket. Verifique sempre se o alerta já foi escalonado antes de criar outro ticket.

Ticket não aparece

Alguns tickets ficam difíceis de achar ou surgem em outra fila porque foram criados no quadro, na fila ou no service desk errado. Nesse caso, o melhor é confirmar se os campos obrigatórios foram incluídos e mapeados corretamente.

Recursos do NinjaOne que reforçam a automação do escalonamento de alertas

MSPs podem usar NinjaOne para automatizar fluxos de trabalho nos endpoints, executar scripts, gerar alertas e apoiar fluxos de tickets em todos os ambientes gerenciados. Veja alguns recursos que reforçam a automação do escalonamento de alertas:

• Agendamento e entrega de scripts: execute consultas ao Microsoft Graph e scripts de escalonamento de tickets nos tenants dos clientes.
• Gatilhos de webhook: integre diretamente com sistemas de tickets ou canais do Slack para encaminhar alertas.
• Monitoramento personalizado de endpoints: use scripts ou condições de monitoramento compatíveis para checar indicadores de escalonamento no nível do dispositivo.
• Controle de políticas de alerta: use NinjaOne para definir quais alertas exigem escalonamento, supressão ou correção.
• Visibilidade centralizada: acompanhe endpoints gerenciados, condições acionadas e atividade de automação nos painéis do NinjaOne..

MSPs que querem centralizar e automatizar esse fluxo encontram mais detalhes no FAQ de RMM do NinjaOne.

Automatize o escalonamento de alertas e deixe o monitoramento manual para trás

Automatizar o escalonamento de alertas do Defender para plataformas PSA ajuda MSPs a colocar em prática os fluxos de detecção e resposta. A automação reduz o trabalho manual de monitorar alertas e sustenta um escalonamento documentado, e o acompanhamento de nível de serviço pode ser feito pelo PSA quando configurado.

Temas relacionados:

• Resposta a incidentes na nuvem: melhores práticas em 2026
• Como automatizar o gerenciamento de vulnerabilidades
• Guia completo: o que é gerenciamento de crises em TI?
• O que é um software de automação de serviços profissionais (PSA)?
• PSA x RMM: qual é a diferença?