Um alerta de segurança dispara. E agora?
Essa é a pergunta que muitas equipes de TI não têm uma resposta clara. Elas sabem que algo aconteceu, mas a resposta é improvisada: verificar o dispositivo, perguntar ao usuário, tentar algo, aguardar. Isso custa tempo — e em incidentes reais, tempo é exatamente o que não sobra.
Este playbook cobre os alertas de segurança disponíveis no Lunixar RMM: o que cada um significa, qual contexto verificar primeiro e quais ações tomar para fechar o ciclo. Sem improvisar.
1) Antes de reagir: o contexto muda tudo
Quando um alerta dispara, o primeiro impulso é conectar ao dispositivo imediatamente. Mas antes de abrir uma sessão remota, duas coisas valem a pena verificar no portal:
- Inventário e snapshots: qual software foi instalado recentemente? Algo mudou no hardware ou na configuração? Com até 5 snapshots históricos por dispositivo, a causa muitas vezes está ali antes de você precisar se conectar.
- Histórico de alertas do dispositivo: é a primeira vez que esse alerta dispara, ou é um padrão? Um
AntivirusDisabledque aparece toda semana no mesmo dispositivo conta uma história diferente de um que aparece pela primeira vez.
Esse contexto prévio reduz o tempo de diagnóstico e evita ações que não correspondem à situação.
Dica prática: antes de agir sobre qualquer alerta de segurança, abra o snapshot mais recente do dispositivo e compare com o anterior. Se algo mudou, você já tem 80% do diagnóstico.
2) Alertas de antivírus: os três que você não pode ignorar
AntivirusDisabled O antivírus está desativado. Pode ser um usuário que desligou "porque estava lento", um aplicativo que o desativou durante a instalação, ou algo mais sério.
Fluxo de resposta:
1. Verifique o inventário: algum software novo foi instalado recentemente? 2. Execute UpdateSignatures para garantir que as definições estão atualizadas. 3. Execute QuickScan para confirmar que não há ameaças ativas. 4. Reative o antivírus se foi desativado manualmente. 5. Se o antivírus continua se desativando sozinho, escale — pode ser sinal de infecção ativa.
MalwareDetected O Defender encontrou algo. O alerta chega antes de o usuário reportar — se é que reporta.
Fluxo de resposta:
1. Verifique o snapshot de inventário: há algum software desconhecido instalado? 2. Execute UpdateSignatures primeiro — as definições atuais podem detectar o que as anteriores deixaram passar. 3. Execute FullScan para uma análise completa. 4. Se o Defender já identificou a ameaça, use RemoveThreats para eliminá-la. 5. Confirme que o status do Defender ficou limpo após a conclusão da ação.
As ações seguem este ciclo: pending → processing → ready (ou failed se algo deu errado). Monitore esse status antes de declarar o incidente encerrado.
DefenderExclusionAdded Uma exclusão foi adicionada ao Windows Defender. Existem casos legítimos (softwares específicos que geram falsos positivos), mas em ambientes não controlados isso é sinal de alerta.
Fluxo de resposta:
1. Identifique qual exclusão foi adicionada e quando. 2. Verifique se coincide com alguma instalação de software recente no snapshot. 3. Se não há justificativa clara, revise com o usuário ou o administrador do dispositivo. 4. Execute QuickScan para verificar se não há atividade ativa sob essa exclusão.
Dica prática: MalwareDetected e AntivirusDisabled no mesmo dispositivo em um curto período é combinação de alto risco. Trate como incidente ativo, não como dois alertas independentes.
3) Alertas de autenticação: volume como sinal
FailedLoginBurst Múltiplas tentativas de login malsucedidas em um curto período. O limite avalia volume ao longo do tempo, não picos pontuais.
Pode ser um usuário que esqueceu a senha. Pode ser um ataque de força bruta de dentro da rede ou de uma conta comprometida.
Fluxo de resposta:
1. Identifique a conta afetada e a origem das tentativas. 2. Se as tentativas vêm de uma conta de usuário conhecida, confirme com o usuário. 3. Se as tentativas vêm de uma conta de serviço ou origem desconhecida, bloqueie a conta imediatamente e escale. 4. Verifique se há outros alertas no mesmo dispositivo ou em outros dispositivos do mesmo segmento de rede.
AccountLockoutBurst Várias contas bloqueadas em um curto período. Mais grave que tentativas falhas: significa que as tentativas atingiram o limite de bloqueio, o que implica volume e persistência.
Fluxo de resposta:
1. Identifique quantas contas estão bloqueadas e se o padrão é em um único dispositivo ou em vários. 2. Se for um único dispositivo, revise os processos ativos e o histórico de eventos de segurança. 3. Se for em múltiplos dispositivos simultaneamente, trate como possível movimento lateral ou ataque coordenado. 4. Não desbloqueie contas sem antes investigar a origem.
Dica prática: FailedLoginBurst seguido de AccountLockoutBurst no mesmo dispositivo em minutos é o padrão de ataque de força bruta mais claro que você vai ver. A ordem importa.
4) Alertas de auditoria: o que muda sem ninguém te avisar
Estes são os alertas mais fáceis de ignorar e os mais importantes de ter documentados.
SecurityLogCleared O registro de eventos de segurança foi apagado. Há pouquíssimas razões legítimas para fazer isso. Na maioria dos casos, alguém tentou eliminar evidências de atividade.
Fluxo de resposta:
1. Identifique quem realizou a ação (se os logs anteriores permitirem). 2. Verifique se há outros alertas nesse dispositivo nas horas anteriores. 3. Trate este evento como indicador de comprometimento até que se prove o contrário. 4. Execute FullScan no dispositivo afetado.
PrivilegedGroupMembershipChange Alguém foi adicionado a um grupo privilegiado (Administradores, por exemplo).
Fluxo de resposta:
1. Confirme se a mudança foi autorizada (por TI ou por um processo de gestão de acessos). 2. Se não há registro de autorização, investigue quem realizou a mudança e quando. 3. Se a conta adicionada não deveria ter privilégios, revogue o acesso imediatamente.
AuditPolicyChanged A política de auditoria do sistema foi modificada. Isso pode reduzir quais eventos são registrados, permitindo que atividade maliciosa passe sem log.
Fluxo de resposta:
1. Compare a política atual com a configuração esperada. 2. Restaure a política se foi modificada sem autorização. 3. Verifique se a mudança coincide com atividade suspeita em snapshots ou alertas recentes.
Dica prática: SecurityLogCleared + AuditPolicyChanged no mesmo dispositivo em pouco tempo é um dos padrões de cobertura de rastros mais comuns. Se os vir juntos, escale sem esperar.
5) Ações do Defender: como funciona o ciclo completo
As quatro ações disponíveis sobre o Windows Defender a partir do portal são:
QuickScan: varredura nas áreas de maior risco. Mais rápida — ideal como primeiro passo.FullScan: varredura completa do sistema. Mais lenta, mas cobre tudo.UpdateSignatures: atualiza as definições de vírus. Sempre vale executar antes de uma varredura.RemoveThreats: remove as ameaças que o Defender já identificou.
O ciclo de uma ação segue estes estados: pending (na fila) → processing (executando no dispositivo) → ready (concluída) ou failed (algo deu errado na execução).
Não declare um incidente encerrado até ver o status ready. Se o status permanecer em failed, verifique a conectividade do agente e se o serviço do Defender está ativo no dispositivo.
Essas ações também funcionam em massa: se um incidente afeta múltiplos dispositivos, você pode lançar UpdateSignatures + FullScan em toda a frota afetada pelo portal sem precisar se conectar a cada dispositivo individualmente.
Dica prática: a ordem recomendada é sempre UpdateSignatures primeiro, depois a varredura. Definições desatualizadas podem deixar passar ameaças que versões mais recentes já detectam.
Conclusão
Alertas de segurança não têm valor se não há um fluxo claro de resposta. A diferença entre uma equipe que contém um incidente em 20 minutos e outra que o descobre três dias depois não é sorte — é processo.
Com um playbook claro por tipo de alerta, contexto de inventário antes de agir e ações do Defender disponíveis no portal, o ciclo alerta → diagnóstico → ação → verificação se torna rotina.
Lunixar RMM te dá as ferramentas para esse ciclo: alertas event-driven, snapshots históricos de inventário e ações remotas sobre o Defender sem precisar de sessão remota. Se ainda não está rodando na sua frota, o teste de 2 semanas não exige cartão de crédito.
Leituras relacionadas para continuar
Se você quer levar este tema para uma operação real, continue com estes guias:
