Pontos principais
- Integre a detecção de malware ao RMM para automatizar a resposta a ameaças, ampliar a visibilidade e reduzir riscos.
- Use scripts de PowerShell pelo RMM para verificações rápidas, remoção de ameaças e quarentena
- Use comandos do CMD (MpCmdRun.exe) quando o PowerShell estiver restrito, para verificações completas ou rápidas de malware.
- Monitore os logs de eventos do Defender (IDs 1116, 1117, 2001, 5001, 5007, 5010, 5011, 5012) pelo RMM para disparar a remediação automática.
- Audite as chaves de registro para identificar antivírus desativado ou adulteração e restaure a proteção em tempo real.
- Aplique configurações de Política de Grupo (GPO) pelo RMM para padronizar a proteção antivírus nos endpoints.
- Automatize o isolamento de endpoints para desativar NICs ou aplicar regras de firewall e conter infecções.
- Valide as configurações para evitar falhas silenciosas, garantir o registro em logs e confirmar as ações de quarentena.
- Integre antivírus e APIs de terceiros para ampliar a cobertura contra malware e melhorar os relatórios de conformidade.
Implantar detecção e contenção de malware é uma das melhores formas de proteger endpoints. Além disso, integrar essas estratégias a plataformas de monitoramento e gerenciamento remoto (RMM) permite que provedores de serviços gerenciados (MSPs) otimizem tarefas ao automatizar respostas e reduzir o tempo de reação. As integrações de RMM também ampliam a visibilidade sobre todos os endpoints dos clientes, o que reduz a superfície de ataque.
Por isso é essencial saber configurar integrações de RMM para detectar malware e colocá-lo em quarentena. Com a integração certa, os MSPs conseguem identificar ameaças, isolar máquinas infectadas automaticamente, escalar alertas e manter a conformidade por meio de logs e relatórios. Neste guia, mostramos as estratégias para integrar o RMM ao seu sistema com PowerShell, CMD, monitoramento de registro, objetos de política de grupo (GPO) e logs de eventos para combater ataques de malware. Isso ajuda os MSPs a identificar ameaças.
Visão geral
| Tarefa | Objetivo | Papel do RMM |
| Tarefa 1: usar o PowerShell para detectar malware e colocá-lo em quarentena | Detecta e coloca malware em quarentena com cmdlets do Defender | Envia scripts, agenda verificações e automatiza ações de quarentena |
| Tarefa 2: usar o CMD para verificação antivírus e quarentena | Detecta e coloca malware em quarentena com o MpCmdRun.exe | Distribui scripts em lote para os endpoints |
| Tarefa 3: monitorar logs de eventos em busca de atividade de malware | Detecta atividade de malware monitorando os logs do Defender | Monitora IDs de evento e dispara alertas ou scripts |
| Tarefa 4: usar indicadores do registro para isolamento e reforço de segurança | Detecta adulteração do antivírus e aplica ajustes de reforço | Observa chaves de registro e aplica ou restaura configurações |
| Tarefa 5: aplicar configurações de antivírus por política de grupo | Aplica políticas de antivírus, mas não detecta ameaças | Mantém a linha de base de políticas e sustenta o comportamento dos scripts do RMM |
| Tarefa 6: colocar endpoints em quarentena com isolamento de rede e de serviços | Isola máquinas infectadas da rede | Executa scripts de isolamento reativo a partir de gatilhos de ameaça |
🎥 Este guia também está em vídeo: Como detectar malware e colocá-lo em quarentena com integrações de RMM.
Pré-requisitos para resposta a malware via RMM
Antes de configurar a resposta a malware via RMM, confirme se o seu ambiente atende aos seguintes requisitos:
- Uma plataforma de RMM com recursos de scripts, alertas e automação (por exemplo, NinjaOne)
- Antivírus ativo nos endpoints, como o Microsoft Defender ou ferramentas de terceiros como SentinelOne ou Bitdefender
- PowerShell 5.1+ ou acesso ao CMD para executar comandos de antivírus em scripts
- Acesso aos logs de verificação do antivírus ou aos logs de eventos de segurança do Windows para monitorar ameaças
- Configurações de GPO opcionais para aplicar definições de antivírus e ativar a proteção em tempo real
Tarefa 1: usar o PowerShell para detectar malware e colocá-lo em quarentena
📌 Caso de uso:
o PowerShell permite que administradores de TI executem scripts pelo RMM para procurar ameaças, registrar eventos de detecção e agir. A integração com o Microsoft Defender é funcional e viabiliza o gerenciamento de ameaças manual e automatizado.
Veja abaixo as tarefas recomendadas no PowerShell para prevenir ou responder a ameaças de malware de forma proativa pelo RMM.
- Abra o PowerShell como administrador. Pressione Win, digite PowerShell, clique com o botão direito em Windows PowerShell e selecione Executar como administrador.
- Execute os seguintes comandos:
- Para iniciar uma verificação rápida:
Start-MpScan -ScanType QuickScan
- Para revisar as ameaças detectadas:
Get-MpThreatDetection | Format-List
- Para colocar ameaças em quarentena:
Remove-MpThreat -ThreatID <ID> -Quarantine
- Para garantir que a proteção em tempo real esteja ativada:
Set-MpPreference -DisableRealtimeMonitoring $false
💡Papel do RMM: o RMM é uma ferramenta eficaz que ajuda os administradores de sistemas a agendar verificações diárias, registrar ameaças e colocar infecções em quarentena automaticamente em todos os endpoints.
Tarefa 2: usar o CMD para verificação antivírus e quarentena
📌 Caso de uso:
Dispositivos mais antigos se beneficiam da verificação por linha de comando com o MpCmdRun.exe. Essa tarefa também ajuda quando o acesso ao PowerShell é limitado e o sistema exige execução simplificada de scripts por arquivos em lote do RMM.
Veja abaixo as tarefas recomendadas com a ferramenta de linha de comando do Microsoft Defender (MpCmdRun.exe) que podem ser executadas no Prompt de Comando para prevenir ou responder a ameaças de malware de forma proativa pelo RMM.
- Pressione Win + X e selecione Prompt de Comando (Admin) ou Terminal do Windows (Admin). No Terminal do Windows, confirme que está em uma guia do Prompt de Comando, e não no PowerShell.
- Execute os seguintes comandos:
- Para executar uma verificação rápida:
"%ProgramFiles%\Windows Defender\MpCmdRun.exe" -Scan -ScanType 1
- Para executar uma verificação completa:
"%ProgramFiles%\Windows Defender\MpCmdRun.exe" -Scan -ScanType 2
- Para ver o histórico de ameaças em quarentena:
"%ProgramFiles%\Windows Defender\MpCmdRun.exe" -GetFiles
💡 Papel do RMM: use a automação do RMM para distribuir scripts de CMD em verificações agendadas ou condicionais, principalmente em dispositivos com ambientes de script limitados.
Tarefa 3: monitorar logs de eventos em busca de atividade de malware
📌 Caso de uso:
Os administradores de TI podem aproveitar a capacidade dos logs do Microsoft Defender de registrar todas as principais ações do sistema. Esses registros servem como fonte para monitorar a atividade de ameaças.
1. Abra o Visualizador de Eventos pressionando Win + R, digitando eventvwr.msc e pressionando Enter.
2. Vá até:
Logs de Aplicativos e Serviços > Microsoft > Windows > Windows Defender > Operacional
3. Procure os IDs de evento relevantes:
- 1116: malware detectado
- 1117: ação executada
- 2001: ameaça removida
- 5001: proteção em tempo real desativada
- 5007: registro modificado (possivelmente por malware)
- 5010: verificação de malware desativada
- 5012: verificação de vírus desativada
- 5013: a proteção contra adulteração bloqueou uma tentativa de alterar as configurações do Microsoft Defender Antivírus
4. Depois, use o PowerShell para monitorar esses logs com o seguinte comando:
Get-WinEvent -LogName "Microsoft-Windows-Windows Defender/Operational" | Where-Object {$_.Id -eq 1116}
💡 Papel do RMM: as políticas do RMM podem ser configuradas para observar esses eventos e disparar correções automáticas. Entre as ações possíveis, estão colocar o endpoint em quarentena ou gerar um ticket de suporte.
Tarefa 4: usar os indicadores de registro DisableAntiSpyware e DisableAntiVirus para isolamento e reforço de segurança
📌 Caso de uso:
Os administradores de TI podem usar configurações de registro para reforçar rapidamente a segurança do sistema. Os indicadores de registro também mostram o estado da proteção antivírus e ajudam a identificar endpoints que precisam ser isolados.
Observação: a Microsoft descontinuou as configurações de registro DisableAntiSpyware e DisableAntiVirus nas versões mais recentes do Windows 10 (a partir da versão 1903) e na plataforma do Microsoft Defender versão 4.18.2108.4 e posteriores. Como o Microsoft Defender agora se desativa sozinho ao detectar um antivírus de terceiros devidamente instalado, essas chaves de registro deixaram de ser necessárias. A mudança não afeta integrações de RMM nem conexões de antivírus de terceiros no aplicativo Segurança do Windows
- Abra o PowerShell como administrador. Pressione Win, digite PowerShell, clique com o botão direito em Windows PowerShell e selecione Executar como administrador.
- Execute os seguintes comandos:
- Para verificar se o Defender está desativado:
Get-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows Defender" -Name "DisableAntiSpyware","DisableAntiVirus"
- Para reativar o Defender:
Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows Defender" -Name "DisableAntiSpyware" -Value 0
Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows Defender" -Name "DisableAntiVirus" -Value 0
- Para ativar a proteção de rede:
Set-MpPreference -EnableNetworkProtection Enabled
💡 Papel do RMM: monitorar chaves de registro pelo RMM permite detectar alterações maliciosas e agiliza correções ou ações de reversão.
Tarefa 5: aplicar configurações de antivírus por política de grupo
📌 Caso de uso:
Os objetos de política de grupo (GPO) garantem uma linha de base estável em todos os dispositivos, mantendo ativas a proteção em tempo real e as configurações de verificação.
- Abra a política de grupo como administrador. Pressione Win, digite gpedit.msc e pressione Ctrl + Shift + Enter para executar como administrador.
- Vá até: Configuração do Computador > Modelos Administrativos > Componentes do Windows > Microsoft Defender Antivírus
- Verifique cada uma das configurações abaixo e confira se estão corretas:
| Configuração | Status recomendado |
| “Desativar o Microsoft Defender Antivírus” | Desativado |
| “Permitir que o serviço antimalware permaneça em execução sempre” | Ativado |
| “Desativar proteção em tempo real” | Desativado |
| “Ativar monitoramento de comportamento” | Ativado |
💡 Papel do RMM: combinar GPO com RMM mantém os endpoints em conformidade com as políticas de segurança e sempre prontos para responder a malware.
Tarefa 6: colocar endpoints em quarentena com isolamento de rede e de serviços
📌 Caso de uso:
Essa tarefa é fundamental para proteger dispositivos contra malware classificado como de alto risco. Os administradores de TI podem usar o PowerShell para desativar a conectividade e serviços arriscados.
- Abra o PowerShell como administrador. Pressione Win, digite PowerShell, clique com o botão direito em Windows PowerShell e selecione Executar como administrador.
- Execute os seguintes comandos:
- Para desativar o adaptador de rede:
Disable-NetAdapter -Name "Ethernet" -Confirm:$false
- Para parar serviços essenciais:
Stop-Service -Name "RemoteRegistry" -Force
Stop-Service -Name "WinRM" -Force
- Para bloquear o tráfego de saída:
New-NetFirewallRule -DisplayName "BlockOutbound" -Direction Outbound -Action Block -Enabled True
💡 Papel do RMM: os administradores de sistemas podem disparar esses scripts de forma condicional por uma ferramenta de RMM quando houver detecção de malware. Isso reduz o movimento lateral e a exfiltração de dados.
⚠️ Pontos de atenção
| Riscos | Possíveis consequências | Como reverter |
| A verificação não é executada | O malware pode passar despercebido e deixar os endpoints expostos | Verifique se o Microsoft Defender está ativado e se o PowerShell tem as permissões corretas. Execute os scripts como administrador ou adicione logs para confirmar a execução. |
| Nenhuma ameaça registrada | Detecções perdidas podem impedir alertas e relatórios, reduzindo a visibilidade | Garanta que a telemetria e os logs do Defender estejam ativados. Use Get-MpComputerStatus para conferir o status de registro e de proteção. |
| A quarentena falha | As ameaças podem permanecer no dispositivo e se espalhar lateralmente pela rede | Reinicie em Modo de Segurança para executar a remoção ou isole o dispositivo remotamente com scripts do RMM. |
| Scripts de desativação da NIC falham sem aviso | Dispositivos infectados continuam on-line e comprometem a contenção | Adicione -Verbose e o registro de transcrição ao script. Teste em um ambiente controlado antes de implantar. |
Guia de início rápido
NinjaOne oferece recursos robustos de detecção e quarentena de malware por meio de várias soluções de antivírus integradas:
1. Integração com Bitdefender GravityZone:
- Permite executar verificações de ameaças nos dispositivos
- Oferece detecção detalhada de ameaças e opções de quarentena
- As ameaças aparecem no painel do NinjaOne
É possível executar ações como:
- Fazer verificações completas
- Colocar ameaças em quarentena
- Restaurar ou excluir ameaças em quarentena
2. Integração com SentinelOne:
- Oferece verificação completa do disco
- Disponibiliza ferramentas de correção de ameaças
- Permite ver e gerenciar ameaças direto do NinjaOne
- Apoia a investigação de incidentes pelo serviço Vigilance
3. Vulnerability Management:
- Permite importar dados de vulnerabilidade de várias fontes (CrowdStrike)
- Ajuda a acompanhar e corrigir possíveis riscos de segurança
Cada integração permite:
- Detectar malware
- Colocar arquivos suspeitos em quarentena
- Executar verificações abrangentes
- Ver detalhes das ameaças
- Tomar ações de correção
As etapas e os recursos exatos variam um pouco conforme a solução de antivírus integrada ao NinjaOne.
Outras considerações sobre resposta a malware via RMM
- Integração com antivírus de terceiros: alguns antivírus oferecem opções de CLI/API para verificação e isolamento.
- Falsos positivos: mantenha sempre logs de todos os eventos e permita a reversão manual para evitar interrupções.
- Fluxos de escalonamento: os administradores de TI podem escolher entre várias soluções de RMM que também oferecem ferramentas de PSA integradas. Isso simplifica relatórios e serviços de sistema de tickets.
- Licenciamento: confirme se os recursos do Defender ou do antivírus estão devidamente licenciados e não foram desativados por restrições do OEM.
Serviços NinjaOne para detectar malware e colocá-lo em quarentena via RMM
NinjaOne e suas ferramentas ajudam a detectar e responder a ameaças de malware de forma proativa.
| Serviço NinjaOne | O que é | Como ajuda na detecção e na resposta a malware |
| Implantação de scripts | Distribui scripts de verificação e correção de malware em PowerShell ou CMD | Automatiza verificações regulares e acelera a correção de ameaças em vários dispositivos |
| Monitoramento de logs de eventos | Monitora os logs de eventos do Windows Defender (por exemplo, o ID de evento 1116 para detecção de malware) | Detecta ameaças em tempo real e dispara fluxos de resposta automatizados |
| Quarentena automatizada | Executa scripts pré-configurados para isolar dispositivos infectados da rede | Limita a propagação do malware ao cortar rapidamente os endpoints comprometidos |
| Gerenciamento de políticas | Aplica e mantém configurações de antivírus, como a proteção em tempo real e as definições de verificação do Defender | Mantém uma linha de base de segurança consistente em todos os endpoints |
| Integração com sistema de tickets | Gera tickets no PSA quando há eventos de malware | Garante que os incidentes sejam documentados, atribuídos e tratados dentro do SLA |
| Auditoria e relatórios | Registra toda a atividade relacionada a malware, incluindo detecção, quarentena e correção | Apoia a conformidade, a revisão de incidentes e a transparência operacional |
Como usar o RMM na resposta a ameaças de malware
Integrar fluxos de detecção e quarentena de malware às plataformas de RMM transforma antivírus reativos em soluções proativas de cibersegurança. Com PowerShell, Prompt de Comando e logs de eventos, provedores de serviços gerenciados e administradores de sistemas automatizam a detecção e a resposta a malware. Já o registro e as GPOs ajudam a aplicar estratégias que estabilizam a postura de segurança.
Ferramentas de RMM como NinjaOne complementam todas as etapas descritas e as tornam escaláveis. Reduza drasticamente o tempo de resposta e fortaleça a segurança de endpoint investindo em integrações de RMM para se defender contra malware.
Temas relacionados:
- O que é malware? Tipos, detecção e prevenção
- O que é quarentena em cibersegurança?
- Como usar o Windows Defender para procurar malware
- Como ler os logs de eventos do Windows: desligamento e reinicialização
- Como verificar manualmente arquivos, pastas e unidades em busca de malware no Windows 10
- Melhores soluções de proteção contra malware: as 10 principais de 2026 (vídeo)
