Поделиться через

Тип ресурса alert

Пространство имен: microsoft.graph.security

Важно!

API версии /beta в Microsoft Graph могут быть изменены. Использование этих API в производственных приложениях не поддерживается. Чтобы определить, доступен ли API в версии 1.0, используйте селектор версий.

Представляет потенциальные проблемы безопасности в клиенте клиента, обнаруженные Microsoft 365 Defender. Эти проблемы определяются Microsoft 365 Defender или поставщиком безопасности, интегрированным с Microsoft 365 Defender. Этот ресурс соответствует последнему поколению оповещений в API безопасности Microsoft Graph.

Поставщики безопасности создают оповещение в системе при обнаружении угрозы. Microsoft 365 Defender извлекает эти данные оповещений от поставщика безопасности и использует данные оповещений, чтобы вернуть ценные подсказки в ресурсе оповещений о любой связанной атаке, затронутых ресурсах и связанных доказательствах. Он автоматически сопоставляет другие оповещения с теми же методами атаки или того же злоумышленника с инцидентом , чтобы обеспечить более широкий контекст атаки. Агрегирование предупреждений таким способом упрощает аналитикам выполнение обобщенных расследований угроз и реагирование на такие угрозы.

Примечание.

Этот ресурс является одним из двух типов оповещений, которые предлагает бета-версия API безопасности Microsoft Graph. Дополнительные сведения см. в разделе Оповещения.

Методы

Метод Тип возвращаемых данных Описание
Список Коллекция microsoft.graph.security.alert Получите список ресурсов оповещений , отслеживающих подозрительные действия в организации.
Получение microsoft.graph.security.alert Получите свойства объекта оповещения в организации на основе указанного свойства идентификатора оповещения.
Обновление microsoft.graph.security.alert Обновите свойства объекта оповещения в организации на основе указанного свойства идентификатора оповещения.
Создание примечания alertComment Создайте комментарий для существующего оповещения на основе указанного свойства alert ID .

Свойства

Свойство Тип Описание
actorDisplayName String Злоумышленник или группа действий, связанные с этим оповещением.
additionalData microsoft.graph.security.dictionary Коллекция других свойств оповещений, включая определяемые пользователем свойства. Все пользовательские сведения, определенные в оповещении, и любое динамическое содержимое в сведениях об оповещении хранятся здесь.
alertPolicyId String Идентификатор политики, которая создала оповещение и заполняется при наличии определенной политики, создающей оповещение, будь то настроенная клиентом или встроенная политика.
alertWebUrl String URL-адрес страницы оповещений портала Microsoft 365 Defender.
assignedTo String Владелец оповещения или значение NULL, если владелец не назначен.
category String Категория цепочки атак, к которой относится оповещение. Согласовано с платформой MITRE ATT&CK.
classification microsoft.graph.security.alertClassification Указывает, представляет ли оповещение реальную угрозу. Допустимые значения: unknown, falsePositive, truePositive, informationalExpectedActivity, unknownFutureValue.
comments Коллекция microsoft.graph.security.alertComment Массив комментариев, созданный командой по операциям безопасности (SecOps) в процессе управления оповещениями.
createdDateTime DateTimeOffset Время создания оповещения в Microsoft 365 Defender.
customDetails microsoft.graph.security.dictionary Определяемые пользователем настраиваемые поля со строковыми значениями.
description String Строковое значение, описывающее каждое оповещение.
detectionSource microsoft.graph.security.detectionSource Технология обнаружения или датчик, который идентифицировал важный компонент или действие.
detectorId String Идентификатор детектора, активировав оповещение.
productName String Имя продукта, опубликовавшего это оповещение.
Определение microsoft.graph.security.alertDetermination Указывает результат исследования, указывает, представляет ли оповещение истинную атаку, и если да, то характер атаки. Возможные значения: unknown, , apt, malware, securityPersonnelsecurityTesting, , unwantedSoftwareother, , multiStagedAttack, compromisedAccount, phishing, maliciousUserActivity, notMalicious, , notEnoughDataToValidate, confirmedUserActivity, lineOfBusinessApplication, . unknownFutureValue
Доказательства Коллекция microsoft.graph.security.alertEvidence Коллекция доказательств, связанных с оповещением.
firstActivityDateTime DateTimeOffset Самое раннее действие, связанное с оповещением.
id String Уникальный идентификатор для представления ресурса оповещений .
incidentId String Уникальный идентификатор, представляющий инцидент , с которым связан ресурс оповещений .
incidentWebUrl String URL-адрес страницы инцидента на портале Microsoft 365 Defender.
investigationState microsoft.graph.security.investigationState Сведения о текущем состоянии расследования. Возможные значения: unknown, , terminated, successfullyRemediated, benignfailed, , partiallyRemediated, running, pendingApproval, pendingResourcequeued, innerFailure, , preexistingAlert, unsupportedOs, , unsupportedAlertType, suppressedAlert, partiallyInvestigated, terminatedByUser, , . unknownFutureValueterminatedBySystem
lastActivityDateTime DateTimeOffset Самое старое действие, связанное с оповещением.
lastUpdateDateTime DateTimeOffset Время последнего обновления оповещения в Microsoft 365 Defender.
mitreTechniques Collection(Edm.String) Методы атаки в соответствии с MITRE ATT&платформы CK.
providerAlertId String Идентификатор оповещения, как оно отображается в продукте поставщика безопасности, который создал оповещение.
recommendedActions String Рекомендуемые действия по реагированию и исправлению в случае создания этого оповещения.
resolvedDateTime DateTimeOffset Время, когда оповещение было разрешено.
serviceSource microsoft.graph.security.serviceSource Служба или продукт, создавший это оповещение. Возможные значения: unknown, , microsoftDefenderForEndpoint, microsoftDefenderForIdentitymicrosoftDefenderForCloudApps, microsoftDefenderForOffice365, , microsoft365Defender, azureAdIdentityProtection, microsoftAppGovernance, dataLossPrevention, unknownFutureValue, microsoftDefenderForCloud, microsoftSentinel, , . microsoftThreatIntelligence Prefer: include-unknown-enum-members Используйте заголовок запроса, чтобы получить следующие значения в этой развиваемой перечислении: microsoftDefenderForCloud, microsoftSentinel, . microsoftThreatIntelligence

azureAdIdentityProtectionссылается на защиту Microsoft Entra ID и dataLossPrevention ссылается на Защита от потери данных Microsoft Purview.
severity microsoft.graph.security.alertSeverity Указывает возможное влияние на ресурсы. Чем выше серьезность, тем больше влияние. Как правило, элементы с более высоким уровнем серьезности требуют самого непосредственного внимания. Допустимые значения: unknown, informational, low, medium, high, unknownFutureValue.
status microsoft.graph.security.alertStatus Состояние оповещения. Возможные значения: unknown (Неизвестное состояние), new (Новое оповещение resolved ), inProgress (Оповещение выполняется), (Оповещение находится в разрешенном состоянии), unknownFutureValue (Значение sentinel с изменяемым перечислением. Не используйте).
tenantId String Клиент Microsoft Entra, в который было создано оповещение.
threatDisplayName String Угроза, связанная с этим оповещением.
threatFamilyName String Семейство угроз, связанное с этим оповещением.
title String Краткое идентифицируемое строковое значение, описывающее оповещение.
systemTags Коллекция строк Системные теги, связанные с оповещением.

значения alertClassification

Member Описание
unknown Оповещение еще не классифицировано.
falsePositive Оповещение является ложноположительным и не обнаруживает вредоносные действия.
TruePositive Оповещение является истинно положительным и обнаруживает вредоносные действия.
informationalExpectedActivity Оповещение является неопасным положительным и обнаруживает потенциально вредоносные действия доверенного или внутреннего пользователя, например тестирование безопасности.
unknownFutureValue Изменяемое значение перечисления sentinel. Не используйте.

значения alertDetermination

Member Описание
unknown Значение определения еще не задано.
Apt Истинно положительное оповещение, обнаруживающее расширенную постоянную угрозу.
вредоносная программа Истинно положительное оповещение, обнаруживающее вредоносные программы.
securityPersonnel Истинное положительное оповещение, обнаруживающее допустимые подозрительные действия, выполненные кем-либо в группе безопасности клиента.
securityTesting Оповещение обнаружило допустимые подозрительные действия, выполненные в рамках известного тестирования безопасности.
unwantedSoftware Оповещение обнаружило нежелательное программное обеспечение.
Других Другое определение.
multiStagedAttack Истинно положительное оповещение, обнаруживающее несколько этапов атаки с цепочкой завершения.
compromisedAccount Истинно положительное оповещение о том, что учетные данные предполагаемого пользователя были скомпрометированы или украдены.
фишинг Истинно положительное оповещение, обнаруживающее фишинговое сообщение электронной почты.
maliciousUserActivity Истинно положительное оповещение, которое обнаруживает, что вошедший в систему пользователь выполняет вредоносные действия.
notMalicious Ложное оповещение, нет подозрительных действий.
notEnoughDataToValidate Ложное оповещение без достаточной информации, чтобы доказать обратное.
confirmedActivity Оповещение поймало истинное подозрительное действие, которое считается ОК, так как это известное действие пользователя.
lineOfBusinessApplication Оповещение поймало истинное подозрительное действие, которое считается ОК, так как это известное и подтвержденное внутреннее приложение.
unknownFutureValue Изменяемое значение перечисления sentinel. Не используйте.

значения investigationState

Member Описание
unknown Неизвестное состояние исследования.
Прекращено Расследование было прекращено до завершения.
успешно выполнено Исследование успешно завершено со всеми действиями по исправлению.
Доброкачественные Исследование завершено без попыток исправления.
Сбой при Проблема прервала расследование, и теперь оно не может быть завершено.
partiallyRemediated Исследование завершено с успешно выполненными планами исправления.
Запущена В настоящее время ведется расследование.
pendingApproval Расследование приостановлено; некоторые действия требуют проверки и утверждения пользователем.
pendingResource Исследование приостанавливается до тех пор, пока не будут доступны необходимые ресурсы.
Очереди Исследование ставится в очередь и ожидает начала.
innerFailure В ходе исследования обнаружен внутренний сбой системы.
preexistingAlert Исследование не было начато, так как аналогичное оповещение уже существует.
неподдерживаемые объекты Исследование не может быть продолжено, так как операционная система не поддерживается.
unsupportedAlertType Исследование не может быть продолжено, так как тип оповещения не поддерживается.
suppressedAlert Исследование было подавлено на основе настроенных правил или политик.
частичнорасследоно Расследование было частично завершено.
terminatedByUser Расследование было остановлено пользователем до его завершения.
terminatedBySystem Расследование было остановлено системой до того, как оно было завершено.
unknownFutureValue Изменяемое значение перечисления sentinel. Не используйте.

alertSeverity values

Member Описание
unknown Неизвестная серьезность.
Информационных Оповещения, которые могут быть неосторожными или считаются вредными для сети, но могут повысить осведомленность организации о потенциальных проблемах безопасности.
Низкой Оповещения об угрозах, связанных с распространенными вредоносными программами. Например, средства взлома и невредоносные средства взлома, такие как выполнение команд исследования и очистка журналов, которые часто не указывают на расширенную угрозу, направленную на организацию. Она также может поступать из изолированного средства безопасности, которое тестирует пользователь в вашей организации.
medium Оповещения, созданные в результате обнаружения и реагирования на поведение после нарушения безопасности, которые могут быть частью расширенной постоянной угрозы (APT). Эти оповещения включают наблюдаемое поведение, типичное для этапов атаки, аномальное изменение реестра, выполнение подозрительных файлов и т. д. Хотя некоторые из них могут быть вызваны внутренним тестированием безопасности, они допустимы и требуют изучения, так как они могут быть частью расширенной атаки.
Высокой Обычно встречаются оповещения, связанные с расширенными постоянными угрозами (APT). Эти оповещения указывают на высокий риск из-за серьезности ущерба, который они могут нанести активам. Некоторые примеры: действия с инструментами кражи учетных данных, действия программ-шантажистов, не связанные с какой-либо группой, незаконное изменение датчиков безопасности или любые вредоносные действия, указывающие на злоумышленника человека.
unknownFutureValue Изменяемое значение перечисления sentinel. Не используйте.

Связи

Отсутствуют.

Представление JSON

В следующем представлении JSON показан тип ресурса.

{
  "@odata.type": "#microsoft.graph.security.alert",
  "actorDisplayName": "String",
  "additionalData": {"@odata.type": "microsoft.graph.security.dictionary"},
  "alertWebUrl": "String",
  "assignedTo": "String",
  "category": "String",
  "classification": "String",
  "comments": [{"@odata.type": "microsoft.graph.security.alertComment"}],
  "createdDateTime": "String (timestamp)",
  "customDetails": {"@odata.type": "microsoft.graph.security.dictionary"},
  "description": "String",
  "detectionSource": "String",
  "detectorId": "String",
  "determination": "String",
  "evidence": [{"@odata.type": "microsoft.graph.security.alertEvidence"}],
  "firstActivityDateTime": "String (timestamp)",
  "id": "String (identifier)",
  "incidentId": "String",
  "incidentWebUrl": "String",
  "investigationState": "String",
  "lastActivityDateTime": "String (timestamp)",
  "lastUpdateDateTime": "String (timestamp)",
  "mitreTechniques": ["String"],
  "productName": "String",
  "providerAlertId": "String",
  "recommendedActions": "String",
  "resolvedDateTime": "String (timestamp)",
  "serviceSource": "String",
  "severity": "String",
  "status": "String",
  "systemTags" : ["String"],
  "tenantId": "String",
  "threatDisplayName": "String",
  "threatFamilyName": "String",
  "title": "String"
}
  • Last updated on