New-ProtectionAlert

Синтаксис

Default (По умолчанию)

New-ProtectionAlert
    -Category <AlertRuleCategory>
    -Name <String>
    -NotifyUser <MultiValuedProperty>
    -ThreatType <ThreatAlertType>
    [-AggregationType <AlertAggregationType>]
    [-AlertBy <MultiValuedProperty>]
    [-AlertFor <MultiValuedProperty>]
    [-Comment <String>]
    [-Confirm]
    [-CorrelationPolicyId <System.Guid>]
    [-Description <String>]
    [-Disabled <Boolean>]
    [-Filter <String>]
    [-LogicalOperationName <String>]
    [-NotificationCulture <CultureInfo>]
    [-NotificationEnabled <Boolean>]
    [-NotifyUserOnFilterMatch <Boolean>]
    [-NotifyUserSuppressionExpiryDate <DateTime>]
    [-NotifyUserThrottleThreshold <Int32>]
    [-NotifyUserThrottleWindow <Int32>]
    [-Operation <MultiValuedProperty>]
    [-PrivacyManagementScopedSensitiveInformationTypes <MultiValuedProperty>]
    [-PrivacyManagementScopedSensitiveInformationTypesForCounting <MultiValuedProperty>]
    [-PrivacyManagementScopedSensitiveInformationTypesThreshold <System.UInt64>]
    [-CustomProperties <PswsHashtable>]
    [-Severity <RuleSeverity>]
    [-Threshold <Int32>]
    [-TimeWindow <Int32>]
    [-UseCreatedDateTime <System.Boolean>]
    [-VolumeThreshold <System.UInt64>]
    [-WhatIf]
    [<CommonParameters>]

Описание

Примеры

Пример 1

New-ProtectionAlert -Name "Content search deleted" -Category Others -NotifyUser admin@contoso.com -ThreatType Activity -Operation SearchRemoved -Description "Custom alert policy to track when content searches are deleted" -AggregationType None

Параметры

-AggregationType

Применимо: соответствие требованиям & безопасности

Параметр AggregationType указывает, как политика предупреждений отправляет предупреждения при возникновении нескольких случаев отслеживаемой активности. Допустимые значения:

• Нет: оповещения активируются для каждого вхождения действия.
• SimpleAggregation: оповещения активируются в зависимости от объема действий в заданном временном окне (значения параметров Threshold и TimeWindow). Это значение является значением по умолчанию.
• AnomalousAggregation: оповещения активируются, когда объем действия достигает необычных уровней (значительно превышает обычный базовый план, установленный для действия). Установка базовых показателей Microsoft 365 может занять до 7 дней. В период расчета базового уровня не создаются предупреждения об активности.

Свойства параметров

Наборы параметров

-AlertBy

Применимо: соответствие требованиям & безопасности

Параметр AlertBy указывает область для агрегированных политик оповещений. Допустимые значения определяются значением параметра ThreatType:

• Действие. Допустимые значения: User или $null (пустое значение, которое является значением по умолчанию). Если вы не используете значение User, политика предупреждений распространяется на всю организацию.
• Вредоносная программа: допустимые значения: Mail.Recipient или Mail.ThreatName.

Этот параметр невозможно использовать, когда параметру AggregationType задано значение None (предупреждения отправляются о каждом случае активности).

Примечание. Этот параметр необходим для отображения сущностей в оповещениях. Без него оповещения активируются без отображения сущностей. Настоятельно рекомендуется указать значение для этого параметра.

Свойства параметров

Наборы параметров

-AlertFor

Применимо: соответствие требованиям & безопасности

Этот параметр зарезервирован для внутреннего использования корпорацией Майкрософт.

Свойства параметров

Наборы параметров

-Category

Применимо: соответствие требованиям & безопасности

Параметр Category указывает категорию для политики оповещений. Допустимые значения:

• AccessGovernance
• ComplianceManager
• DataGovernance
• MailFlow
• Другие
• PrivacyManagement
• Контроль
• ThreatManagement

Когда происходит активность, которая соответствует условиям политики предупреждений, категория создаваемого предупреждения определяется этим параметром. Это позволяет отслеживать предупреждения, которые относятся к одной категории, и управлять ими.

Свойства параметров

Наборы параметров

-Comment

Применимо: соответствие требованиям & безопасности

Параметр Comment указывает необязательный комментарий. Если вы указываете значение, содержащее пробелы, заключите его в кавычки ("), например:" Это примечание администратора ".

Свойства параметров

Наборы параметров

-Confirm

Применимо: соответствие требованиям & безопасности

Переключатель подтверждения указывает, показывать или скрывать запрос подтверждения. Влияние этого параметра на командлет зависит от того, требуется ли командлету подтверждение перед выполнением.

• Деструктивные командлеты (например, командлеты Remove-) имеют встроенную паузу, которая заставляет вас подтвердить команду перед продолжением. Можно пропускать запросы на подтверждение этих командлетов, используя следующий синтаксис: -Confirm:$false.
• Большинство других командлетов (например, командлеты New- и Set-) не имеют встроенной паузы. Для этих командлетов указание переключателя Confirm без значения вводит паузу, которая заставляет вас подтвердить команду перед продолжением.

Свойства параметров

Наборы параметров

-CorrelationPolicyId

Применимо: соответствие требованиям & безопасности

{{ Fill CorrelationPolicyId Description }}

Свойства параметров

Наборы параметров

-CustomProperties

Применимо: соответствие требованиям & безопасности

{{ Fill CustomProperties Description }}

Свойства параметров

Наборы параметров

-Description

Применимо: соответствие требованиям & безопасности

Параметр Description задает описание политики предупреждений. Если значение содержит пробелы, его необходимо заключить в кавычки (").

Свойства параметров

Наборы параметров

-Disabled

Применимо: соответствие требованиям & безопасности

Параметр Disabled включает или выключает политику предупреждений. Допустимые значения:

• $true: политика оповещений отключена.
• $false: политика оповещений включена. Это значение является значением по умолчанию.

Свойства параметров

Наборы параметров

-Filter

Применимо: соответствие требованиям & безопасности

Параметр Filter использует синтаксис OPATH для фильтрации результатов по указанным свойствам и значениям. Для критериев поиска используется следующий синтаксис: "Property -ComparisonOperator 'Value'".

• Заключите весь фильтр OPATH в двойные кавычки "". Если фильтр содержит системные значения (например, $true, $false или $null), используйте одиночные кавычки ' '. Хотя этот параметр является строкой (а не системным блоком), вы также можете использовать фигурные скобки { }, но только если фильтр не содержит переменные.
• Property — это свойство с поддержкой фильтрации.
• ComparisonOperator — это оператор сравнения OPATH (например -eq , для равных и -like для сравнения строк). Подробнее об операторах сравнения см. в статье about_Comparison_Operators.
• Value — это значение свойства для поиска. Заключите текстовые значения и переменные в одиночные кавычки ('Value' или '$Variable'). Если значение переменной содержит одиночные кавычки, необходимо определить (избежать) одиночные кавычки, чтобы правильно развернуть переменную. Например, вместо '$User' используйте '$($User -Replace "'","''")'. Не заключайте целые числа или системные значения в кавычки (например, используйте 500, $true, $false, или $null вместо них).

Можно связать несколько условий поиска вместе с помощью логического -and оператора (например, "Criteria1 -and Criteria2").

Подробные сведения о фильтрах OPATH в Exchange см. в разделе Дополнительные сведения о синтаксисе OPATH.

Фильтруемые свойства:

Действие

• Activity.ClientIp
• Activity.CreationTime
• Activity.Item
• Activity.ItemType
• Activity.Operation
• Activity.ResultStatus
• Activity.Scope
• Activity.SiteUrl
• Activity.SourceFileExtension
• Activity.SourceFileName
• Activity.TargetUserOrGroupType
• Activity.UserAgent
• Activity.UserId
• Activity.UserType
• Activity.Workload

Вредоносная программа

• Mail:AttachmentExtensions
• Mail:AttachmentNames
• Mail:CreationTime
• Mail:DeliveryStatus
• Mail:Direction
• Mail:From
• Mail:FromDomain
• Mail:InternetMessageId
• Mail:IsIntraOrgSpoof
• Mail:IsMalware
• Mail:IsSpam
• Mail:IsThreat
• Mail:Language
• Mail:Recipient
• Mail:Scl
• Mail:SenderCountry
• Mail:SenderIpAddress
• Mail:Subject
• Mail:TenantId
• Mail:ThreatName

Свойства параметров

Наборы параметров

-LogicalOperationName

Применимо: соответствие требованиям & безопасности

{{ Fill LogicalOperationName Description }}

Свойства параметров

Наборы параметров

-Name

Применимо: соответствие требованиям & безопасности

Параметр Name определяет уникальное имя политики предупреждений. Если значение содержит пробелы, его необходимо заключить в кавычки (").

Свойства параметров

Наборы параметров

-NotificationCulture

Применимо: соответствие требованиям & безопасности

Параметр NotificationCulture определяет язык или языковой стандарт уведомлений.

Допустимые входные данные для этого параметра — это поддерживаемое значение кода языка и региональных параметров из класса Microsoft платформа .NET Framework CultureInfo. Например, da-DK для датского языка или ja-JP для японского. Подробнее см. в разделе Класс CultureInfo.

Свойства параметров

Наборы параметров

-NotificationEnabled

Применимо: соответствие требованиям & безопасности

{{ Fill NotificationEnabled Description }}

Свойства параметров

Наборы параметров

-NotifyUser

Применимо: соответствие требованиям & безопасности

Параметр NotifyUser задает SMTP-адрес пользователя, который получает уведомления о действиях, отслеживаемых политикой предупреждений. Вы можете указать несколько значений, разделив их запятыми.

Свойства параметров

Наборы параметров

-NotifyUserOnFilterMatch

Применимо: соответствие требованиям & безопасности

Параметр NotifyUserOnFilterMatch указывает, следует ли активировать оповещение для одного события, если политика оповещений настроена для агрегированного действия. Допустимые значения:

• $true. Несмотря на то, что оповещение настроено для агрегированного действия, во время сопоставления действия активируется уведомление (в основном, раннее предупреждение).
• $false: оповещения активируются в соответствии с указанным типом агрегирования. Это значение является значением по умолчанию.

Этот параметр невозможно использовать, когда параметру AggregationType задано значение None (предупреждения отправляются о каждом случае активности).

Свойства параметров

Наборы параметров

-NotifyUserSuppressionExpiryDate

Применимо: соответствие требованиям & безопасности

Параметр NotifyUserSuppressionExpiryDate указывает, следует ли временно приостановить отправку уведомлений согласно политике предупреждений. До указанного времени приостанавливается отправка уведомлений об обнаруженных действий.

Используйте формат короткой даты, определенный в настройках региональных параметров на компьютере, на котором выполняется команда. Например, если на компьютере настроен короткий формат даты ММ/дд/гггг, введите 01.09.2018, чтобы указать 1 сентября 2018 г. Допускается ввод только даты или даты и времени. Если вы вводите дату и время дня, заключите это значение в кавычки ("), например," 09/01/2018 5:00 PM ".

Свойства параметров

Наборы параметров

-NotifyUserThrottleThreshold

Применимо: соответствие требованиям & безопасности

Параметр NotifyUserThrottleThreshold задает максимальное количество уведомлений для политики предупреждений за период, указанный параметром NotifyUserThrottleWindow. После достижения максимального количества уведомлений за период времени уведомления больше не отправляются для оповещения. Допустимые значения:

• Параметр SyncSchedule указывает ???. Допустимые значения этого параметра:
• Значение $null. Это значение является значением по умолчанию (без максимального количества уведомлений для оповещения).

Свойства параметров

Наборы параметров

-NotifyUserThrottleWindow

Применимо: соответствие требованиям & безопасности

Параметр NotifyUserThrottleWindow задает интервал времени в минутах, используемый параметром NotifyUserThrottleThreshold. Допустимые значения:

• Параметр SyncSchedule указывает ???. Допустимые значения этого параметра:
• Значение $null. Это значение является значением по умолчанию (без интервала для регулирования уведомлений).

Свойства параметров

Наборы параметров

-Operation

Применимо: соответствие требованиям & безопасности

Параметр Operation указывает действия, отслеживаемые политикой оповещений. Список доступных действий см. на вкладке Проверенные действия в разделе Проверенные действия.

Хотя этот параметр технически способен принимать несколько значений, разделенных запятыми, несколько значений не работают.

Этот параметр можно использовать, только когда параметру ThreatType задано значение Activity.

Свойства параметров

Наборы параметров

-PrivacyManagementScopedSensitiveInformationTypes

Применимо: соответствие требованиям & безопасности

{{ Fill PrivacyManagementScopedSensitiveInformationTypes Description }}

Свойства параметров

Наборы параметров

-PrivacyManagementScopedSensitiveInformationTypesForCounting

Применимо: соответствие требованиям & безопасности

{{ Fill PrivacyManagementScopedSensitiveInformationTypesForCounting Description }}

Свойства параметров

Наборы параметров

-PrivacyManagementScopedSensitiveInformationTypesThreshold

Применимо: соответствие требованиям & безопасности

{{ Fill PrivacyManagementScopedSensitiveInformationTypesThreshold Description }}

Свойства параметров

Наборы параметров

-Severity

Применимо: соответствие требованиям & безопасности

Параметр Severity задает серьезность обнаруженного действия. Допустимые значения:

• Низкий (значение по умолчанию)
• Средняя
• Высокая

Свойства параметров

Наборы параметров

-ThreatType

Применимо: соответствие требованиям & безопасности

Параметр ThreatType задает тип действий, которые отслеживаются политикой предупреждений. Допустимые значения:

• Действие
• Вредоносная программа

Значение, выбираемое для этого параметра, определяет значения, которые вы можете задавать параметрам AlertBy, Filter и Operation.

Это значение невозможно изменить после создания политики предупреждений.

Свойства параметров

Наборы параметров

-Threshold

Применимо: соответствие требованиям & безопасности

Параметр Threshold указывает количество обнаружений, которое должно быть превышено в течение периода времени, определенного параметром TimeWindow для активации политики оповещений. Значение должно быть целым числом не менее 3.

Этот параметр можно использовать, только когда параметру AggregationType задано значение SimpleAggregation.

Свойства параметров

Наборы параметров

-TimeWindow

Применимо: соответствие требованиям & безопасности

Параметр TimeWindow задает период в минутах для количества обнаруженных действий, указанного параметром Threshold. Значение должно быть целым числом больше 60 (один час).

Этот параметр можно использовать, только когда параметру AggregationType задано значение SimpleAggregation.

Свойства параметров

Наборы параметров

-UseCreatedDateTime

Применимо: соответствие требованиям & безопасности

{{ Fill UseCreatedDateTime Description }}

Свойства параметров

Наборы параметров

-VolumeThreshold

Применимо: соответствие требованиям & безопасности

{{ Fill VolumeThreshold Description }}

Свойства параметров

Наборы параметров

-WhatIf

Применимо: соответствие требованиям & безопасности

Параметр WhatIf не поддерживается в PowerShell безопасности и соответствия требованиям.

Свойства параметров

Наборы параметров

CommonParameters