Microsoft Sentinel (Vorschau)
Cloudnativ SIEM mit einer integrierten KI, damit Sie sich auf das Wesentliche konzentrieren können
Dieser Connector ist in den folgenden Produkten und Regionen verfügbar:
| Dienstleistung | Class | Regions |
|---|---|---|
| Logik-Apps | Norm | Alle Logik-Apps-Regionen |
| Kontakt | |
|---|---|
| Name | Microsoft |
| URL |
Microsoft LogicApps-Unterstützung |
| Connectormetadaten | |
|---|---|
| Herausgeber | Microsoft |
| Webseite | https://azure.microsoft.com/services/azure-sentinel/ |
Microsoft Sentinel-Connector
Verbinder im Detail
Erfahren Sie mehr über die Verwendung dieses Connectors:
- Authentifizieren von Playbooks bei Azure Sentinel
- Verwenden von Triggern und Aktionen in Playbooks
- Lernprogramm: Verwenden von Playbooks mit Automatisierungsregeln in Microsoft Sentinel
Authentifizierung
Trigger und Aktionen im Mcirosoft Sentinel-Connector können im Namen jeder Identität ausgeführt werden, die über die erforderlichen Berechtigungen (Lese- und/oder Schreibzugriff) für den relevanten Arbeitsbereich verfügt. Der Connector unterstützt mehrere Identitätstypen:
- Verwaltete Identität (Vorschau)
- Microsoft Entra ID-Benutzer
- Dienstprinzipal (Microsoft Entra ID-Anwendung)
Erforderliche Berechtigungen
| Rollen/ Connectorkomponenten | Auslöser | "Abrufen"-Aktionen | Vorfall aktualisieren, Kommentar hinzufügen |
|---|---|---|---|
| Microsoft Sentinel Reader | ✓ | ✓ | ✗ |
| Mitwirkender an Microsoft / | ✓ | ✓ | ✓ |
Erfahren Sie mehr über Berechtigungen in Microsoft Sentinel.
Erfahren Sie, wie Sie die verschiedenen Authentifizierungsoptionen verwenden.
Bekannte Probleme und Einschränkungen
Eine Logik-App, die von einem Microsoft Sentinel-Trigger aufgerufen wird, kann nicht mithilfe der Schaltfläche "Trigger ausführen" ausgelöst werden.
Ein Benutzer kann die Schaltfläche "Ausführen" auf dem Blatt "Übersicht " des Logic Apps-Diensts nicht verwenden, um ein Microsoft Sentinel-Playbook auszulösen.
Azure Logic Apps werden durch einen POST REST-Aufruf ausgelöst, dessen Text die Eingabe für den Trigger ist. Logik-Apps, die mit Microsoft Sentinel-Triggern beginnen, erwarten, dass der Inhalt einer Microsoft Sentinel-Warnung oder eines Vorfalls im Textkörper des Anrufs angezeigt wird. Wenn der Aufruf vom Blatt "Logic Apps Overview" stammt, ist der Textkörper des Anrufs leer und daher wird ein Fehler generiert.
Dies sind die einzigen geeigneten Methoden zum Auslösen von Microsoft Sentinel-Playbooks:
- Manueller Trigger in Microsoft Sentinel
- Automatisierte Reaktion einer Analyseregel (direkt oder über eine Automatisierungsregel) in Microsoft Sentinel
- Verwenden der Schaltfläche "Erneut übermitteln" in einem vorhandenen Blatt "Logik-Apps ausführen"
- Aufrufen des Logic Apps-Endpunkts direkt (Anfügen einer Warnung/eines Vorfalls als Textkörper)
Aktualisieren desselben Vorfalls parallel für jede Schleife
Für jede Schleife wird standardmäßig parallel ausgeführt, kann aber problemlos so festgelegt werden, dass sie sequenziell ausgeführt wird. Wenn eine für jede Schleife denselben Microsoft Sentinel-Vorfall in separaten Iterationen aktualisieren kann, sollte sie so konfiguriert werden, dass sie sequenziell ausgeführt wird.
Die ursprüngliche Abfrage der Warnung wird derzeit nicht über Logik-Apps unterstützt.
Die Verwendung des Azure Monitor Logs-Connectors zum Abrufen der ereignisse, die von der geplanten Warnungsanalyseregel erfasst werden, ist nicht konsistent zuverlässig.
- Azure Monitor-Protokolle unterstützen die Definition eines benutzerdefinierten Zeitraums nicht. Für das Wiederherstellen der exakten Abfrageergebnisse muss derselbe Zeitraum wie in der ursprünglichen Abfrage definiert werden.
- Warnungen werden möglicherweise verzögert, wenn sie im Log Analytics-Arbeitsbereich angezeigt werden, nachdem die Regel das Playbook ausgelöst hat.
Verfügbare Ressourcen
Microsoft Sentinel-Dokumente
- Erweiterte Automatisierung mit Playbooks
- Lernprogramm: Verwenden von Playbooks mit Automatisierungsregeln in Microsoft Sentinel
- Authentifizieren von Playbooks bei Microsoft Sentinel
- Verwenden von Triggern und Aktionen in Playbooks
Microsoft Sentinel-Referenzen
Azure Logic Apps
Eine Verbindung wird erstellt
Der Connector unterstützt die folgenden Authentifizierungstypen:
| Vorgabe | Parameter zum Erstellen einer Verbindung. | Alle Regionen | Nicht teilbar |
Vorgabe
Anwendbar: Alle Regionen
Parameter zum Erstellen einer Verbindung.
Dies ist keine freigabefähige Verbindung. Wenn die Power-App für einen anderen Benutzer freigegeben wird, wird ein anderer Benutzer aufgefordert, eine neue Verbindung explizit zu erstellen.
Drosselungsgrenzwerte
| Name | Aufrufe | Verlängerungszeitraum |
|---|---|---|
| API-Aufrufe pro Verbindung | 600 | 60 Sekunden |
Aktionen
| Aktualisieren von Vorfällen |
Aktualisieren eines Vorfalls mit bereitgestellten Feldern |
| Alert - Get Vorfall (Warnung: Vorfall abrufen) |
Gibt den Vorfall zurück, der mit der ausgewählten Warnung verknüpft ist. |
| Alert - Get Vorfall (Warnung: Vorfall abrufen) |
Gibt den Vorfall zurück, der mit der ausgewählten Warnung verknüpft ist. |
| ASI trigger unsubscribe [DEPRECATED] |
Abonnement kündigen |
| Aufgabe zu Vorfall hinzufügen |
Fügt einem vorhandenen Vorfall eine Aufgabe hinzu. |
| Bedrohungserkennung – Uploadindikatoren für Kompromittierung (V2) (Vorschau) |
Hochladen von Indikatoren in Massen mithilfe der API zum Hochladen von Bedrohungserkennungsindikatoren. |
| Bedrohungserkennung – Uploadindikatoren für Kompromittierung (veraltet) |
Bedrohungserkennung – Uploadindikatoren für Kompromittierung |
| Beschreibung des Vorfalls ändern (V2) (veraltet) [VERALTET] |
ändert die Beschreibung des ausgewählten Vorfalls. |
| Beschreibung des Vorfalls ändern [VERALTET] |
ändert die Beschreibung des ausgewählten Vorfalls. |
| Bookmarks (V2) – Erstellen einer neuen Textmarke (JSON-Eingabe) (Vorschau) |
Bookmarks (V2) – Erstellen einer gültigen neuen Textmarke (json). |
| Bookmarks (V3) – Erstellt eine neue Textmarke mit separaten Feldern (Vorschau) |
Bookmarks (V3) – Erstellen Sie eine neue Textmarke. |
| Entfernen von Bezeichnungen aus Vorfällen (veraltet) [VERALTET] |
Entfernt Bezeichnungen zu ausgewähltem Vorfall |
| Entities - Get Accounts (Entitäten: Konten abrufen) |
Gibt eine Liste der Konten zurück, die der Warnung zugeordnet sind. |
|
Entities - Get File |
Gibt eine Liste der Dateihashes zurück, die der Warnung zugeordnet sind. |
| Entities - Get Hosts (Entitäten: Hosts abrufen) |
Gibt eine Liste der Hosts zurück, die der Warnung zugeordnet sind. |
| Entities - Get IPs (Entitäten: IP-Adressen abrufen) |
Gibt eine Liste der IPs zurück, die der Warnung zugeordnet sind. |
| Entities - Get URLs (Entitäten: URLs abrufen) |
Gibt eine Liste der URLs zurück, die der Warnung zugeordnet sind. |
| Entitäten – DNS abrufen |
Gibt eine Liste der DNS-Einträge zurück, die der Warnung zugeordnet sind. |
| Hinzufügen einer Warnung zu Vorfällen |
Fügen Sie einem vorhandenen Vorfall eine Warnung hinzu. Die Warnung tritt dem Vorfall als jede andere Warnung bei und wird im Portal angezeigt. |
| Hinzufügen eines Kommentars zu Vorfällen (V2) |
Fügt dem ausgewählten Vorfall einen Kommentar hinzu. |
| Hinzufügen eines Kommentars zu Vorfällen (V3) |
Fügt dem ausgewählten Vorfall einen Kommentar hinzu. |
| Hinzufügen eines Kommentars zum Vorfall [VERALTET] |
Diese Aktion ist veraltet. Verwenden Sie stattdessen "Kommentar zu Vorfall hinzufügen" (V3 ).
|
| Hinzufügen von Bezeichnungen zu Vorfällen (veraltet) [VERALTET] |
Hinzufügen von Bezeichnungen zu ausgewähltem Vorfall |
| Lesezeichen – Abrufen aller Lesezeichen |
Lesezeichen – Abrufen aller Lesezeichen für einen bestimmten Arbeitsbereich |
| Lesezeichen – Abrufen einer Textmarke |
Lesezeichen – Abrufen von Textmarken nach ID |
| Lesezeichen – Erstellt neue Textmarke (Vorschau) |
Lesezeichen – Erstellt eine neue Textmarke. |
| Lesezeichen – Löschen einer Textmarke |
Lesezeichen – Löschen einer Textmarke |
| Markieren einer Aufgabe als erledigt |
Markieren einer Aufgabe als erledigt |
| Schweregrad des Vorfalls ändern (veraltet) [VERALTET] |
ändert den Schweregrad des ausgewählten Vorfalls. |
| Threat Intelligence – Hochladen von STIX-Objekten (Vorschau) |
Laden Sie STIX-Objekte massenweise mithilfe der Threat Intelligence-Upload-API hoch. |
| Titel des Vorfalls ändern (V2) (veraltet) [VERALTET] |
Ändert den Titel in den ausgewählten Vorfall. |
| Titel des Vorfalls ändern [VERALTET] |
Ändert den Titel in den ausgewählten Vorfall. |
| Vorfall abrufen |
Abrufen eines Vorfalls anhand der ARM-ID |
| Vorfall erstellen |
Erstellen eines Vorfalls mit bereitgestellten Feldern |
| Warnung aus Einem Vorfall entfernen |
Entfernen sie eine Warnung aus einem vorhandenen Vorfall. |
| Watchlists – Abrufen aller Watchlist-Elemente für eine bestimmte Watchlist |
Watchlists – Abrufen aller Watchlist-Elemente für eine bestimmte Watchlist |
| Watchlists – Abrufen aller Watchlist-Elemente für eine bestimmte Watchlist (V2) |
Watchlists – Abrufen aller Watchlist-Elemente für eine bestimmte Watchlist (V2) |
| Watchlists – Abrufen einer Watchlist nach Alias |
Watchlists – Abrufen einer Watchlist nach Alias |
| Watchlists – Abrufen eines Watchlist-Elements nach ID (guid) |
Watchlists – Abrufen eines Watchlist-Elements |
| Watchlists – Aktualisieren eines vorhandenen Watchlist-Elements |
Watchlists – Aktualisieren eines vorhandenen Watchlist-Elements |
| Watchlists – Erstellen einer großen Watchlist mit einem SAS-URI |
Watchlists – Erstellen einer großen Watchlist mit einem SAS-URI |
| Watchlists – Erstellen einer großen Watchlist mit einem SAS-Uri (V2) |
Watchlists – Erstellen einer großen Watchlist mit einem SAS-Uri (V2) |
| Watchlists – Erstellen einer neuen Watchlist mit Daten (Rohinhalt) (V2) |
Watchlists – Erstellen einer neuen Watchlist mit Daten (Rohinhalt) (V2) |
| Watchlists – Erstellen einer neuen Watchlist mit Daten (Unformatierter Inhalt) |
Watchlists – Erstellen einer neuen Watchlist mit Daten (Unformatierter Inhalt) |
| Watchlists – Hinzufügen eines neuen Watchlist-Elements |
Watchlists – Hinzufügen eines neuen Watchlist-Elements |
| Watchlists – Löschen einer Watchlist |
Watchlists – Löschen einer Watchlist |
| Watchlists – Löschen einer Watchlist (V2) |
Löscht eine angegebene Watchlist nach Alias. |
| Watchlists – Löschen eines Watchlist-Elements |
Watchlists – Löschen eines Watchlist-Elements |
| Watchlists – Löschen eines Watchlist-Elements (V2) |
Watchlists – Löschen eines Watchlist-Elements (V2) |
| Ändern des Vorfallstatus (veraltet) [VERALTET] |
ändert den Status des ausgewählten Vorfalls. |
Aktualisieren von Vorfällen
Aktualisieren eines Vorfalls mit bereitgestellten Feldern
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Angeben von Zu aktualisierenden Vorfallfeldern
|
body | True | dynamic |
Zu aktualisierende Vorfallfelder |
Gibt zurück
Stellt einen Vorfall in Azure Security Insights dar.
- Body
- Incident
Alert - Get Vorfall (Warnung: Vorfall abrufen)
Gibt den Vorfall zurück, der mit der ausgewählten Warnung verknüpft ist.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Abonnement-ID angeben
|
subscriptionId | True | string |
Abonnement-ID |
|
Ressourcengruppe angeben
|
resourceGroup | True | string |
Ressourcengruppe |
|
Arbeitsbereichs-ID angeben
|
workspaceId | True | string |
Arbeitsbereichs-ID |
|
Benachrichtigungs-ID angeben
|
alertId | True | string |
Systembenachrichtigungs-ID |
Gibt zurück
Stellt einen Vorfall in Azure Security Insights dar.
- Body
- Incident
Alert - Get Vorfall (Warnung: Vorfall abrufen)
Gibt den Vorfall zurück, der mit der ausgewählten Warnung verknüpft ist.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Abonnement-ID angeben
|
subscriptionId | True | string |
Abonnement-ID |
|
Ressourcengruppe angeben
|
resourceGroup | True | string |
Ressourcengruppe |
|
Arbeitsbereichs-ID angeben
|
workspaceId | True | string |
Arbeitsbereichs-ID |
|
Benachrichtigungs-ID angeben
|
alertId | True | string |
Systemwarnungs-ID |
Gibt zurück
- Body
- OldIncident
ASI trigger unsubscribe [DEPRECATED]
Aufgabe zu Vorfall hinzufügen
Fügt einem vorhandenen Vorfall eine Aufgabe hinzu.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Arm-ID des Vorfalls
|
incidentArmId | True | string |
Arm-ID des Vorfalls |
|
Title
|
taskTitle | True | string |
Vorgangstitel |
|
Description
|
taskDescription | html |
Aufgabenbeschreibung |
Gibt zurück
Stellt ein Vorfallaufgabenelement dar.
- Incidenttask
- IncidentTask
Bedrohungserkennung – Uploadindikatoren für Kompromittierung (V2) (Vorschau)
Hochladen von Indikatoren in Massen mithilfe der API zum Hochladen von Bedrohungserkennungsindikatoren.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Arbeitsbereichs-ID angeben
|
workspaceId | True | string |
Arbeitsbereichs-ID |
Gibt zurück
Antwort der Threat Intelligence Uplaod-API. Dies sind Fehler für ungültige Objekte im Anforderungstext.
- Gegenstände
- UploadApiValidationErrors
Bedrohungserkennung – Uploadindikatoren für Kompromittierung (veraltet)
Bedrohungserkennung – Uploadindikatoren für Kompromittierung
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Arbeitsbereichs-ID angeben
|
workspaceId | True | string |
Arbeitsbereichs-ID |
Gibt zurück
Antwort von Threat Intelligence Uplaod Indicators.
- Gegenstände
- IndicatorValidationErrors
Beschreibung des Vorfalls ändern (V2) (veraltet) [VERALTET]
ändert die Beschreibung des ausgewählten Vorfalls.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Abonnement-ID angeben
|
subscriptionId | True | string |
Abonnement-ID |
|
Ressourcengruppe angeben
|
resourceGroup | True | string |
Ressourcengruppe |
|
Arbeitsbereichs-ID angeben
|
workspaceId | True | string |
Arbeitsbereichs-ID |
|
Kennung
|
identifier | True | string |
Vorfall/Warnung |
|
Warnung/Vorfall angeben
|
id | True | string |
Bitte geben Sie die Vorfallnummer/Warnungs-ID an. |
|
Beschreibung angeben
|
Value | True | string |
Beschreibungswert |
Gibt zurück
- response
- string
Beschreibung des Vorfalls ändern [VERALTET]
ändert die Beschreibung des ausgewählten Vorfalls.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Abonnement-ID angeben
|
subscriptionId | True | string |
Abonnement-ID |
|
Ressourcengruppe angeben
|
resourceGroup | True | string |
Ressourcengruppe |
|
Arbeitsbereichs-ID angeben
|
workspaceId | True | string |
Arbeitsbereichs-ID |
|
Kennung
|
identifier | True | string |
Vorfall/Warnung |
|
Warnung/Vorfall angeben
|
id | True | string |
Bitte geben Sie die Vorfallnummer/Warnungs-ID an. |
|
Beschreibung angeben
|
fieldValue | True | string |
Beschreibungswert |
Gibt zurück
- response
- string
Bookmarks (V2) – Erstellen einer neuen Textmarke (JSON-Eingabe) (Vorschau)
Bookmarks (V2) – Erstellen einer gültigen neuen Textmarke (json).
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Abonnement-ID angeben
|
subscriptionId | True | string |
Abonnement-ID |
|
Ressourcengruppe angeben
|
resourceGroup | True | string |
Ressourcengruppe |
|
Arbeitsbereichs-ID angeben
|
workspaceId | True | string |
Arbeitsbereichs-ID |
|
Anzeigename der Textmarke
|
displayName | True | string |
Der Anzeigename des Lesezeichens |
|
Textmarkenabfrage
|
bookmarkQuery | True | string |
Textmarkenabfrage (z. B. 'SecurityEvent | wobei TimeGenerated > ago(1d) und TimeGenerated < ago(2d)') |
|
Abfrageergebnis für Textmarken
|
bookmarkQueryResult | True | string |
Abfrageergebnis der Textmarke (z. B. 'Abfrageergebnis für Sicherheitsereignisse') |
|
Lesezeichennotizen
|
bookmarkNotes | string |
Lesezeichennotizen (z. B. "Meine Lesezeichennotizen") |
Gibt zurück
Stellt eine Textmarke in Azure Security Insights dar.
- Body
- Bookmark
Bookmarks (V3) – Erstellt eine neue Textmarke mit separaten Feldern (Vorschau)
Bookmarks (V3) – Erstellen Sie eine neue Textmarke.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Abonnement-ID angeben
|
subscriptionId | True | string |
Abonnement-ID |
|
Ressourcengruppe angeben
|
resourceGroup | True | string |
Ressourcengruppe |
|
Arbeitsbereichs-ID angeben
|
workspaceId | True | string |
Arbeitsbereichs-ID |
|
Anzeigename der Textmarke angeben
|
bookmarkName | True | string |
Anzeigename der Textmarke (z. B. 'Meine Textmarke') |
|
Textmarkenabfrage angeben
|
bookmarkQuery | True | string |
Textmarkenabfrage (z. B. 'SecurityEvent | wobei TimeGenerated > ago(1d) und TimeGenerated < ago(2d)') |
|
Textmarkenabfrageergebnis angeben
|
bookmarkQueryResult | True | string |
Abfrageergebnis der Textmarke (z. B. 'Abfrageergebnis für Sicherheitsereignisse') |
|
Angeben von Lesezeichennotizen
|
bookmarkNotes | True | string |
Lesezeichennotizen (z. B. "Meine Lesezeichennotizen") |
Gibt zurück
Stellt eine Textmarke in Azure Security Insights dar.
- Body
- Bookmark
Entfernen von Bezeichnungen aus Vorfällen (veraltet) [VERALTET]
Entfernt Bezeichnungen zu ausgewähltem Vorfall
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Abonnement-ID angeben
|
subscriptionId | True | string |
Abonnement-ID |
|
Ressourcengruppe angeben
|
resourceGroup | True | string |
Ressourcengruppe |
|
Arbeitsbereichs-ID angeben
|
workspaceId | True | string |
Arbeitsbereichs-ID |
|
Kennung
|
identifier | True | string |
Vorfall/Warnung |
|
Warnung/Vorfall angeben
|
id | True | string |
Bitte geben Sie die Vorfallnummer/Warnungs-ID an. |
|
label
|
Label | True | string |
label |
Gibt zurück
- response
- string
Entities - Get Accounts (Entitäten: Konten abrufen)
Gibt eine Liste der Konten zurück, die der Warnung zugeordnet sind.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Entitätenliste
|
body | True | string |
Entitätenliste |
Gibt zurück
Eine Liste der Konten, die der Warnung zugeordnet sind
- Body
- BatchResponseAccount
Entities - Get FileHashes (Entitäten: FileHashes abrufen)
Gibt eine Liste der Dateihashes zurück, die der Warnung zugeordnet sind.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Entitätenliste
|
body | True | string |
Entitätenliste |
Gibt zurück
Eine Liste der Dateihashes, die der Warnung zugeordnet sind
Entities - Get Hosts (Entitäten: Hosts abrufen)
Gibt eine Liste der Hosts zurück, die der Warnung zugeordnet sind.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Entitätenliste
|
body | True | string |
Entitätenliste |
Gibt zurück
Eine Liste der Hosts, die der Warnung zugeordnet sind
- Body
- BatchResponseHost
Entities - Get IPs (Entitäten: IP-Adressen abrufen)
Gibt eine Liste der IPs zurück, die der Warnung zugeordnet sind.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Entitätenliste
|
body | True | string |
Entitätenliste |
Gibt zurück
Eine Liste der IPs, die der Warnung zugeordnet sind
- Body
- BatchResponseIP
Entities - Get URLs (Entitäten: URLs abrufen)
Gibt eine Liste der URLs zurück, die der Warnung zugeordnet sind.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Entitätenliste
|
body | True | string |
Entitätenliste |
Gibt zurück
Eine Liste der URLs, die der Warnung zugeordnet sind
- Body
- BatchResponseUrl
Entitäten – DNS abrufen
Gibt eine Liste der DNS-Einträge zurück, die der Warnung zugeordnet sind.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Entitätenliste
|
body | True | string |
Entitätenliste |
Gibt zurück
Eine Liste der DNS-Domänen, die der Warnung zugeordnet sind
- Body
- BatchResponseDNS
Hinzufügen einer Warnung zu Vorfällen
Fügen Sie einem vorhandenen Vorfall eine Warnung hinzu. Die Warnung tritt dem Vorfall als jede andere Warnung bei und wird im Portal angezeigt.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
ARM-ID des Vorfalls
|
incidentArmId | True | string |
ARM-ID des Vorfalls. Abrufen von Vorfalltrigger, Warnung – Abrufen einer Vorfallaktion oder Azure Monitor Logs-Abfrage. |
|
Systembenachrichtigungs-ID
|
relatedResourceId | True | string |
Systemwarnungs-ID, die dem Vorfall hinzugefügt/entfernt wird. Rufen Sie die Abfrage oder den Warnungsauslöser von Azure Monitor Logs ab. Beispiel: dfc09ba0-c218-038d-2ad8-b198a0033bdb. |
Gibt zurück
Stellt eine Vorfallbeziehung dar.
- Body
- IncidentRelation
Hinzufügen eines Kommentars zu Vorfällen (V2)
Fügt dem ausgewählten Vorfall einen Kommentar hinzu.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Abonnement-ID angeben
|
subscriptionId | True | string |
Abonnement-ID |
|
Ressourcengruppe angeben
|
resourceGroup | True | string |
Ressourcengruppe |
|
Arbeitsbereichs-ID angeben
|
workspaceId | True | string |
Arbeitsbereichs-ID |
|
Kennung
|
identifier | True | string |
Vorfall/Warnung |
|
Warnung/Vorfall angeben
|
id | True | string |
Bitte geben Sie die Vorfallnummer/Warnungs-ID an. |
|
Kommentar angeben
|
Value | True | string |
Kommentarwert |
Gibt zurück
- response
- string
Hinzufügen eines Kommentars zu Vorfällen (V3)
Fügt dem ausgewählten Vorfall einen Kommentar hinzu.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Arm-ID des Vorfalls
|
incidentArmId | True | string |
Arm-ID des Vorfalls |
|
Vorfallkommentarnachricht
|
message | True | html |
Vorfallkommentarnachricht |
Gibt zurück
Stellt ein Vorfallkommentarelement dar.
- Vorfallkommentar
- IncidentComment
Hinzufügen eines Kommentars zum Vorfall [VERALTET]
Diese Aktion ist veraltet. Verwenden Sie stattdessen "Kommentar zu Vorfall hinzufügen" (V3 ).
Fügt dem ausgewählten Vorfall einen Kommentar hinzu.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Abonnement-ID angeben
|
subscriptionId | True | string |
Abonnement-ID |
|
Ressourcengruppe angeben
|
resourceGroup | True | string |
Ressourcengruppe |
|
Arbeitsbereichs-ID angeben
|
workspaceId | True | string |
Arbeitsbereichs-ID |
|
Kennung
|
identifier | True | string |
Vorfall/Warnung |
|
Warnung/Vorfall angeben
|
id | True | string |
Bitte geben Sie die Vorfallnummer/Warnungs-ID an. |
|
Vorfallkommentar angeben
|
comment | True | string |
Vorfallkommentar |
Gibt zurück
- response
- string
Hinzufügen von Bezeichnungen zu Vorfällen (veraltet) [VERALTET]
Hinzufügen von Bezeichnungen zu ausgewähltem Vorfall
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Abonnement-ID angeben
|
subscriptionId | True | string |
Abonnement-ID |
|
Ressourcengruppe angeben
|
resourceGroup | True | string |
Ressourcengruppe |
|
Arbeitsbereichs-ID angeben
|
workspaceId | True | string |
Arbeitsbereichs-ID |
|
Kennung
|
identifier | True | string |
Vorfall/Warnung |
|
Warnung/Vorfall angeben
|
id | True | string |
Bitte geben Sie die Vorfallnummer/Warnungs-ID an. |
|
label
|
Label | True | string |
label |
Gibt zurück
- response
- string
Lesezeichen – Abrufen aller Lesezeichen
Lesezeichen – Abrufen aller Lesezeichen für einen bestimmten Arbeitsbereich
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Abonnement-ID angeben
|
subscriptionId | True | string |
Abonnement-ID |
|
Ressourcengruppe angeben
|
resourceGroup | True | string |
Ressourcengruppe |
|
Arbeitsbereichs-ID angeben
|
workspaceId | True | string |
Arbeitsbereichs-ID |
|
Angeben der Anzahl von Textmarken
|
numberOfBookmarks | True | integer |
Anzahl der zurückzugebenden Textmarken. 0 oder negativ, um alle Lesezeichen zurückzugeben |
Gibt zurück
Listet alle Lesezeichen auf.
- Body
- BookmarkList
Lesezeichen – Abrufen einer Textmarke
Lesezeichen – Abrufen von Textmarken nach ID
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Abonnement-ID angeben
|
subscriptionId | True | string |
Abonnement-ID |
|
Ressourcengruppe angeben
|
resourceGroup | True | string |
Ressourcengruppe |
|
Arbeitsbereichs-ID angeben
|
workspaceId | True | string |
Arbeitsbereichs-ID |
|
Textmarken-ID angeben
|
bookmarkId | True | string |
ID der Textmarke |
Gibt zurück
Stellt eine Textmarke in Azure Security Insights dar.
- Body
- Bookmark
Lesezeichen – Erstellt neue Textmarke (Vorschau)
Lesezeichen – Erstellt eine neue Textmarke.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Abonnement-ID angeben
|
subscriptionId | True | string |
Abonnement-ID |
|
Ressourcengruppe angeben
|
resourceGroup | True | string |
Ressourcengruppe |
|
Arbeitsbereichs-ID angeben
|
workspaceId | True | string |
Arbeitsbereichs-ID |
|
Textmarken-ID angeben
|
bookmarkId | True | string |
ID der Textmarke |
|
erstellt
|
created | date-time |
Der Zeitpunkt, zu dem die Textmarke erstellt wurde |
|
|
E-Mail
|
string |
Die E-Mail des Benutzers. |
||
|
name
|
name | string |
Der Name des Benutzers. |
|
|
objectId
|
objectId | uuid |
Die Objekt-ID des Benutzers. |
|
|
Anzeigename
|
displayName | True | string |
Der Anzeigename des Lesezeichens |
|
labels
|
labels | string |
Bezeichnung, die zum Markieren und Filtern verwendet wird. |
|
|
Notizen
|
notes | string |
Die Notizen der Textmarke |
|
|
Anfrage
|
query | True | string |
Die Abfrage der Textmarke. |
|
queryResult
|
queryResult | string |
Das Abfrageergebnis der Textmarke. |
|
|
aktualisierte
|
updated | date-time |
Zeitpunkt der letzten Aktualisierung der Textmarke |
|
|
Ereigniszeit
|
eventTime | date-time |
Die Uhrzeit des Lesezeichenereignisses |
|
|
queryStartTime
|
queryStartTime | date-time |
Die Startzeit für die Abfrage |
|
|
queryEndTime
|
queryEndTime | date-time |
Die Endzeit für die Abfrage |
|
|
ARM-ID des Vorfalls
|
id | string |
Die vollständige qualifizierte ARM-ID des Vorfalls. |
|
|
Arm-Name des Vorfalls
|
name | string |
Der ARM-Name des Vorfalls (GUID) |
|
|
Anzahl der Vorfallwarnungen
|
alertsCount | integer |
Die Anzahl der Warnungen im Vorfall |
|
|
Anzahl der Vorfalllesemarken
|
bookmarksCount | integer |
Die Anzahl der Lesezeichen im Vorfall |
|
|
Anzahl der Vorfallkommentare
|
commentsCount | integer |
Die Anzahl der Kommentare im Vorfall |
|
|
Produktnamen für Vorfallwarnungen
|
alertProductNames | array of string |
Liste der Produktnamen von Warnungen im Vorfall |
|
|
Anbietervorfall-URL
|
providerIncidentUrl | string |
Die URL zum Vorfall im Microsoft Defender-Portal |
|
|
Zusammengeführte Vorfallnummer
|
mergedIncidentNumber | string |
Die Vorfallnummer des Vorfalls, mit dem der aktuelle Vorfall zusammengeführt wurde |
|
|
Url für zusammengeführte Vorfälle
|
mergedIncidentUrl | string |
Die URL zum Vorfall, mit dem der aktuelle Vorfall zusammengeführt wurde |
|
|
Vorfalltaktiken
|
Incident Tactics | string |
Stellt ein Taktikelement dar, das dem Vorfall zugeordnet ist. |
|
|
Vorfalltechniken
|
techniques | array of string |
Die Techniken, die mit der Taktik des Vorfalls verbunden sind' |
|
|
Vorfallklassifizierung
|
classification | string |
Der Grund, warum der Vorfall geschlossen wurde |
|
|
Kommentar zur Vorfallklassifizierung
|
classificationComment | string |
Beschreibt den Grund, warum der Vorfall geschlossen wurde. |
|
|
Grund für die Vorfallklassifizierung
|
classificationReason | string |
Der Klassifizierungsgrund, mit dem der Vorfall geschlossen wurde |
|
|
Vorfall erstellt Utc
|
createdTimeUtc | date-time |
Der Zeitpunkt, zu dem der Vorfall erstellt wurde |
|
|
Vorfallbeschreibung
|
description | string |
Die Beschreibung des Vorfalls |
|
|
Erste Aktivitätszeit des Vorfalls UTC
|
firstActivityTimeUtc | date-time |
Zeitpunkt der ersten Aktivität im Vorfall |
|
|
Vorfall-URL
|
incidentUrl | string |
Die Deep-Link-URL zum Vorfall im Azure-Portal |
|
|
Anbietervorfall-ID
|
providerIncidentId | string |
Die vom Vorfallanbieter zugewiesene Vorfall-ID |
|
|
Incident Sentinel-ID
|
incidentNumber | integer |
Eine sequenzielle Nummer, die zum Identifizieren des Vorfalls in Microsoft Sentinel verwendet wird. |
|
|
Zeitpunkt der letzten Aktivität von Vorfällen UTC
|
lastActivityTimeUtc | date-time |
Der Zeitpunkt der letzten Aktivität im Vorfall |
|
|
Schweregrad des Vorfalls
|
severity | string |
Der Schweregrad des Vorfalls |
|
|
Vorfallstatus
|
status | string |
Der Status des Vorfalls |
|
|
Vorfalltitel
|
title | string |
Der Titel des Vorfalls |
|
|
Name
|
labelName | True | string |
Der Name des Tags |
|
Typ
|
labelType | string |
Der Typ des Tags |
|
|
Uhrzeit der letzten Änderung des Vorfalls UTC
|
lastModifiedTimeUtc | date-time |
Zeitpunkt der letzten Aktualisierung des Vorfalls |
|
|
Email
|
string |
Die E-Mail des Benutzers, dem der Vorfall zugewiesen ist. |
||
|
Zugeordnet
|
assignedTo | string |
Der Name des Benutzers, dem der Vorfall zugewiesen ist. (assignedTo-Feld) |
|
|
Objekt-ID
|
objectId | uuid |
Die Objekt-ID des Benutzers, dem der Vorfall zugewiesen ist. |
|
|
Benutzerprinzipalname
|
userPrincipalName | string |
Der Benutzerprinzipalname des Benutzers, dem der Vorfall zugewiesen ist. |
|
|
Vorfallbezogene Analyseregel-IDs
|
relatedAnalyticRuleIds | array of string |
Liste der Ressourcen-IDs von Analyseregeln im Zusammenhang mit dem Vorfall |
|
|
ID
|
id | string |
Die vollständige qualifizierte ARM-ID des Kommentars. |
|
|
Name
|
name | string |
Der ARM-Name des Kommentars (GUID) |
|
|
Eigenschaften
|
properties |
Represents Incident Comment Properties JSON. |
Gibt zurück
Stellt eine Textmarke in Azure Security Insights dar.
- Body
- Bookmark
Lesezeichen – Löschen einer Textmarke
Lesezeichen – Löschen einer Textmarke
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Abonnement-ID angeben
|
subscriptionId | True | string |
Abonnement-ID |
|
Ressourcengruppe angeben
|
resourceGroup | True | string |
Ressourcengruppe |
|
Arbeitsbereichs-ID angeben
|
workspaceId | True | string |
Arbeitsbereichs-ID |
|
Textmarken-ID angeben
|
bookmarkId | True | string |
ID der Textmarke |
Gibt zurück
- response
- string
Markieren einer Aufgabe als erledigt
Markieren einer Aufgabe als erledigt
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
ARM-ID des Vorgangs
|
taskArmId | True | string |
ARM-ID des Vorgangs |
Gibt zurück
Stellt ein Vorfallaufgabenelement dar.
- Incidenttask
- IncidentTask
Schweregrad des Vorfalls ändern (veraltet) [VERALTET]
ändert den Schweregrad des ausgewählten Vorfalls.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Abonnement-ID angeben
|
subscriptionId | True | string |
Abonnement-ID |
|
Ressourcengruppe angeben
|
resourceGroup | True | string |
Ressourcengruppe |
|
Arbeitsbereichs-ID angeben
|
workspaceId | True | string |
Arbeitsbereichs-ID |
|
Kennung
|
identifier | True | string |
Vorfall/Warnung |
|
Warnung/Vorfall angeben
|
id | True | string |
Bitte geben Sie die Vorfallnummer/Warnungs-ID an. |
|
Schweregrad angeben
|
severity | True | string |
Schweregradwert |
Gibt zurück
- response
- string
Threat Intelligence – Hochladen von STIX-Objekten (Vorschau)
Laden Sie STIX-Objekte massenweise mithilfe der Threat Intelligence-Upload-API hoch.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Arbeitsbereichs-ID angeben
|
workspaceId | True | string |
Arbeitsbereichs-ID |
Gibt zurück
Antwort der Threat Intelligence Uplaod-API. Dies sind Fehler für ungültige Objekte im Anforderungstext.
- Gegenstände
- UploadApiValidationErrors
Titel des Vorfalls ändern (V2) (veraltet) [VERALTET]
Ändert den Titel in den ausgewählten Vorfall.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Abonnement-ID angeben
|
subscriptionId | True | string |
Abonnement-ID |
|
Ressourcengruppe angeben
|
resourceGroup | True | string |
Ressourcengruppe |
|
Arbeitsbereichs-ID angeben
|
workspaceId | True | string |
Arbeitsbereichs-ID |
|
Kennung
|
identifier | True | string |
Vorfall/Warnung |
|
Warnung/Vorfall angeben
|
id | True | string |
Bitte geben Sie die Vorfallnummer/Warnungs-ID an. |
|
Titel angeben
|
Value | True | string |
Titelwert |
Gibt zurück
- response
- string
Titel des Vorfalls ändern [VERALTET]
Ändert den Titel in den ausgewählten Vorfall.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Abonnement-ID angeben
|
subscriptionId | True | string |
Abonnement-ID |
|
Ressourcengruppe angeben
|
resourceGroup | True | string |
Ressourcengruppe |
|
Arbeitsbereichs-ID angeben
|
workspaceId | True | string |
Arbeitsbereichs-ID |
|
Kennung
|
identifier | True | string |
Vorfall/Warnung |
|
Warnung/Vorfall angeben
|
id | True | string |
Bitte geben Sie die Vorfallnummer/Warnungs-ID an. |
|
Titel angeben
|
fieldValue | True | string |
Titelwert |
Gibt zurück
- response
- string
Vorfall abrufen
Abrufen eines Vorfalls anhand der ARM-ID
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Arm-ID des Vorfalls
|
incidentArmId | True | string |
Arm-ID des Vorfalls |
Gibt zurück
Stellt einen Vorfall in Azure Security Insights dar.
- Body
- Incident
Vorfall erstellen
Erstellen eines Vorfalls mit bereitgestellten Feldern
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Subscription
|
subscriptionId | True | string |
Auswählen des Abonnements |
|
Ressourcengruppe
|
resourceGroup | True | string |
Ressourcengruppe auswählen |
|
Arbeitsbereichname
|
workspaceName | True | string |
Arbeitsbereich auswählen |
|
Angeben von Vorfallfeldern
|
body | True | dynamic |
Vorfallfelder |
Gibt zurück
Stellt einen Vorfall in Azure Security Insights dar.
- Body
- Incident
Warnung aus Einem Vorfall entfernen
Entfernen sie eine Warnung aus einem vorhandenen Vorfall.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
ARM-ID des Vorfalls
|
incidentArmId | True | string |
ARM-ID des Vorfalls. Abrufen von Vorfalltrigger, Warnung – Abrufen einer Vorfallaktion oder Azure Monitor Logs-Abfrage. |
|
Systembenachrichtigungs-ID
|
relatedResourceId | True | string |
Systemwarnungs-ID, die dem Vorfall hinzugefügt/entfernt wird. Rufen Sie die Abfrage oder den Warnungsauslöser von Azure Monitor Logs ab. Beispiel: dfc09ba0-c218-038d-2ad8-b198a0033bdb. |
Gibt zurück
- response
- string
Watchlists – Abrufen aller Watchlist-Elemente für eine bestimmte Watchlist
Watchlists – Abrufen aller Watchlist-Elemente für eine bestimmte Watchlist
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Abonnement-ID angeben
|
subscriptionId | True | string |
Abonnement-ID |
|
Ressourcengruppe angeben
|
resourceGroup | True | string |
Ressourcengruppe |
|
Arbeitsbereichs-ID angeben
|
workspaceId | True | string |
Arbeitsbereichs-ID |
|
Angeben des Watchlist-Alias
|
watchlistAlias | True | string |
Alias „Watchlist“ |
Gibt zurück
Listet alle Watchlist-Elemente auf.
- response
- WatchlistItemList
Watchlists – Abrufen aller Watchlist-Elemente für eine bestimmte Watchlist (V2)
Watchlists – Abrufen aller Watchlist-Elemente für eine bestimmte Watchlist (V2)
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Abonnement-ID angeben
|
subscriptionId | True | string |
Abonnement-ID |
|
Ressourcengruppe angeben
|
resourceGroup | True | string |
Ressourcengruppe |
|
Arbeitsbereichs-ID angeben
|
workspaceId | True | string |
Arbeitsbereichs-ID |
|
Angeben des Watchlist-Alias
|
watchlistAlias | True | string |
Alias „Watchlist“ |
|
Token überspringen
|
skipToken | string |
Token für den nächsten Satz von 100 Elementen überspringen, die zurückgegeben werden sollen |
Gibt zurück
Listet alle Watchlist-Elemente auf.
- response
- WatchlistItemList
Watchlists – Abrufen einer Watchlist nach Alias
Watchlists – Abrufen einer Watchlist nach Alias
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Abonnement-ID angeben
|
subscriptionId | True | string |
Abonnement-ID |
|
Ressourcengruppe angeben
|
resourceGroup | True | string |
Ressourcengruppe |
|
Arbeitsbereichs-ID angeben
|
workspaceId | True | string |
Arbeitsbereichs-ID |
|
Angeben des Watchlist-Alias
|
watchlistAlias | True | string |
Alias „Watchlist“ |
Gibt zurück
Stellt eine Watchlist in Azure Security Insights dar.
- Body
- Watchlist
Watchlists – Abrufen eines Watchlist-Elements nach ID (guid)
Watchlists – Abrufen eines Watchlist-Elements
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Abonnement-ID angeben
|
subscriptionId | True | string |
Abonnement-ID |
|
Ressourcengruppe angeben
|
resourceGroup | True | string |
Ressourcengruppe |
|
Arbeitsbereichs-ID angeben
|
workspaceId | True | string |
Arbeitsbereichs-ID |
|
Angeben des Watchlist-Alias
|
watchlistAlias | True | string |
Alias „Watchlist“ |
|
Id des Watchlist-Elements angeben
|
watchlistItemId | True | string |
Eindeutiger Bezeichner für ein Watchlist-Element (GUID) |
Gibt zurück
Stellt ein WatchlistItem in Azure Security Insights dar.
- Body
- WatchlistItem
Watchlists – Aktualisieren eines vorhandenen Watchlist-Elements
Watchlists – Aktualisieren eines vorhandenen Watchlist-Elements
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Abonnement-ID angeben
|
subscriptionId | True | string |
Abonnement-ID |
|
Ressourcengruppe angeben
|
resourceGroup | True | string |
Ressourcengruppe |
|
Arbeitsbereichs-ID angeben
|
workspaceId | True | string |
Arbeitsbereichs-ID |
|
Angeben des Watchlist-Alias
|
watchlistAlias | True | string |
Alias „Watchlist“ |
|
Id des Watchlist-Elements angeben
|
watchlistItemId | True | string |
Eindeutiger Bezeichner für ein Watchlist-Element (GUID) |
Gibt zurück
Stellt ein WatchlistItem in Azure Security Insights dar.
- Body
- WatchlistItem
Watchlists – Erstellen einer großen Watchlist mit einem SAS-URI
Watchlists – Erstellen einer großen Watchlist mit einem SAS-URI
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Abonnement-ID angeben
|
subscriptionId | True | string |
Abonnement-ID |
|
Ressourcengruppe angeben
|
resourceGroup | True | string |
Ressourcengruppe |
|
Arbeitsbereichs-ID angeben
|
workspaceId | True | string |
Arbeitsbereichs-ID |
|
Angeben des Watchlist-Alias
|
watchlistAlias | True | string |
Alias „Watchlist“ |
Gibt zurück
Stellt eine Watchlist in Azure Security Insights dar.
- Body
- Watchlist
Watchlists – Erstellen einer großen Watchlist mit einem SAS-Uri (V2)
Watchlists – Erstellen einer großen Watchlist mit einem SAS-Uri (V2)
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Abonnement-ID angeben
|
subscriptionId | True | string |
Abonnement-ID |
|
Ressourcengruppe angeben
|
resourceGroup | True | string |
Ressourcengruppe |
|
Arbeitsbereichs-ID angeben
|
workspaceId | True | string |
Arbeitsbereichs-ID |
|
Angeben des Watchlist-Alias
|
watchlistAlias | True | string |
Alias „Watchlist“ |
Gibt zurück
Stellt eine Watchlist in Azure Security Insights dar.
- Body
- WatchlistV2
Watchlists – Erstellen einer neuen Watchlist mit Daten (Rohinhalt) (V2)
Watchlists – Erstellen einer neuen Watchlist mit Daten (Rohinhalt) (V2)
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Abonnement-ID angeben
|
subscriptionId | True | string |
Abonnement-ID |
|
Ressourcengruppe angeben
|
resourceGroup | True | string |
Ressourcengruppe |
|
Arbeitsbereichs-ID angeben
|
workspaceId | True | string |
Arbeitsbereichs-ID |
|
Angeben des Watchlist-Alias
|
watchlistAlias | True | string |
Alias „Watchlist“ |
Gibt zurück
Stellt eine Watchlist in Azure Security Insights dar.
- Body
- WatchlistV2
Watchlists – Erstellen einer neuen Watchlist mit Daten (Unformatierter Inhalt)
Watchlists – Erstellen einer neuen Watchlist mit Daten (Unformatierter Inhalt)
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Abonnement-ID angeben
|
subscriptionId | True | string |
Abonnement-ID |
|
Ressourcengruppe angeben
|
resourceGroup | True | string |
Ressourcengruppe |
|
Arbeitsbereichs-ID angeben
|
workspaceId | True | string |
Arbeitsbereichs-ID |
|
Angeben des Watchlist-Alias
|
watchlistAlias | True | string |
Alias „Watchlist“ |
Gibt zurück
Stellt eine Watchlist in Azure Security Insights dar.
- Body
- Watchlist
Watchlists – Hinzufügen eines neuen Watchlist-Elements
Watchlists – Hinzufügen eines neuen Watchlist-Elements
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Abonnement-ID angeben
|
subscriptionId | True | string |
Abonnement-ID |
|
Ressourcengruppe angeben
|
resourceGroup | True | string |
Ressourcengruppe |
|
Arbeitsbereichs-ID angeben
|
workspaceId | True | string |
Arbeitsbereichs-ID |
|
Angeben des Watchlist-Alias
|
watchlistAlias | True | string |
Alias „Watchlist“ |
Gibt zurück
Stellt ein WatchlistItem in Azure Security Insights dar.
- Body
- WatchlistItem
Watchlists – Löschen einer Watchlist
Watchlists – Löschen einer Watchlist
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Abonnement-ID angeben
|
subscriptionId | True | string |
Abonnement-ID |
|
Ressourcengruppe angeben
|
resourceGroup | True | string |
Ressourcengruppe |
|
Arbeitsbereichs-ID angeben
|
workspaceId | True | string |
Arbeitsbereichs-ID |
|
Angeben des Watchlist-Alias
|
watchlistAlias | True | string |
Alias „Watchlist“ |
Gibt zurück
- response
- string
Watchlists – Löschen einer Watchlist (V2)
Löscht eine angegebene Watchlist nach Alias.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Abonnement-ID angeben
|
subscriptionId | True | string |
Abonnement-ID |
|
Ressourcengruppe angeben
|
resourceGroup | True | string |
Ressourcengruppe |
|
Arbeitsbereichs-ID angeben
|
workspaceId | True | string |
Arbeitsbereichs-ID |
|
Angeben des Watchlist-Alias
|
watchlistAlias | True | string |
Alias „Watchlist“ |
Watchlists – Löschen eines Watchlist-Elements
Watchlists – Löschen eines Watchlist-Elements
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Abonnement-ID angeben
|
subscriptionId | True | string |
Abonnement-ID |
|
Ressourcengruppe angeben
|
resourceGroup | True | string |
Ressourcengruppe |
|
Arbeitsbereichs-ID angeben
|
workspaceId | True | string |
Arbeitsbereichs-ID |
|
Angeben des Watchlist-Alias
|
watchlistAlias | True | string |
Alias „Watchlist“ |
|
Id des Watchlist-Elements angeben
|
watchlistItemId | True | string |
Eindeutiger Bezeichner für ein Watchlist-Element (GUID) |
Gibt zurück
- response
- string
Watchlists – Löschen eines Watchlist-Elements (V2)
Watchlists – Löschen eines Watchlist-Elements (V2)
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Abonnement-ID angeben
|
subscriptionId | True | string |
Abonnement-ID |
|
Ressourcengruppe angeben
|
resourceGroup | True | string |
Ressourcengruppe |
|
Arbeitsbereichs-ID angeben
|
workspaceId | True | string |
Arbeitsbereichs-ID |
|
Angeben des Watchlist-Alias
|
watchlistAlias | True | string |
Alias „Watchlist“ |
|
Id des Watchlist-Elements angeben
|
watchlistItemId | True | string |
Eindeutiger Bezeichner für ein Watchlist-Element (GUID) |
Gibt zurück
- response
- string
Ändern des Vorfallstatus (veraltet) [VERALTET]
ändert den Status des ausgewählten Vorfalls.
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Abonnement-ID angeben
|
subscriptionId | True | string |
Abonnement-ID |
|
Ressourcengruppe angeben
|
resourceGroup | True | string |
Ressourcengruppe |
|
Arbeitsbereichs-ID angeben
|
workspaceId | True | string |
Arbeitsbereichs-ID |
|
Kennung
|
identifier | True | string |
Vorfall/Warnung |
|
Warnung/Vorfall angeben
|
id | True | string |
Bitte geben Sie die Vorfallnummer/Warnungs-ID an. |
|
Status angeben
|
status | True | string |
Statuswert |
|
dynamicStatusChangerSchema
|
dynamicStatusChangerSchema | dynamic |
Dynamisches Schema der Änderung des Vorfallstatus |
Gibt zurück
- response
- string
Auslöser
| Microsoft Sentinel-Entität |
Ausführen von Playbook für die Microsoft Sentinel-Entität |
| Microsoft Sentinel-Vorfall |
Wenn eine Antwort auf einen Microsoft Sentinel-Vorfall ausgelöst wird. Dieses Playbook wird durch eine Automatisierungsregel ausgelöst, wenn ein neuer Vorfall erstellt oder aktualisiert wird. Playbook empfängt den Microsoft Sentinel-Vorfall als Eingabe, einschließlich Warnungen und Entitäten. |
| Microsoft Sentinel-Warnung |
Wenn eine Antwort auf eine Microsoft Sentinel-Warnung ausgelöst wird. Dieses Playbook wird durch eine Analyseregel ausgelöst, wenn eine neue Warnung erstellt oder manuell ausgelöst wird. Playbook empfängt die Benachrichtigung als Eingabe. |
| Wenn eine Antwort auf eine Microsoft Sentinel-Warnung ausgelöst wird [VERALTET] |
Wenn eine Antwort auf eine Microsoft Sentinel-Warnung ausgelöst wird. Dieses Playbook muss mit Microsoft Sentinel Real Time oder von Azure ausgelöst werden. |
Microsoft Sentinel-Entität
Ausführen von Playbook für die Microsoft Sentinel-Entität
Parameter
| Name | Schlüssel | Erforderlich | Typ | Beschreibung |
|---|---|---|---|---|
|
Entitätstyp
|
entityType | True | string |
Entitätstyp |
Gibt zurück
Microsoft Sentinel-Vorfall
Wenn eine Antwort auf einen Microsoft Sentinel-Vorfall ausgelöst wird. Dieses Playbook wird durch eine Automatisierungsregel ausgelöst, wenn ein neuer Vorfall erstellt oder aktualisiert wird. Playbook empfängt den Microsoft Sentinel-Vorfall als Eingabe, einschließlich Warnungen und Entitäten.
Gibt zurück
Microsoft Sentinel-Warnung
Wenn eine Antwort auf eine Microsoft Sentinel-Warnung ausgelöst wird. Dieses Playbook wird durch eine Analyseregel ausgelöst, wenn eine neue Warnung erstellt oder manuell ausgelöst wird. Playbook empfängt die Benachrichtigung als Eingabe.
Gibt zurück
- Body
- Alert
Wenn eine Antwort auf eine Microsoft Sentinel-Warnung ausgelöst wird [VERALTET]
Wenn eine Antwort auf eine Microsoft Sentinel-Warnung ausgelöst wird. Dieses Playbook muss mit Microsoft Sentinel Real Time oder von Azure ausgelöst werden.
Gibt zurück
- Body
- Alert
Definitionen
UploadApiValidationErrors
Antwort der Threat Intelligence Uplaod-API. Dies sind Fehler für ungültige Objekte im Anforderungstext.
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
recordIndex
|
recordIndex | integer | |
|
validationErrorMessages
|
validationErrorMessages | array of string |
IndicatorValidationErrors
Antwort von Threat Intelligence Uplaod Indicators.
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
recordIndex
|
recordIndex | integer | |
|
errorMessages
|
errorMessages | array of string |
BatchResponseAccount
Eine Liste der Konten, die der Warnung zugeordnet sind
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
Accounts
|
Accounts | array of Account |
Eine Liste der Konten, die der Warnung zugeordnet sind |
Account
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
Name
|
Name | string |
Kontoname |
|
NT-Domäne
|
NTDomain | string |
NETBIOS-Domänenname, wie er im Warnungsformat angezeigt wird |
|
DnsDomain
|
DnsDomain | string |
Der vollqualifizierte Dns-Domänenname |
|
UPN-Suffix
|
UPNSuffix | string |
Suffix des Benutzerprinzipalnamens |
|
SID
|
Sid | string |
Kontosicherheits-ID, z. B. S-1-5-18 |
|
Microsoft Entra ID-Mandanten-ID
|
AadTenantId | string |
Microsoft Entra ID-Mandanten-ID, falls bekannt |
|
Microsoft Entra ID-Benutzer-ID
|
AadUserId | string |
Microsoft Entra ID-Benutzer-ID, falls bekannt |
|
PUID
|
PUID | string |
Die Microsoft Entra ID Passport-Benutzer-ID, falls bekannt |
|
Ist einer Domäne beigetreten
|
IsDomainJoined | boolean |
Bestimmt, ob es sich um ein Domänenkonto handelt. |
|
ObjectGuid
|
ObjectGuid | string |
Das ObjectGUID-Attribut ist ein einwertiges Attribut, das der eindeutige Bezeichner für das Objekt ist, das von der Microsoft Entra-ID zugewiesen wird. |
BatchResponseUrl
Eine Liste der URLs, die der Warnung zugeordnet sind
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
URLs
|
URLs | array of UrlEntity |
Eine Liste der URLs, die der Warnung zugeordnet sind |
UrlEntity
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
URL
|
Url | string |
BatchResponseHost
Eine Liste der Hosts, die der Warnung zugeordnet sind
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
Hosts
|
Hosts | array of Host |
Eine Liste der Hosts, die der Warnung zugeordnet sind |
Host
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
DNS-Domäne
|
DnsDomain | string |
DNS-Domäne, zu der dieser Host gehört |
|
NT-Domäne
|
NTDomain | string |
NT-Domäne, zu der dieser Host gehört |
|
Rechnername
|
HostName | string |
Hostname ohne das Domänensuffix |
|
NetBiosName
|
NetBiosName | string |
Hostname (pre-windows2000) |
|
OMSAgentID
|
OMSAgentID | string |
Die OMS-Agent-ID, wenn der Host OMS-Agent installiert hat |
|
OSFamily
|
OSFamily | string |
Einer der folgenden Werte: Linux, Windows, Android, IOS |
|
Betriebssystem-Version
|
OSVersion | string |
Eine Freitextdarstellung des Betriebssystems |
|
Ist einer Domäne beigetreten
|
IsDomainJoined | boolean |
Bestimmt, ob dieser Host zu einer Domäne gehört. |
|
AzureID
|
AzureID | string |
Die Azure-Ressourcen-ID der VM, falls bekannt |
BatchResponseIP
Eine Liste der IPs, die der Warnung zugeordnet sind
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
Ips
|
IPs | array of IP |
Eine Liste der IPs, die der Warnung zugeordnet sind |
IP
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
Adresse
|
Address | string |
IP-Adresse |
BatchResponseDNS
Eine Liste der DNS-Domänen, die der Warnung zugeordnet sind
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
DNS-Domänen
|
Dnsresolutions | array of DNS |
Eine Liste der DNS-Domänen, die der Warnung zugeordnet sind |
DNS
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
Domänenname
|
DomainName | string |
Der Name des DNS-Eintrags, der der Warnung zugeordnet ist |
BatchResponseFileHash
Eine Liste der Dateihashes, die der Warnung zugeordnet sind
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
FileHashes
|
Filehashes | array of FileHash |
Eine Liste der Dateihashes, die der Warnung zugeordnet sind |
FileHash
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
Wert
|
Value | string |
Dateihashwert |
|
Algorithmus
|
Algorithm | string |
Die Dateihashalgorithmustypen |
OldIncident
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
Eigenschaften
|
properties | OldIncidentProperties |
OldIncidentProperties
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
Der Status
|
Status | string |
Der Status des Vorfalls |
|
Labels
|
Labels | array of |
Die Bezeichnungen des Vorfalls |
|
Title
|
Title | string |
Der Titel des Vorfalls |
|
Description
|
Description | string |
Die Beschreibung des Vorfalls |
|
Endzeit UTC
|
EndTimeUtc | string |
Der Zeitpunkt, zu dem der Vorfall beendet wurde |
|
Startzeit UTC
|
StartTimeUtc | string |
Die Startzeit des Vorfalls |
|
Uhrzeit der letzten Aktualisierung utc
|
LastUpdatedTimeUtc | string |
Die Aktualisierungszeit des Vorfalls |
|
Number
|
CaseNumber | string |
Die Anzahl des Vorfalls |
|
Zeit utc erstellt
|
CreatedTimeUtc | string |
Der Zeitpunkt, zu dem der Vorfall erstellt wurde |
|
Schweregrad
|
Severity | string |
Der Schweregrad des Vorfalls |
|
Verwandte Warnungs-IDs
|
RelatedAlertIds | array of |
Die zugehörigen Warnungs-IDs des Vorfalls |
IncidentAdditionalData
Zusätzlichen Dateneigenschaftenbehälter für Vorfälle.
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
Anzahl der Vorfallwarnungen
|
alertsCount | integer |
Die Anzahl der Warnungen im Vorfall |
|
Anzahl der Vorfalllesemarken
|
bookmarksCount | integer |
Die Anzahl der Lesezeichen im Vorfall |
|
Anzahl der Vorfallkommentare
|
commentsCount | integer |
Die Anzahl der Kommentare im Vorfall |
|
Produktnamen für Vorfallwarnungen
|
alertProductNames | array of string |
Liste der Produktnamen von Warnungen im Vorfall |
|
Anbietervorfall-URL
|
providerIncidentUrl | string |
Die URL zum Vorfall im Microsoft Defender-Portal |
|
Zusammengeführte Vorfallnummer
|
mergedIncidentNumber | string |
Die Vorfallnummer des Vorfalls, mit dem der aktuelle Vorfall zusammengeführt wurde |
|
Url für zusammengeführte Vorfälle
|
mergedIncidentUrl | string |
Die URL zum Vorfall, mit dem der aktuelle Vorfall zusammengeführt wurde |
|
Vorfalltaktiken
|
tactics | array of AttackTactic |
Die Taktiken, die mit Vorfällen verbunden sind |
|
Vorfalltechniken
|
techniques | array of string |
Die Techniken, die mit der Taktik des Vorfalls verbunden sind' |
IncidentLabel
Stellt ein Vorfalltag dar.
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
Name
|
labelName | string |
Der Name des Tags |
|
Typ
|
labelType | string |
Der Typ des Tags |
IncidentOwnerInfo
Informationen zum Benutzer, dem ein Vorfall zugewiesen ist
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
Email
|
string |
Die E-Mail des Benutzers, dem der Vorfall zugewiesen ist. |
|
|
Zugeordnet
|
assignedTo | string |
Der Name des Benutzers, dem der Vorfall zugewiesen ist. (assignedTo-Feld) |
|
Objekt-ID
|
objectId | uuid |
Die Objekt-ID des Benutzers, dem der Vorfall zugewiesen ist. |
|
Benutzerprinzipalname
|
userPrincipalName | string |
Der Benutzerprinzipalname des Benutzers, dem der Vorfall zugewiesen ist. |
AttackTactic
Stellt ein Taktikelement dar, das dem Vorfall zugeordnet ist.
Stellt ein Taktikelement dar, das dem Vorfall zugeordnet ist.
AlertSeverity
HuntingBookmark
Stellt ein Lesezeichenelement für die Suche dar.
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
ARM-ID
|
id | string |
Die vollständige qualifizierte ARM-ID der Textmarke. |
|
ARM-Name
|
name | string |
Der ARM-Name der Textmarke (GUID) |
|
Eigenschaften
|
properties | HuntingBookmarkProperties |
Represents HuntingBookmark Properties JSON. |
Sicherheitswarnung
Stellt ein Sicherheitswarnungselement dar.
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
ARM-ID
|
id | string |
Die vollständige qualifizierte ARM-ID der Warnung. |
|
ARM-Name
|
name | string |
Der ARM-Name der Warnung (GUID) |
|
Eigenschaften
|
properties | SecurityAlertProperties |
Represents Alert Properties JSON. |
HuntingBookmarkProperties
Represents HuntingBookmark Properties JSON.
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
Anzeigename
|
displayName | string |
Der Anzeigename des Lesezeichens |
|
Erstellt
|
created | date-time |
Die erstellungszeit des Lesezeichens |
|
Updated
|
updated | date-time |
Die aktualisierte Uhrzeit der Textmarke |
|
Erstellt von Benutzerinformationen
|
createdBy | CreatedByUserInfo |
Represents UserInfo Properties JSON. |
|
Von Benutzerinformationen aktualisiert
|
updatedBy | UpdatedByUserInfo |
Represents UserInfo Properties JSON. |
|
Ereigniszeit
|
eventTime | date-time |
Die Ereigniszeit der Textmarke |
|
Hinweise
|
notes | string |
Die Notizen der Textmarke |
|
Labels
|
labels | array of string |
Die Beschriftungen der Textmarke |
|
Query
|
query | string |
Die Abfrage der Textmarke |
|
Abfrageergebnis
|
queryResult | string |
Das Abfrageergebnis der Textmarke |
SecurityAlertProperties
Represents Alert Properties JSON.
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
Freundlicher Name
|
friendlyName | string |
Der Anzeigename des Diagrammelements, bei dem es sich um eine kurz lesbare Beschreibung der Instanz des Diagrammelements handelt. Diese Eigenschaft ist optional und kann vom System generiert werden. |
|
Anzeigename
|
alertDisplayName | string |
Der Anzeigename der Warnung |
|
Typ
|
alertType | string |
In der Zeitplanwarnung ist dies die Analyseregel-ID. |
|
URI
|
alertLink | string |
Dies ist der Link zur Warnung im orignalen Anbieter. |
|
Kompromittierte Entität
|
compromisedEntity | string |
Anzeigename der Hauptentität, über die berichtet wird. |
|
Zuverlässigkeitsstufe
|
confidenceLevel | string |
Das Konfidenzniveau dieser Warnung. |
|
Description
|
description | string |
Die Beschreibung der Warnung. |
|
Endzeit UTC
|
endTimeUtc | date-time |
Die Auswirkungsendezeit der Warnung (die Uhrzeit des letzten Ereignisses, das zur Warnung beiträgt). |
|
Anbieter-ID
|
providerAlertId | string |
Der Bezeichner der Warnung innerhalb des Produkts, das die Warnung generiert hat. |
|
Produktname
|
productName | string |
Der Name des Produkts, das diese Warnung veröffentlicht hat. |
|
Korrekturschritte
|
remediationSteps | array of string |
Liste der manuellen Aktionselemente, die zum Beheben der Warnung ausgeführt werden sollen. |
|
Schweregrad
|
severity | AlertSeverity |
Der Schweregrad der Warnung |
|
Startzeit
|
startTimeUtc | date-time |
Die Auswirkung der Startzeit der Warnung (der Zeitpunkt des ersten Ereignisses, das zur Warnung beiträgt). |
|
Der Status
|
status | string |
Der Lebenszyklusstatus der Warnung. |
|
System-ID
|
systemAlertId | string |
Enthält die Produkt-ID der Warnung für das Produkt. |
|
Tactics
|
tactics | array of AttackTactic |
Liste der Warnungstaktiken. |
|
Generierte Zeit
|
timeGenerated | date-time |
Der Zeitpunkt, zu dem die Warnung generiert wurde. |
|
Query
|
additionalData.Query | string |
Die Abfrage, die verwendet wird, um zu entscheiden, ob die Warnung ausgelöst werden soll (Nur Warnung planen). |
|
Startzeit der Abfrage
|
additionalData.Query Start Time UTC | string |
Die Startzeit der Abfrage, die verwendet wird, um zu entscheiden, ob die Warnung ausgelöst werden soll (Nur Warnung planen). |
|
Endzeit der Abfrage
|
additionalData.Query End Time UTC | string |
Die Startzeit der Abfrage, die verwendet wird, um zu entscheiden, ob die Warnung ausgelöst werden soll (Nur Warnung planen). |
|
Abfrageoperator
|
additionalData.Trigger Operator | string |
Der Operator, der verwendet wird, um zu entscheiden, ob die Warnung ausgelöst werden soll (Nur Warnung planen). |
|
Abfrageschwellenwert
|
additionalData.Trigger Threshold | string |
Der Schwellenwert, der verwendet wird, um zu entscheiden, ob die Warnung ausgelöst werden soll (Nur Warnung planen). |
|
Benutzerdefinierte Details
|
additionalData.Custom Details | string |
Benutzerdefinierte Ereignisdetails, die der Warnung durch die Analyseregeln hinzugefügt werden (nur geplante Warnungen). Um dieses Feld zu verwenden, folgen Sie der Aktion "JSON analysieren", und verwenden Sie eine Beispielnutzlast aus einer vorhandenen Warnung, um das Schema zu simulieren. |
|
Ressourcen-Bezeichner
|
resourceIdentifiers | array of object |
Die Ressourcenbezeichner der Warnung |
|
items
|
resourceIdentifiers | object |
Stellt einen Warnungsressourcenbezeichner dar. |
Vorfall
Stellt einen Vorfall in Azure Security Insights dar.
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
ARM-ID des Vorfalls
|
id | string |
Die vollständige qualifizierte ARM-ID des Vorfalls. |
|
Arm-Name des Vorfalls
|
name | string |
Der ARM-Name des Vorfalls (GUID) |
|
Eigenschaften
|
properties | IncidentProperties |
Represents the Incident Properties JSON. |
FullIncident
Abrufen eines Vorfalls anhand der ARM-ID
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
ARM-ID des Vorfalls
|
id | string |
Die vollständige qualifizierte ARM-ID des Vorfalls. |
|
Arm-Name des Vorfalls
|
name | string |
Der ARM-Name des Vorfalls (GUID) |
|
Eigenschaften
|
properties | FullIncidentProperties |
Represents the Incident Properties JSON. |
IncidentProperties
Represents the Incident Properties JSON.
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
zusätzlicheDaten
|
additionalData | IncidentAdditionalData |
Zusätzlichen Dateneigenschaftenbehälter für Vorfälle. |
|
Vorfallklassifizierung
|
classification | string |
Der Grund, warum der Vorfall geschlossen wurde |
|
Kommentar zur Vorfallklassifizierung
|
classificationComment | string |
Beschreibt den Grund, warum der Vorfall geschlossen wurde. |
|
Grund für die Vorfallklassifizierung
|
classificationReason | string |
Der Klassifizierungsgrund, mit dem der Vorfall geschlossen wurde |
|
Vorfall erstellt Utc
|
createdTimeUtc | date-time |
Der Zeitpunkt, zu dem der Vorfall erstellt wurde |
|
Vorfallbeschreibung
|
description | string |
Die Beschreibung des Vorfalls |
|
Erste Aktivitätszeit des Vorfalls UTC
|
firstActivityTimeUtc | date-time |
Zeitpunkt der ersten Aktivität im Vorfall |
|
Vorfall-URL
|
incidentUrl | string |
Die Deep-Link-URL zum Vorfall im Azure-Portal |
|
Anbietervorfall-ID
|
providerIncidentId | string |
Die vom Vorfallanbieter zugewiesene Vorfall-ID |
|
Incident Sentinel-ID
|
incidentNumber | integer |
Eine sequenzielle Nummer, die zum Identifizieren des Vorfalls in Microsoft Sentinel verwendet wird. |
|
Zeitpunkt der letzten Aktivität von Vorfällen UTC
|
lastActivityTimeUtc | date-time |
Der Zeitpunkt der letzten Aktivität im Vorfall |
|
Schweregrad des Vorfalls
|
severity | string |
Der Schweregrad des Vorfalls |
|
Vorfallstatus
|
status | string |
Der Status des Vorfalls |
|
Vorfalltitel
|
title | string |
Der Titel des Vorfalls |
|
Vorfalltags
|
labels | array of IncidentLabel |
Liste der Tags, die diesem Vorfall zugeordnet sind |
|
Uhrzeit der letzten Änderung des Vorfalls UTC
|
lastModifiedTimeUtc | date-time |
Zeitpunkt der letzten Aktualisierung des Vorfalls |
|
Vorfallbesitzer
|
owner | IncidentOwnerInfo |
Informationen zum Benutzer, dem ein Vorfall zugewiesen ist |
|
Vorfallbezogene Analyseregel-IDs
|
relatedAnalyticRuleIds | array of string |
Liste der Ressourcen-IDs von Analyseregeln im Zusammenhang mit dem Vorfall |
|
Kommentare
|
Comments | array of IncidentComment |
Liste der Kommentare zu diesem Vorfall. |
FullIncidentProperties
Represents the Incident Properties JSON.
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
zusätzlicheDaten
|
additionalData | IncidentAdditionalData |
Zusätzlichen Dateneigenschaftenbehälter für Vorfälle. |
|
Vorfallklassifizierung
|
classification | string |
Der Grund, warum der Vorfall geschlossen wurde |
|
Kommentar zur Vorfallklassifizierung
|
classificationComment | string |
Beschreibt den Grund, warum der Vorfall geschlossen wurde. |
|
Grund für die Vorfallklassifizierung
|
classificationReason | string |
Der Klassifizierungsgrund, mit dem der Vorfall geschlossen wurde |
|
Vorfall erstellt Utc
|
createdTimeUtc | date-time |
Der Zeitpunkt, zu dem der Vorfall erstellt wurde |
|
Vorfallbeschreibung
|
description | string |
Die Beschreibung des Vorfalls |
|
Erste Aktivitätszeit des Vorfalls UTC
|
firstActivityTimeUtc | date-time |
Zeitpunkt der ersten Aktivität im Vorfall |
|
Vorfall-URL
|
incidentUrl | string |
Die Deep-Link-URL zum Vorfall im Azure-Portal |
|
Anbietervorfall-ID
|
providerIncidentId | string |
Die vom Vorfallanbieter zugewiesene Vorfall-ID |
|
Incident Sentinel-ID
|
incidentNumber | integer |
Eine sequenzielle Nummer, die zum Identifizieren des Vorfalls in Microsoft Sentinel verwendet wird. |
|
Zeitpunkt der letzten Aktivität von Vorfällen UTC
|
lastActivityTimeUtc | date-time |
Der Zeitpunkt der letzten Aktivität im Vorfall |
|
Schweregrad des Vorfalls
|
severity | string |
Der Schweregrad des Vorfalls |
|
Vorfallstatus
|
status | string |
Der Status des Vorfalls |
|
Vorfalltitel
|
title | string |
Der Titel des Vorfalls |
|
Vorfalltags
|
labels | array of IncidentLabel |
Liste der Tags, die diesem Vorfall zugeordnet sind |
|
Uhrzeit der letzten Änderung des Vorfalls UTC
|
lastModifiedTimeUtc | date-time |
Zeitpunkt der letzten Aktualisierung des Vorfalls |
|
Vorfallbesitzer
|
owner | IncidentOwnerInfo |
Informationen zum Benutzer, dem ein Vorfall zugewiesen ist |
|
Vorfallbezogene Analyseregel-IDs
|
relatedAnalyticRuleIds | array of string |
Liste der Ressourcen-IDs von Analyseregeln im Zusammenhang mit dem Vorfall |
|
Kommentare
|
Comments | array of IncidentComment |
Liste der Kommentare zu diesem Vorfall. |
|
Alarmsignale
|
Alerts | array of SecurityAlert |
Liste der Warnungen im Zusammenhang mit diesem Vorfall. |
|
Lesezeichen
|
Bookmarks | array of HuntingBookmark |
Liste der Lesezeichen im Zusammenhang mit diesem Vorfall. |
|
Entitäten
|
relatedEntities | string |
Liste der Entitäten im Zusammenhang mit dem Vorfall, kann Entitäten unterschiedlicher Typen enthalten. |
IncidentEventNotification
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
Aktualisierte Feldnamen
|
incidentUpdates.updatedFields | array of string |
Die Namen der Felder, die im Vorfall aktualisiert wurden |
|
Aktualisierungszeit
|
incidentUpdates.updatedTime | date-time |
Zeitpunkt des Vorfallaktualisierungsereignisses |
|
Quelle
|
incidentUpdates.updatedBy.source | string |
Der Akteur, der den Vorfall aktualisiert hat: Benutzer, externe Anwendung, Playbook, Automatisierungsregel, Microsoft 365 Defender oder Warnungsgruppierung |
|
Name
|
incidentUpdates.updatedBy.name | string |
Der Name des Benutzers, der Anwendung, der Automatisierungsregel oder des Playbook, das den Vorfall aktualisiert hat |
|
Vorfallwarnungen
|
incidentUpdates.alerts | array of SecurityAlert |
Liste der Warnungen, die diesem Vorfall hinzugefügt wurden. |
|
Vorfalltags
|
incidentUpdates.labels | array of IncidentLabel |
Liste der Tags, die diesem Vorfall hinzugefügt wurden |
|
Kommentare zu Vorfällen
|
incidentUpdates.comments | array of IncidentComment |
Liste der Kommentare, die diesem Vorfall hinzugefügt wurden. |
|
Vorfalltaktiken
|
incidentUpdates.tactics | array of AttackTactic |
Die Taktiken, die mit Vorfällen verbunden sind |
|
Abonnement-ID
|
workspaceInfo.SubscriptionId | string |
Die Abonnement-ID des Microsoft Sentinel-Arbeitsbereichs |
|
Ressourcengruppenname
|
workspaceInfo.ResourceGroupName | string |
Die Ressourcengruppe des Microsoft Sentinel-Arbeitsbereichs |
|
Arbeitsbereichname
|
workspaceInfo.WorkspaceName | string |
Der Name des Microsoft Sentinel-Arbeitsbereichs |
|
Arbeitsbereichs-ID
|
workspaceId | string |
Die Arbeitsbereichs-ID des Vorfalls. |
|
Objekt
|
object | FullIncident |
Abrufen eines Vorfalls anhand der ARM-ID |
CreatedByUserInfo
Represents UserInfo Properties JSON.
Represents UserInfo Properties JSON.
UpdatedByUserInfo
Represents UserInfo Properties JSON.
Represents UserInfo Properties JSON.
Alert
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
Produktname
|
ProductName | string |
Name des Produkts, das diese Warnung veröffentlicht hat |
|
Warnungstyp
|
AlertType | string |
Typname der Warnung |
|
Startzeit (UTC)
|
StartTimeUtc | date-time |
Startzeit der Warnung, als das erste beitragende Ereignis erkannt wurde |
|
Endzeit (UTC)
|
EndTimeUtc | date-time |
Endzeit der Warnung, wenn das letzte beitragende Ereignis erkannt wurde |
|
Generierte Zeit (UTC)
|
TimeGenerated | date-time |
Der Zeitpunkt, zu dem die Warnung generiert wurde |
|
Schweregrad
|
Severity | string |
Der Schweregrad der Warnung, wie sie vom Anbieter gemeldet wird |
|
Anbieterwarnungs-ID
|
ProviderAlertId | string |
Eindeutige ID für die vom Anbieter festgelegte spezifische Warnungsinstanz |
|
Systemwarnungs-ID
|
SystemAlertId | string |
Eindeutige ID für die bestimmte Warnungsinstanz |
|
Anzeigename der Warnung
|
AlertDisplayName | string |
Anzeigename der Warnung |
|
Description
|
Description | string |
Warnungsbeschreibung |
|
Entitäten
|
Entities | string |
Eine Liste der Entitäten im Zusammenhang mit der Warnung kann mehrere Entitätstypen enthalten. |
|
Erweiterte Eigenschaften
|
ExtendedProperties | string |
Eine Liste der Felder, die dem Benutzer angezeigt werden |
|
Arbeitsbereichs-ID
|
WorkspaceId | string |
Die ID des Arbeitsbereichs der Warnung |
|
Ressourcengruppe
|
WorkspaceResourceGroup | string |
Warnungsressourcengruppe der Warnung |
|
Abonnement-ID
|
WorkspaceSubscriptionId | string |
Die ID des Abonnements der Warnung |
|
Erweiterte Links
|
ExtendedLinks | array of object |
Eine Liste mit Links im Zusammenhang mit der Warnung kann mehrere Typen enthalten. |
IncidentComment
Stellt ein Vorfallkommentarelement dar.
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
ID
|
id | string |
Die vollständige qualifizierte ARM-ID des Kommentars. |
|
Name
|
name | string |
Der ARM-Name des Kommentars (GUID) |
|
Eigenschaften
|
properties | IncidentCommentProperties |
Represents Incident Comment Properties JSON. |
IncidentCommentProperties
IncidentTask
Stellt ein Vorfallaufgabenelement dar.
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
ID
|
id | string |
Die vollständige qualifizierte ARM-ID des Vorgangs. |
|
Name
|
name | string |
Der ARM-Name der Aufgabe |
|
Eigenschaften
|
properties | IncidentTaskProperties |
Stellt Vorfallaufgabeneigenschaften dar. |
IncidentTaskProperties
IncidentRelation
Stellt eine Vorfallbeziehung dar.
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
ID
|
id | string |
Die vollständige qualifizierte ARM-ID der Vorfallbeziehung. |
|
Name
|
name | string |
Der ARM-Name der Vorfallbeziehung |
|
Eigenschaften
|
properties | IncidentRelationProperties |
Stellt eine JSON-Eigenschaft für die Vorfallbeziehung dar. |
IncidentRelationProperties
Stellt eine JSON-Eigenschaft für die Vorfallbeziehung dar.
Stellt eine JSON-Eigenschaft für die Vorfallbeziehung dar.
Watchlist
Stellt eine Watchlist in Azure Security Insights dar.
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
Eigenschaften
|
properties | WatchlistProperties |
Beschreibt Watchlist-Eigenschaften |
WatchlistV2
Stellt eine Watchlist in Azure Security Insights dar.
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
Eigenschaften
|
properties | WatchlistPropertiesV2 |
Beschreibt Watchlist-Eigenschaften |
WatchlistProperties
Beschreibt Watchlist-Eigenschaften
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
watchlistId
|
watchlistId | string |
Die ID (eine GUID) der Watchlist |
|
Anzeigename
|
displayName | string |
Der Anzeigename der Watchlist |
|
provider
|
provider | string |
Der Anbieter der Watchlist |
|
source
|
source | string |
Die Quelle der Watchlist |
|
erstellt
|
created | date-time |
Der Zeitpunkt, zu dem die Watchlist erstellt wurde |
|
aktualisierte
|
updated | date-time |
Zeitpunkt der letzten Aktualisierung der Watchlist |
|
createdBy
|
createdBy | UserInfo |
Benutzerinformationen, die eine Aktion ausgeführt haben |
|
aktualisiertvon
|
updatedBy | UserInfo |
Benutzerinformationen, die eine Aktion ausgeführt haben |
|
Beschreibung
|
description | string |
Eine Beschreibung der Watchlist |
|
watchlistType
|
watchlistType | string |
Der Typ der Watchlist |
|
watchlistAlias
|
watchlistAlias | string |
Der Alias der Watchlist |
|
isDeleted
|
isDeleted | boolean |
Ein Flag, das angibt, ob die Watchlist gelöscht wird oder nicht. |
|
labels
|
labels | array of Label |
Liste der Bezeichnungen, die für diese Watchlist relevant sind |
|
defaultDuration
|
defaultDuration | duration |
Die Standarddauer einer Watchlist (im ISO 8601-Dauerformat) |
|
tenantId
|
tenantId | string |
Die tenantId, zu der die Watchlist gehört |
|
numberOfLinesToSkip
|
numberOfLinesToSkip | integer |
Die Anzahl der Zeilen in einem CSV/tsv-Inhalt, der vor dem Header übersprungen werden soll |
|
rawContent
|
rawContent | string |
Der unformatierte Inhalt, der überwachungslistenelemente darstellt, die erstellt werden sollen. Bei csv/tsv-Inhaltstyp handelt es sich um den Inhalt der Datei, die vom Endpunkt analysiert wird. |
|
itemsSearchKey
|
itemsSearchKey | string |
Der Suchschlüssel wird verwendet, um die Abfrageleistung zu optimieren, wenn Watchlists für Verknüpfungen mit anderen Daten verwendet werden. Aktivieren Sie z. B. eine Spalte mit IP-Adressen, um das angegebene Suchschlüsselfeld zu sein, und verwenden Sie dieses Feld dann als Schlüsselfeld, wenn sie mit anderen Ereignisdaten nach IP-Adresse verknüpfen. |
|
Inhaltstyp
|
contentType | string |
Der Inhaltstyp des rohen Inhalts. Beispiel: Text/CSV oder Text/tsv |
|
uploadStatus
|
uploadStatus | string |
Der Status des Watchlist-Uploads: Neu, InProgress oder Abgeschlossen. Pls Hinweis: Wenn ein Watchlist-Uploadstatus gleich "InProgress" ist, kann die Watchlist nicht gelöscht werden. |
|
watchlistItemsCount
|
watchlistItemsCount | integer |
Die Anzahl der Watchlist-Elemente in der Watchlist |
WatchlistPropertiesV2
Beschreibt Watchlist-Eigenschaften
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
watchlistId
|
watchlistId | string |
Die ID (eine GUID) der Watchlist |
|
Anzeigename
|
displayName | string |
Der Anzeigename der Watchlist |
|
provider
|
provider | string |
Der Anbieter der Watchlist |
|
source
|
source | string |
Der Dateiname der Watchlist mit dem Namen "source" |
|
sourceType
|
sourceType | string |
Der sourceType der Watchlist |
|
erstellt
|
created | date-time |
Der Zeitpunkt, zu dem die Watchlist erstellt wurde |
|
aktualisierte
|
updated | date-time |
Zeitpunkt der letzten Aktualisierung der Watchlist |
|
createdBy
|
createdBy | UserInfo |
Benutzerinformationen, die eine Aktion ausgeführt haben |
|
aktualisiertvon
|
updatedBy | UserInfo |
Benutzerinformationen, die eine Aktion ausgeführt haben |
|
Beschreibung
|
description | string |
Eine Beschreibung der Watchlist |
|
watchlistType
|
watchlistType | string |
Der Typ der Watchlist |
|
watchlistAlias
|
watchlistAlias | string |
Der Alias der Watchlist |
|
isDeleted
|
isDeleted | boolean |
Ein Flag, das angibt, ob die Watchlist gelöscht wird oder nicht. |
|
labels
|
labels | array of Label |
Liste der Bezeichnungen, die für diese Watchlist relevant sind |
|
defaultDuration
|
defaultDuration | duration |
Die Standarddauer einer Watchlist (im ISO 8601-Dauerformat) |
|
tenantId
|
tenantId | string |
Die tenantId, zu der die Watchlist gehört |
|
numberOfLinesToSkip
|
numberOfLinesToSkip | integer |
Die Anzahl der Zeilen in einem CSV/tsv-Inhalt, der vor dem Header übersprungen werden soll |
|
rawContent
|
rawContent | string |
Der unformatierte Inhalt, der überwachungslistenelemente darstellt, die erstellt werden sollen. Bei csv/tsv-Inhaltstyp handelt es sich um den Inhalt der Datei, die vom Endpunkt analysiert wird. |
|
itemsSearchKey
|
itemsSearchKey | string |
Der Suchschlüssel wird verwendet, um die Abfrageleistung zu optimieren, wenn Watchlists für Verknüpfungen mit anderen Daten verwendet werden. Aktivieren Sie z. B. eine Spalte mit IP-Adressen, um das angegebene Suchschlüsselfeld zu sein, und verwenden Sie dieses Feld dann als Schlüsselfeld, wenn sie mit anderen Ereignisdaten nach IP-Adresse verknüpfen. |
|
Inhaltstyp
|
contentType | string |
Der Inhaltstyp des rohen Inhalts. Beispiel: Text/CSV oder Text/tsv |
|
uploadStatus
|
uploadStatus | string |
Der Status des Watchlist-Uploads: Neu, InProgress oder Abgeschlossen. Pls Hinweis: Wenn ein Watchlist-Uploadstatus gleich "InProgress" ist, kann die Watchlist nicht gelöscht werden. |
WatchlistItemList
WatchlistItem
Stellt ein WatchlistItem in Azure Security Insights dar.
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
WatchlistItem Full ARM ID
|
id | string |
Die vollqualifizierte ID des Watchlist-Elements. |
|
Eindeutige WatchlistItem-ID
|
name | string |
Entspricht watchlistItem ID (GUID) |
|
WatchlistItem etag
|
etag | string |
Entspricht etag (GUID) |
|
WatchlistItem-Typ
|
type | string |
Entspricht dem WatchlistItem-Typ |
|
value
|
value | object |
Details zur Watchlist-Elemententität. |
Lesezeichen
Stellt eine Textmarke in Azure Security Insights dar.
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
Eigenschaften
|
properties | BookmarkProperties |
Beschreibt Textmarkeneigenschaften |
BookmarkList
Listet alle Lesezeichen auf.
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
nextLink
|
nextLink | string |
URL zum Abrufen der nächsten Gruppe von Fällen. |
|
value
|
value | array of Bookmark |
Array von Textmarken. |
BookmarkProperties
Beschreibt Textmarkeneigenschaften
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
erstellt
|
created | date-time |
Der Zeitpunkt, zu dem die Textmarke erstellt wurde |
|
createdBy
|
createdBy | UserInfo |
Benutzerinformationen, die eine Aktion ausgeführt haben |
|
Anzeigename
|
displayName | string |
Der Anzeigename des Lesezeichens |
|
labels
|
labels | array of Label |
Liste der Bezeichnungen, die für diese Textmarke relevant sind |
|
Notizen
|
notes | string |
Die Notizen der Textmarke |
|
Anfrage
|
query | string |
Die Abfrage der Textmarke. |
|
queryResult
|
queryResult | string |
Das Abfrageergebnis der Textmarke. |
|
aktualisierte
|
updated | date-time |
Zeitpunkt der letzten Aktualisierung der Textmarke |
|
aktualisiertvon
|
updatedBy | UserInfo |
Benutzerinformationen, die eine Aktion ausgeführt haben |
|
Ereigniszeit
|
eventTime | date-time |
Die Uhrzeit des Lesezeichenereignisses |
|
queryStartTime
|
queryStartTime | date-time |
Die Startzeit für die Abfrage |
|
queryEndTime
|
queryEndTime | date-time |
Die Endzeit für die Abfrage |
|
incidentInfo
|
incidentInfo | Incident |
Stellt einen Vorfall in Azure Security Insights dar. |
UserInfo
Benutzerinformationen, die eine Aktion ausgeführt haben
| Name | Pfad | Typ | Beschreibung |
|---|---|---|---|
|
E-Mail
|
string |
Die E-Mail des Benutzers. |
|
|
name
|
name | string |
Der Name des Benutzers. |
|
objectId
|
objectId | uuid |
Die Objekt-ID des Benutzers. |
Etikett
Bezeichnung, die zum Markieren und Filtern verwendet wird.
Bezeichnung, die zum Markieren und Filtern verwendet wird.
Schnur
Dies ist der grundlegende Datentyp "string".