Alerta de Microsoft Defender for Cloud

Vínculo directo para ver la alerta con todos sus detalles en Microsoft Defender for Cloud en Azure Portal.

El nombre para mostrar de la alerta, este valor se muestra a los usuarios as-is o con parámetros adicionales. (para obtener ejemplos sobre el formato de los marcadores de posición, consulte la sección Notas). Se recomienda no colocar los titulares en el campo AlertDisplayName y tener el mismo valor para todas las alertas que comparten el mismo valor AlertType, ya que las alertas se pueden agregar según el campo AlertType y se muestran a los usuarios finales como tal.

Nombre del tipo de alerta. Las alertas del mismo tipo deben tener el mismo nombre. Este campo es una cadena con clave que representa la categoría o el tipo de la alerta y no de una instancia de alerta. Todas las instancias de alerta de la misma lógica o análisis de detección deben compartir el mismo valor para el tipo de alerta.

Nombre mostrado de la entidad principal sobre la que se informa. Este campo se presenta al usuario AS-IS y no es necesario que se ajuste a ningún formato. Podría contener equipos, direcciones IP, máquinas virtuales o cualquier cosa que el proveedor de alertas decida presentar.

Descripción de las alertas, puede tener marcadores de posición de parámetros (para obtener ejemplos de formato de marcadores de posición, vea la sección Notas)

La hora de finalización del impacto de la alerta (la hora del último evento que contribuye a la alerta).

Campo opcional que especifica la intención relacionada con la cadena de eliminación detrás de la alerta. Para obtener una lista de valores admitidos, se encuentra en la sección Kill Chain Intent enumeration (Enumeración Kill Chain Intent). Se pueden seleccionar varios valores en este campo. El formato JSON de este campo debe serializar los valores de enumeración como cadenas. Varios valores deben estar separados por comas, por ejemplo, sondeo, explotación.

Nombre del producto que publicó esta alerta, es decir, ASC, WDATP, MCAS.

Gravedad de la alerta tal como lo notifica el proveedor. Valores posibles: Informativo (a.k.a silent), Low, Medium, High

La hora de inicio del impacto de la alerta (la hora del primer evento que contribuye a la alerta).

Contiene el identificador de producto de la alerta del producto. Este es el identificador de alerta que normalmente también está disponible externamente para consultar las alertas por parte de los clientes o sistemas externos. El publicador de alertas que son internos de un producto debe usar el campo ProviderAlertId para notificar cualquier identificador que se use en un ámbito de un único producto.

Hora en que se generó la alerta. Esta vez debe contener la hora que generó el proveedor de alertas, si falta el sistema le asignará la hora a la que se recibió para su procesamiento.

El nombre del proveedor que genera la alerta, este valor se muestra a los usuarios tal como está, es decir, Microsoft o Deep Security Agent o Microsoft Antimalware, etc.

Lista de entidades relacionadas con la alerta. Esta lista puede contener una mezcla de entidades de diversos tipos. El tipo de entidades puede ser cualquiera de los tipos definidos en la sección Entitiessection. Las entidades que no están en la lista siguiente también se pueden enviar, pero no garantizamos que se procesen (sin embargo, la alerta no producirá un error de validación). No se puede establecer en NULL (se establecerá en enumerable vacío en su lugar).

Contenedor para todos los vínculos relacionados con la alerta. Esta bolsa puede contener una mezcla de vínculos para diversos tipos. Los vínculos que no están en la lista siguiente también se pueden enviar, pero no garantizamos que se procesen (sin embargo, la alerta no producirá un error de validación). No se puede establecer en null (se establecerá en enumerable vacío en su lugar)

Elementos de acción manuales que se van a realizar para corregir la alerta. Es posible que tenga marcadores de posición de parámetros. (para obtener ejemplos sobre el formato de los marcadores de posición, consulte la sección Notas).

Identificadores de recursos de esta alerta que se pueden usar para dirigir la alerta al grupo de exposición de productos adecuado (área de trabajo, suscripción, etc.). Puede haber varios identificadores de tipo diferente por alerta. Consulte Identificadores de recursos para obtener más información.