Sécurité Microsoft Graph (déconseillée) [DÉCONSEILLÉE]
Le connecteur Microsoft Graph Security permet de connecter différents produits et services de sécurité microsoft et partenaires, à l’aide d’un schéma unifié, pour simplifier les opérations de sécurité et améliorer la protection contre les menaces, la détection et les fonctionnalités de réponse. En savoir plus sur l’intégration à l’API de sécurité Microsoft Graph à l’adresse https://aka.ms/graphsecuritydocs (déconseillée)
Ce connecteur est disponible dans les produits et régions suivants :
| Service | classe | Régions |
|---|---|---|
| Copilot Studio | Premium | Toutes les régions Power Automate , à l’exception des éléments suivants : - Us Government (GCC) - Us Government (GCC High) - China Cloud géré par 21Vianet - Us Department of Defense (DoD) |
| Applications logiques | Norme | Toutes les régions Logic Apps , à l’exception des suivantes : - Régions Azure Government - Régions Azure Chine - Us Department of Defense (DoD) |
| Power Apps | Premium | Toutes les régions Power Apps , à l’exception des suivantes : - Us Government (GCC) - Us Government (GCC High) - China Cloud géré par 21Vianet - Us Department of Defense (DoD) |
| Power Automate | Premium | Toutes les régions Power Automate , à l’exception des éléments suivants : - Us Government (GCC) - Us Government (GCC High) - China Cloud géré par 21Vianet - Us Department of Defense (DoD) |
| Contact | |
|---|---|
| Nom | Microsoft |
| URL |
Microsoft LogicApps Support Prise en charge de Microsoft Power Automate Prise en charge de Microsoft Power Apps |
| Messagerie électronique | sipsisgdev@microsoft.com |
| Métadonnées du connecteur | |
|---|---|
| Éditeur | Microsoft |
| Site internet | https://www.microsoft.com/security/business/graph-security-api |
Conditions préalables à la connexion au connecteur Microsoft Graph Security
En savoir plus sur l’API sécurité Microsoft Graph.
Pour utiliser l’action du connecteur Microsoft Graph Security , commencez par un déclencheur, tel que le déclencheur Périodicité.
Pour utiliser le connecteur Microsoft Graph Security, le consentement de l’administrateur du locataire Microsoft Entra ID doit être fourni dans le cadre des exigences d’authentification de sécurité Microsoft Graph.
L’ID et le nom de l’application du connecteur Microsoft Graph Security (pour Microsoft Entra ID in https://portal.azure.com) sont les suivants pour le consentement de l’administrateur microsoft Entra ID :
- Nom de l’application - MicrosoftGraphSecurityConnector
- ID d’application - c4829704-0edc-4c3d-a347-7c4a67586f3c
- L’administrateur client peut suivre les étapes décrites dans l’octroi du consentement de l’administrateur client pour les applications Microsoft Entra ID à l’application mentionnée ci-dessus ou accorder des autorisations lors de l’exécution initiale d’un flux de travail à l’aide du connecteur Microsoft Graph Security conformément à l’expérience de consentement de l’application.
Vous êtes maintenant prêt à utiliser le connecteur Microsoft Graph Security !
Connecteur en profondeur
Pour plus d’informations sur le connecteur, consultez la section détaillée.
Création d’une connexion
Le connecteur prend en charge les types d’authentification suivants :
| Par défaut | Paramètres de création de connexion. | Toutes les régions | Non partageable |
Faire défaut
Applicable : Toutes les régions
Paramètres de création de connexion.
Cette connexion n’est pas partageable. Si l’application power est partagée avec un autre utilisateur, un autre utilisateur est invité à créer une connexion explicitement.
Limitations
| Nom | Appels | Période de renouvellement |
|---|---|---|
| Appels d’API par connexion | 100 | 60 secondes |
Actions
| Alerte de mise à jour (déconseillée) [DÉCONSEILLÉE] |
Mettez à jour les propriétés spécifiques d’une alerte de sécurité (déconseillée). |
| Créer des abonnements (déconseillé) [DÉPRÉCIÉ] |
Créer des abonnements webhook Microsoft Graph (déconseillés). |
|
Créer ti |
Créez un indicateur de renseignement sur les menaces en publiant dans la collection tiIndicators (déconseillé). |
|
Envoyer plusieurs ti |
Créez de nouveaux indicateurs de renseignement sur les menaces en publiant une collection tiIndicators. Les champs obligatoires pour chaque tiIndicator sont : action, azureTenantId, description, expirationDateTime, targetProduct, threatType, tlpLevel (déconseillé). |
|
Get ti |
Obtenez la liste des indicateurs de renseignement sur les menaces pour ce locataire Microsoft Entra ID. Utiliser avec différents paramètres de requête (déconseillés). |
| Mettre à jour l’abonnement (déconseillé) [DÉCONSEILLÉ] |
Renouvelez un abonnement webhook Microsoft Graph en mettant à jour son heure d’expiration (déconseillée). |
|
Mettre à jour plusieurs ti |
Mettez à jour des propriétés spécifiques de plusieurs indicateurs de renseignement sur les menaces. Les champs obligatoires pour chaque tiIndicator sont : ID, expirationDateTime et targetProduct (déconseillé). |
|
Mettre à jour ti |
Mettez à jour les propriétés spécifiques d’un indicateur de renseignement sur les menaces. Les champs obligatoires pour le tiIndicator sont : ID, expirationDateTime et targetProduct (déconseillé). |
| Obtenir des abonnements actifs (déconseillés) [DÉPRÉCIÉ] |
Obtenez la liste des abonnements non expirés pour ce locataire Microsoft Entra ID (déconseillé). |
| Obtenir des alertes (déconseillées) [DÉCONSEILLÉE] |
Obtenez la liste des alertes de sécurité pour ce locataire Microsoft Entra ID. Utiliser avec différents paramètres de requête (déconseillés). |
|
Obtenir ti |
Obtenez un indicateur de renseignement sur les menaces correspondant à l’ID spécifié (déconseillé). |
| Obtenir une alerte par ID (déconseillé) [DÉPRÉCIÉ] |
Obtenez une alerte de sécurité correspondant à l’ID spécifié (déconseillé). |
| Supprimer des abonnements (déconseillés) [DÉCONSEILLÉ] |
Supprimez l’abonnement Microsoft Graph Webhook spécifique (déconseillé). |
|
Supprimer plusieurs ti |
Supprimez plusieurs indicateurs de renseignement sur les menaces correspondant aux ID externes spécifiés (déconseillés). |
|
Supprimer plusieurs ti |
Supprimez plusieurs indicateurs de renseignement sur les menaces correspondant aux ID spécifiés (déconseillés). |
|
Supprimer ti |
Supprimez un indicateur de renseignement sur les menaces correspondant à l’ID spécifié (déconseillé). |
Alerte de mise à jour (déconseillée) [DÉCONSEILLÉE]
Mettez à jour les propriétés spécifiques d’une alerte de sécurité (déconseillée).
Paramètres
| Nom | Clé | Obligatoire | Type | Description |
|---|---|---|---|---|
|
ID de l’alerte
|
alert-id | True | string |
Spécifiez l’ID d’alerte. |
|
Affectée à
|
assignedTo | string |
Spécifiez le nom de l’analyste auquel l’alerte est affectée pour le triage, l’investigation ou la correction. |
|
|
Date de fermetureTime
|
closedDateTime | string |
Spécifiez l’heure à laquelle l’alerte a été fermée. Le type d’horodatage représente les informations de date et d’heure au moyen du format ISO 8601. Il est toujours au format d’heure UTC. |
|
|
comments
|
comments | array of string |
Commentaires |
|
|
Étiquettes
|
tags | array of string |
Spécifiez les étiquettes définissables par l’utilisateur qui peuvent être appliquées à une alerte et peuvent servir de conditions de filtre (par exemple, « HVA », « SAW », etc.). |
|
|
Feedback
|
feedback | string |
Spécifiez les commentaires des analystes sur l’alerte. |
|
|
Statut
|
status | string |
Spécifiez l’état pour suivre l’état du cycle de vie des alertes (étape). |
|
|
Nom du fournisseur
|
provider | True | string |
Fournisseur spécifique (produit/service - pas entreprise de fournisseur) ; par exemple, WindowsDefenderATP. |
|
Version du fournisseur
|
providerVersion | string |
Spécifiez la version du fournisseur ou du sous-fournisseur, le cas échéant, qui a généré l’alerte. |
|
|
Nom du sous-fournisseur
|
subProvider | string |
Sous-fournisseur spécifique (sous fournisseur d’agrégation) ; par exemple, WindowsDefenderATP.SmartScreen. |
|
|
Nom de fournisseur
|
vendor | True | string |
Spécifiez le nom du fournisseur d’alerte (par exemple, Microsoft, Dell, FireEye). |
Créer des abonnements (déconseillé) [DÉPRÉCIÉ]
Créer des abonnements webhook Microsoft Graph (déconseillés).
Paramètres
| Nom | Clé | Obligatoire | Type | Description |
|---|---|---|---|---|
|
URL de ressource
|
resource | True | string |
Spécifiez la ressource qui sera surveillée pour les modifications. N’incluez pas l’URL de base ( |
|
Type de modification
|
changeType | True | string |
Spécifiez le type de propriété qui doit déclencher une notification lorsqu’elle a été modifiée sur la ressource abonnée. |
|
État du client
|
clientState | string |
Spécifiez l’état du client pour confirmer la source d’origine de notification. |
|
|
Notification URL
|
notificationUrl | True | string |
Spécifiez une URL bien formée du point de terminaison qui recevra des notifications. |
|
Date d’expiration
|
expirationDateTime | True | date-time |
Spécifiez l’heure à laquelle l’abonnement webhook expire ; doit être une heure de date supérieure à l’heure actuelle et dans les 30 jours. |
Retours
Entité d’abonnement unique retournée
- Subscription
- Subscription
Créer tiIndicator (déconseillé) [DÉPRÉCIÉ]
Créez un indicateur de renseignement sur les menaces en publiant dans la collection tiIndicators (déconseillé).
Paramètres
| Nom | Clé | Obligatoire | Type | Description |
|---|---|---|---|---|
|
Action
|
action | True | string |
Action à appliquer si l’indicateur est mis en correspondance à partir de l’outil de sécurité targetProduct. Valeurs : (inconnu, autoriser, bloquer, alerter). |
|
Noms des groupes d’activités
|
activityGroupNames | array of string |
Nom(s) du ou des renseignements sur les cybermenaces pour les parties responsables de l’activité malveillante couverte par l’indicateur de menace. |
|
|
Informations supplémentaires
|
additionalInformation | string |
Des données supplémentaires de l’indicateur non couvertes par les autres propriétés tiIndicator peuvent être placées |
|
|
ID de locataire Azure
|
azureTenantId | string |
ID de locataire Microsoft Entra ID de l’envoi du client. |
|
|
Confiance
|
confidence | integer |
Confiance de la logique de détection (pourcentage compris entre 0 et 100). |
|
|
Descriptif
|
description | True | string |
Description de TiIndicator (100 charactes ou moins). |
|
Modèle diamant
|
diamondModel | string |
Zone du modèle de diamant dans laquelle cet indicateur existe. Valeurs : (inconnu, adversaire, capacité, infrastructure, victime). |
|
|
Date d’expiration
|
expirationDateTime | True | date-time |
Heure à laquelle l’indicateur expire (UTC). |
|
External ID
|
externalId | string |
Numéro d’identification qui lie l’indicateur au système du fournisseur d’indicateurs (par exemple, une clé étrangère). |
|
|
Heure de date ingérée
|
ingestedDateTime | date-time |
Heure à laquelle l’indicateur est ingéré (UTC). |
|
|
Est actif
|
isActive | boolean |
Par défaut, tout indicateur envoyé est défini comme actif. Toutefois, les fournisseurs peuvent soumettre des indicateurs existants avec ce paramètre défini sur « False » pour désactiver les indicateurs dans le système. |
|
|
Chaîne de destruction
|
killChain | array of string |
chaînes qui décrivent le point ou les points sur la chaîne de destruction cible cet indicateur. Valeurs : (Actions, C2, Livraison, Exploitation, Installation, Reconnaissance, Arme). |
|
|
Faux positifs connus
|
knownFalsePositives | string |
Scénarios dans lesquels l’indicateur peut provoquer des faux positifs. |
|
|
Date de la dernière date signalée
|
lastReportedDateTime | date-time |
La dernière fois que l’indicateur a été vu (UTC). |
|
|
Noms de famille de programmes malveillants
|
malwareFamilyNames | array of string |
Nom de famille de programmes malveillants associé à un indicateur s’il existe. |
|
|
Passif uniquement
|
passiveOnly | boolean |
Détermine si l’indicateur doit déclencher un événement visible par un utilisateur final. |
|
|
Niveau de gravité
|
severity | integer |
Gravité du comportement malveillant identifié par les données dans l’indicateur. Les valeurs sont comprises entre 0 et 5 et 5 étant les plus graves. La valeur par défaut est 3. |
|
|
Étiquettes
|
tags | array of string | ||
|
Produit cible
|
targetProduct | True | string |
Produit de sécurité unique auquel l’indicateur doit être appliqué. Les valeurs acceptables sont : Azure Sentinel, Microsoft Defender ATP. |
|
Type de menace
|
threatType | string |
Chaque indicateur doit avoir un type de menace d’indicateur valide. Les valeurs possibles sont : Botnet, C2, CryptoMining, Darknet, DDoS, MaliciousUrl, Malware, Hameçonnage, Proxy, PUA, WatchList. |
|
|
Niveau Tlp
|
tlpLevel | string |
Valeur traffic Light Protocol pour l’indicateur. Les valeurs possibles sont : inconnu, blanc, vert, ambre, rouge. |
|
|
Encodage de courrier électronique
|
emailEncoding | string |
Type d’encodage de texte utilisé dans l’e-mail. |
|
|
Langue de l’e-mail
|
emailLanguage | string |
Langue de l’e-mail. |
|
|
Destinataire de l’e-mail
|
emailRecipient | string |
Adresse de courrier du destinataire. |
|
|
Adresse de l’expéditeur de l’e-mail
|
emailSenderAddress | string |
Adresse e-mail de l’attaquant|victime. |
|
|
Nom de l’expéditeur de l’e-mail
|
emailSenderName | string |
Nom affiché de l’attaquant|victime. |
|
|
Domaine source de l’e-mail
|
emailSourceDomain | string |
Domaine utilisé dans l’e-mail. |
|
|
Adresse IP source de l’e-mail
|
emailSourceIpAddress | string |
Adresse IP source de l’e-mail. |
|
|
Sujet de l’e-mail
|
emailSubject | string |
Ligne d’objet du courrier électronique. |
|
|
E-mail XMailer
|
emailXMailer | string |
Valeur X-Mailer utilisée dans l’e-mail. |
|
|
Date de compilation du fichier
|
fileCompileDateTime | date-time |
DateTime quand le fichier a été compilé. |
|
|
Date de création du fichier
|
fileCreatedDateTime | date-time |
DateTime lors de la création du fichier. |
|
|
Type de hachage de fichier
|
fileHashType | string |
Type de hachage stocké dans fileHashValue. Les valeurs possibles sont : unknown, sha1, sha256, md5, authenticodeHash256, lsHash, ctph. |
|
|
Valeur de hachage de fichier
|
fileHashValue | string |
Valeur de hachage de fichier. |
|
|
Nom du mutex de fichier
|
fileMutexName | string |
Nom mutex utilisé dans les détections basées sur des fichiers. |
|
|
Nom de fichier
|
fileName | string |
Nom du fichier si l’indicateur est basé sur un fichier. |
|
|
Packer de fichiers
|
filePacker | string |
Packer utilisé pour générer le fichier en question. |
|
|
Chemins d'accès au fichier
|
filePath | string |
Chemin d’accès du fichier indiquant la compromission. Il peut s’agir d’un chemin de style Windows ou *nix. |
|
|
Taille du fichier
|
fileSize | integer |
Taille du fichier en octets. |
|
|
Type de fichier
|
fileType | string |
Description textuelle du type de fichier. Par exemple, « Document Word » ou « Binaire ». |
|
|
Nom de domaine
|
domainName | string |
Nom de domaine associé à cet indicateur. |
|
|
Bloc cidr réseau
|
networkCidrBlock | string |
Représentation de notation de bloc CIDR du réseau référencé dans cet indicateur. |
|
|
Asn de destination réseau
|
networkDestinationAsn | integer |
Identificateur de système autonome de destination du réseau référencé dans l’indicateur. |
|
|
Bloc cidr de destination réseau
|
networkDestinationCidrBlock | string |
Représentation ciDR Block notation du réseau de destination dans cet indicateur. |
|
|
IPv4 de destination réseau
|
networkDestinationIPv4 | string |
Destination de l’adresse IP IPv4. |
|
|
IPv6 de destination réseau
|
networkDestinationIPv6 | string |
Destination d’adresse IP IPv6. |
|
|
Port de destination réseau
|
networkDestinationPort | integer |
Destination du port TCP. |
|
|
IPv4 réseau
|
networkIPv4 | string |
Adresse IP IPv4. |
|
|
IPv6 réseau
|
networkIPv6 | string |
Adresse IP IPv6. |
|
|
Port réseau
|
networkPort | integer |
Port TCP. |
|
|
Protocole réseau
|
networkProtocol | integer |
Représentation décimale du champ de protocole dans l’en-tête IPv4. |
|
|
Asn source réseau
|
networkSourceAsn | integer |
Identificateur de système autonome source du réseau référencé dans l’indicateur. |
|
|
Bloc cidr source réseau
|
networkSourceCidrBlock | string |
Représentation de notation de bloc CIDR du réseau source dans cet indicateur. |
|
|
IPv4 source réseau
|
networkSourceIPv4 | string |
Source d’adresse IP IPv4. |
|
|
IPv6 de destination réseau
|
networkSourceIPv6 | string |
Source d’adresse IP IPv6. |
|
|
Port source réseau
|
networkSourcePort | integer |
Source du port TCP. |
|
|
URL
|
url | string |
Localisateur de ressources uniforme. |
|
|
Agent utilisateur
|
userAgent | string |
User-Agent chaîne d’une requête web qui pourrait indiquer une compromission. |
Retours
Une seule entité TiIndicator retournée
- TiIndicator
- TiIndicator
Envoyer plusieurs tiIndicators (déconseillés) [DÉPRÉCIÉ]
Créez de nouveaux indicateurs de renseignement sur les menaces en publiant une collection tiIndicators. Les champs obligatoires pour chaque tiIndicator sont : action, azureTenantId, description, expirationDateTime, targetProduct, threatType, tlpLevel (déconseillé).
Paramètres
| Nom | Clé | Obligatoire | Type | Description |
|---|---|---|---|---|
|
Action
|
action | True | string |
Action à appliquer si l’indicateur est mis en correspondance à partir de l’outil de sécurité targetProduct. Valeurs : (inconnu, autoriser, bloquer, alerter). |
|
Noms des groupes d’activités
|
activityGroupNames | array of string |
Nom(s) du ou des renseignements sur les cybermenaces pour les parties responsables de l’activité malveillante couverte par l’indicateur de menace. |
|
|
Informations supplémentaires
|
additionalInformation | string |
Des données supplémentaires de l’indicateur non couvertes par les autres propriétés tiIndicator peuvent être placées |
|
|
ID de locataire Azure
|
azureTenantId | string |
ID de locataire Microsoft Entra ID de l’envoi du client. |
|
|
Confiance
|
confidence | integer |
Confiance de la logique de détection (pourcentage compris entre 0 et 100). |
|
|
Descriptif
|
description | True | string |
Description de TiIndicator (100 charactes ou moins). |
|
Modèle diamant
|
diamondModel | string |
Zone du modèle de diamant dans laquelle cet indicateur existe. Valeurs : (inconnu, adversaire, capacité, infrastructure, victime). |
|
|
Date d’expiration
|
expirationDateTime | True | date-time |
Heure à laquelle l’indicateur expire (UTC). |
|
External ID
|
externalId | string |
Numéro d’identification qui lie l’indicateur au système du fournisseur d’indicateurs (par exemple, une clé étrangère). |
|
|
Heure de date ingérée
|
ingestedDateTime | date-time |
Heure à laquelle l’indicateur est ingéré (UTC). |
|
|
Est actif
|
isActive | boolean |
Par défaut, tout indicateur envoyé est défini comme actif. Toutefois, les fournisseurs peuvent soumettre des indicateurs existants avec ce paramètre défini sur « False » pour désactiver les indicateurs dans le système. |
|
|
Chaîne de destruction
|
killChain | array of string |
chaînes qui décrivent le point ou les points sur la chaîne de destruction cible cet indicateur. Valeurs : (Actions, C2, Livraison, Exploitation, Installation, Reconnaissance, Arme). |
|
|
Faux positifs connus
|
knownFalsePositives | string |
Scénarios dans lesquels l’indicateur peut provoquer des faux positifs. |
|
|
Date de la dernière date signalée
|
lastReportedDateTime | date-time |
La dernière fois que l’indicateur a été vu (UTC). |
|
|
Noms de famille de programmes malveillants
|
malwareFamilyNames | array of string |
Nom de famille de programmes malveillants associé à un indicateur s’il existe. |
|
|
Passif uniquement
|
passiveOnly | boolean |
Détermine si l’indicateur doit déclencher un événement visible par un utilisateur final. |
|
|
Niveau de gravité
|
severity | integer |
Gravité du comportement malveillant identifié par les données dans l’indicateur. Les valeurs sont comprises entre 0 et 5 et 5 étant les plus graves. La valeur par défaut est 3. |
|
|
Étiquettes
|
tags | array of string | ||
|
Produit cible
|
targetProduct | True | string |
Produit de sécurité unique auquel l’indicateur doit être appliqué. Les valeurs acceptables sont : Azure Sentinel, Microsoft Defender ATP. |
|
Type de menace
|
threatType | string |
Chaque indicateur doit avoir un type de menace d’indicateur valide. Les valeurs possibles sont : Botnet, C2, CryptoMining, Darknet, DDoS, MaliciousUrl, Malware, Hameçonnage, Proxy, PUA, WatchList. |
|
|
Niveau Tlp
|
tlpLevel | string |
Valeur traffic Light Protocol pour l’indicateur. Les valeurs possibles sont : inconnu, blanc, vert, ambre, rouge. |
|
|
Encodage de courrier électronique
|
emailEncoding | string |
Type d’encodage de texte utilisé dans l’e-mail. |
|
|
Langue de l’e-mail
|
emailLanguage | string |
Langue de l’e-mail. |
|
|
Destinataire de l’e-mail
|
emailRecipient | string |
Adresse de courrier du destinataire. |
|
|
Adresse de l’expéditeur de l’e-mail
|
emailSenderAddress | string |
Adresse e-mail de l’attaquant|victime. |
|
|
Nom de l’expéditeur de l’e-mail
|
emailSenderName | string |
Nom affiché de l’attaquant|victime. |
|
|
Domaine source de l’e-mail
|
emailSourceDomain | string |
Domaine utilisé dans l’e-mail. |
|
|
Adresse IP source de l’e-mail
|
emailSourceIpAddress | string |
Adresse IP source de l’e-mail. |
|
|
Sujet de l’e-mail
|
emailSubject | string |
Ligne d’objet du courrier électronique. |
|
|
E-mail XMailer
|
emailXMailer | string |
Valeur X-Mailer utilisée dans l’e-mail. |
|
|
Date de compilation du fichier
|
fileCompileDateTime | date-time |
DateTime quand le fichier a été compilé. |
|
|
Date de création du fichier
|
fileCreatedDateTime | date-time |
DateTime lors de la création du fichier. |
|
|
Type de hachage de fichier
|
fileHashType | string |
Type de hachage stocké dans fileHashValue. Les valeurs possibles sont : unknown, sha1, sha256, md5, authenticodeHash256, lsHash, ctph. |
|
|
Valeur de hachage de fichier
|
fileHashValue | string |
Valeur de hachage de fichier. |
|
|
Nom du mutex de fichier
|
fileMutexName | string |
Nom mutex utilisé dans les détections basées sur des fichiers. |
|
|
Nom de fichier
|
fileName | string |
Nom du fichier si l’indicateur est basé sur un fichier. |
|
|
Packer de fichiers
|
filePacker | string |
Packer utilisé pour générer le fichier en question. |
|
|
Chemins d'accès au fichier
|
filePath | string |
Chemin d’accès du fichier indiquant la compromission. Il peut s’agir d’un chemin de style Windows ou *nix. |
|
|
Taille du fichier
|
fileSize | integer |
Taille du fichier en octets. |
|
|
Type de fichier
|
fileType | string |
Description textuelle du type de fichier. Par exemple, « Document Word » ou « Binaire ». |
|
|
Nom de domaine
|
domainName | string |
Nom de domaine associé à cet indicateur. |
|
|
Bloc cidr réseau
|
networkCidrBlock | string |
Représentation de notation de bloc CIDR du réseau référencé dans cet indicateur. |
|
|
Asn de destination réseau
|
networkDestinationAsn | integer |
Identificateur de système autonome de destination du réseau référencé dans l’indicateur. |
|
|
Bloc cidr de destination réseau
|
networkDestinationCidrBlock | string |
Représentation ciDR Block notation du réseau de destination dans cet indicateur. |
|
|
IPv4 de destination réseau
|
networkDestinationIPv4 | string |
Destination de l’adresse IP IPv4. |
|
|
IPv6 de destination réseau
|
networkDestinationIPv6 | string |
Destination d’adresse IP IPv6. |
|
|
Port de destination réseau
|
networkDestinationPort | integer |
Destination du port TCP. |
|
|
IPv4 réseau
|
networkIPv4 | string |
Adresse IP IPv4. |
|
|
IPv6 réseau
|
networkIPv6 | string |
Adresse IP IPv6. |
|
|
Port réseau
|
networkPort | integer |
Port TCP. |
|
|
Protocole réseau
|
networkProtocol | integer |
Représentation décimale du champ de protocole dans l’en-tête IPv4. |
|
|
Asn source réseau
|
networkSourceAsn | integer |
Identificateur de système autonome source du réseau référencé dans l’indicateur. |
|
|
Bloc cidr source réseau
|
networkSourceCidrBlock | string |
Représentation de notation de bloc CIDR du réseau source dans cet indicateur. |
|
|
IPv4 source réseau
|
networkSourceIPv4 | string |
Source d’adresse IP IPv4. |
|
|
IPv6 de destination réseau
|
networkSourceIPv6 | string |
Source d’adresse IP IPv6. |
|
|
Port source réseau
|
networkSourcePort | integer |
Source du port TCP. |
|
|
URL
|
url | string |
Localisateur de ressources uniforme. |
|
|
Agent utilisateur
|
userAgent | string |
User-Agent chaîne d’une requête web qui pourrait indiquer une compromission. |
Retours
| Nom | Chemin d’accès | Type | Description |
|---|---|---|---|
|
TiIndicators
|
value | array of TiIndicator |
Les TiIndicators soumis |
Get tiIndicators (déconseillé) [DÉPRÉCIÉ]
Obtenez la liste des indicateurs de renseignement sur les menaces pour ce locataire Microsoft Entra ID. Utiliser avec différents paramètres de requête (déconseillés).
Paramètres
| Nom | Clé | Obligatoire | Type | Description |
|---|---|---|---|---|
|
Filtrer les tiIndicators
|
$filter | string |
Spécifier une condition de filtrage pour les indicateurs de renseignement sur les menaces comme threatType eq 'WatchList' |
|
|
Top tiIndicators
|
$top | integer |
Spécifier le dernier nombre d’indicateurs de renseignement sur les menaces à récupérer |
|
|
Sélectionner les propriétés tiIndicator
|
$select | string |
Spécifiez les propriétés de l’indicateur de renseignement sur les menaces à inclure dans les résultats. |
|
|
Inclure le nombre de tiIndicators retournés
|
$count | string |
Spécifier pour inclure le nombre d’indicateurs de renseignement sur les menaces retournés dans la réponse |
|
|
Ignore les résultats « n »
|
$skip | integer |
Spécifiez le nombre de résultats à ignorer. Utile pour la pagination. |
|
|
Ordre de tri
|
$orderby | string |
Spécifiez l’ordre de tri pour les résultats. |
Retours
| Nom | Chemin d’accès | Type | Description |
|---|---|---|---|
|
Nombre de TiIndicator
|
@odata.count | integer |
Nombre de TiIndicator retournés |
|
TiIndicators
|
value | array of TiIndicator |
Le TiIndicator retourné |
|
Lien suivant
|
@odata.nextLink | string |
Lien pour obtenir les résultats suivants dans le cas où il y a plus de résultats que demandés |
Mettre à jour l’abonnement (déconseillé) [DÉCONSEILLÉ]
Renouvelez un abonnement webhook Microsoft Graph en mettant à jour son heure d’expiration (déconseillée).
Paramètres
| Nom | Clé | Obligatoire | Type | Description |
|---|---|---|---|---|
|
Identifiant d’abonnement
|
Subscription Id | True | string |
Spécifiez l’ID d’abonnement Webhook Microsoft Graph. |
|
Date d’expiration
|
expirationDateTime | string |
Spécifiez la date et l’heure, au format UTC, de l’expiration de l’abonnement webhook Microsoft Graph. La durée d’expiration maximale des alertes de sécurité est de 43200 minutes (moins de 30 jours). |
Retours
Entité d’abonnement unique retournée
- Subscription
- Subscription
Mettre à jour plusieurs tiIndicators (déconseillés) [DÉPRÉCIÉ]
Mettez à jour des propriétés spécifiques de plusieurs indicateurs de renseignement sur les menaces. Les champs obligatoires pour chaque tiIndicator sont : ID, expirationDateTime et targetProduct (déconseillé).
Paramètres
| Nom | Clé | Obligatoire | Type | Description |
|---|---|---|---|---|
|
pièce d'identité
|
id | True | string |
TiIndicator-id |
|
Action
|
action | string |
Action à appliquer si l’indicateur est mis en correspondance à partir de l’outil de sécurité targetProduct. Valeurs : (inconnu, autoriser, bloquer, alerter). |
|
|
Noms des groupes d’activités
|
activityGroupNames | array of string |
Nom(s) du ou des renseignements sur les cybermenaces pour les parties responsables de l’activité malveillante couverte par l’indicateur de menace. |
|
|
Informations supplémentaires
|
additionalInformation | string |
Des données supplémentaires de l’indicateur non couvertes par les autres propriétés tiIndicator peuvent être placées |
|
|
Confiance
|
confidence | integer |
Confiance de la logique de détection (pourcentage compris entre 0 et 100). |
|
|
Descriptif
|
description | string |
Description de TiIndicator (100 charactes ou moins). |
|
|
Modèle diamant
|
diamondModel | string |
Zone du modèle de diamant dans laquelle cet indicateur existe. Valeurs : (inconnu, adversaire, capacité, infrastructure, victime). |
|
|
Date d’expiration
|
expirationDateTime | True | date-time |
Heure à laquelle l’indicateur expire (UTC). |
|
Produit cible
|
targetProduct | True | string |
Produit de sécurité unique auquel l’indicateur doit être appliqué. Les valeurs acceptables sont : Azure Sentinel, Microsoft Defender ATP. |
|
External ID
|
externalId | string |
Numéro d’identification qui lie l’indicateur au système du fournisseur d’indicateurs (par exemple, une clé étrangère). |
|
|
Est actif
|
isActive | boolean |
Par défaut, tout indicateur envoyé est défini comme actif. Toutefois, les fournisseurs peuvent soumettre des indicateurs existants avec ce paramètre défini sur « False » pour désactiver les indicateurs dans le système. |
|
|
Chaîne de destruction
|
killChain | array of string |
chaînes qui décrivent le point ou les points sur la chaîne de destruction cible cet indicateur. Valeurs : (Actions, C2, Livraison, Exploitation, Installation, Reconnaissance, Arme). |
|
|
Faux positifs connus
|
knownFalsePositives | string |
Scénarios dans lesquels l’indicateur peut provoquer des faux positifs. |
|
|
Date de la dernière date signalée
|
lastReportedDateTime | date-time |
La dernière fois que l’indicateur a été vu (UTC). |
|
|
Noms de famille de programmes malveillants
|
malwareFamilyNames | array of string |
Nom de famille de programmes malveillants associé à un indicateur s’il existe. |
|
|
Passif uniquement
|
passiveOnly | boolean |
Détermine si l’indicateur doit déclencher un événement visible par un utilisateur final. |
|
|
Niveau de gravité
|
severity | integer |
Gravité du comportement malveillant identifié par les données dans l’indicateur. Les valeurs sont comprises entre 0 et 5 et 5 étant les plus graves. La valeur par défaut est 3. |
|
|
Étiquettes
|
tags | array of string | ||
|
Niveau Tlp
|
tlpLevel | string |
Valeur traffic Light Protocol pour l’indicateur. Les valeurs possibles sont : inconnu, blanc, vert, ambre, rouge. |
Retours
| Nom | Chemin d’accès | Type | Description |
|---|---|---|---|
|
TiIndicators
|
value | array of TiIndicator |
Les TiIndicators mis à jour |
Mettre à jour tiIndicator (déconseillé) [DÉCONSEILLÉ]
Mettez à jour les propriétés spécifiques d’un indicateur de renseignement sur les menaces. Les champs obligatoires pour le tiIndicator sont : ID, expirationDateTime et targetProduct (déconseillé).
Paramètres
| Nom | Clé | Obligatoire | Type | Description |
|---|---|---|---|---|
|
TiIndicator ID
|
indicator-id | True | string |
Spécifiez l’ID de l’indicateur de renseignement sur les menaces. |
|
Action
|
action | string |
Action à appliquer si l’indicateur est mis en correspondance à partir de l’outil de sécurité targetProduct. Valeurs : (inconnu, autoriser, bloquer, alerter). |
|
|
Noms des groupes d’activités
|
activityGroupNames | array of string |
Nom(s) du ou des renseignements sur les cybermenaces pour les parties responsables de l’activité malveillante couverte par l’indicateur de menace. |
|
|
Informations supplémentaires
|
additionalInformation | string |
Des données supplémentaires de l’indicateur non couvertes par les autres propriétés tiIndicator peuvent être placées |
|
|
Confiance
|
confidence | integer |
Confiance de la logique de détection (pourcentage compris entre 0 et 100). |
|
|
Descriptif
|
description | string |
Description de TiIndicator (100 charactes ou moins). |
|
|
Modèle diamant
|
diamondModel | string |
Zone du modèle de diamant dans laquelle cet indicateur existe. Valeurs : (inconnu, adversaire, capacité, infrastructure, victime). |
|
|
Date d’expiration
|
expirationDateTime | True | date-time |
Heure à laquelle l’indicateur expire (format UTC). Par exemple, 2020-03-01T00:00:00Z). |
|
External ID
|
externalId | string |
Numéro d’identification qui lie l’indicateur au système du fournisseur d’indicateurs (par exemple, une clé étrangère). |
|
|
Est actif
|
isActive | boolean |
Par défaut, tout indicateur envoyé est défini comme actif. Toutefois, les fournisseurs peuvent soumettre des indicateurs existants avec ce paramètre défini sur « False » pour désactiver les indicateurs dans le système. |
|
|
Chaîne de destruction
|
killChain | array of string |
chaînes qui décrivent le point ou les points sur la chaîne de destruction cible cet indicateur. Valeurs : (Actions, C2, Livraison, Exploitation, Installation, Reconnaissance, Arme). |
|
|
Faux positifs connus
|
knownFalsePositives | string |
Scénarios dans lesquels l’indicateur peut provoquer des faux positifs. |
|
|
Date de la dernière date signalée
|
lastReportedDateTime | date-time |
La dernière fois que l’indicateur a été vu (UTC). |
|
|
Noms de famille de programmes malveillants
|
malwareFamilyNames | array of string |
Nom de famille de programmes malveillants associé à un indicateur s’il existe. |
|
|
Passif uniquement
|
passiveOnly | boolean |
Détermine si l’indicateur doit déclencher un événement visible par un utilisateur final. |
|
|
Niveau de gravité
|
severity | integer |
Gravité du comportement malveillant identifié par les données dans l’indicateur. Les valeurs sont comprises entre 0 et 5 et 5 étant les plus graves. La valeur par défaut est 3. |
|
|
Étiquettes
|
tags | array of string | ||
|
Niveau Tlp
|
tlpLevel | string |
Valeur traffic Light Protocol pour l’indicateur. Les valeurs possibles sont : inconnu, blanc, vert, ambre, rouge. |
|
|
Produit cible
|
targetProduct | True | string |
Produit de sécurité unique auquel l’indicateur doit être appliqué. Les valeurs acceptables sont : Azure Sentinel, Microsoft Defender ATP. |
Obtenir des abonnements actifs (déconseillés) [DÉPRÉCIÉ]
Obtenez la liste des abonnements non expirés pour ce locataire Microsoft Entra ID (déconseillé).
Retours
| Nom | Chemin d’accès | Type | Description |
|---|---|---|---|
|
Nombre de sous-inscriptions existantes
|
@odata.count | integer |
Nombre de sous-inscriptions retournées |
|
Subscription
|
value | array of Subscription |
Entités d’abonnement retournées |
|
Lien suivant
|
@odata.nextLink | string |
Lien pour obtenir les résultats suivants dans le cas où il y a plus de résultats que demandés |
Obtenir des alertes (déconseillées) [DÉCONSEILLÉE]
Obtenez la liste des alertes de sécurité pour ce locataire Microsoft Entra ID. Utiliser avec différents paramètres de requête (déconseillés).
Paramètres
| Nom | Clé | Obligatoire | Type | Description |
|---|---|---|---|---|
|
Filtrer les alertes
|
$filter | string |
Spécifiez la condition de filtrage pour les alertes telles que la gravité eq « High ». |
|
|
Principales alertes
|
$top | integer |
Spécifiez le plus récent nombre d’alertes à récupérer à partir de chaque fournisseur. |
|
|
Sélectionner les propriétés d’alerte
|
$select | string |
Spécifiez les propriétés d’alerte à inclure dans les résultats. |
|
|
Ordre de tri
|
$orderby | string |
Spécifiez l’ordre de tri pour les résultats. |
|
|
Ignore les résultats « n »
|
$skip | integer |
Spécifiez le nombre de résultats à ignorer. Utile pour la pagination. |
|
|
Inclure le nombre d’alertes retournées
|
$count | string |
Spécifier pour inclure le nombre d’alertes retournées dans la réponse |
Retours
| Nom | Chemin d’accès | Type | Description |
|---|---|---|---|
|
Nombre d’alertes
|
@odata.count | integer |
Nombre d’alertes retournées |
|
Alerts
|
value | array of Alert |
Alertes retournées |
|
Lien suivant
|
@odata.nextLink | string |
Lien pour obtenir les résultats suivants dans le cas où il y a plus de résultats que demandés |
Obtenir tiIndicator par ID (déconseillé) [DÉPRÉCIÉ]
Obtenez un indicateur de renseignement sur les menaces correspondant à l’ID spécifié (déconseillé).
Paramètres
| Nom | Clé | Obligatoire | Type | Description |
|---|---|---|---|---|
|
TiIndicator ID
|
indicator-id | True | string |
Spécifier l’ID d’indicateur de renseignement sur les menaces |
Retours
Une seule entité TiIndicator retournée
- TiIndicator
- TiIndicator
Obtenir une alerte par ID (déconseillé) [DÉPRÉCIÉ]
Obtenez une alerte de sécurité correspondant à l’ID spécifié (déconseillé).
Paramètres
| Nom | Clé | Obligatoire | Type | Description |
|---|---|---|---|---|
|
ID de l’alerte
|
alert-id | True | string |
Spécifiez l’ID d’alerte. |
Retours
Une entité d’alerte unique retournée
- Alerte
- Alert
Supprimer des abonnements (déconseillés) [DÉCONSEILLÉ]
Supprimez l’abonnement Microsoft Graph Webhook spécifique (déconseillé).
Paramètres
| Nom | Clé | Obligatoire | Type | Description |
|---|---|---|---|---|
|
Identifiant d’abonnement
|
Subscription Id | True | string |
Spécifiez l’ID d’abonnement Webhook Microsoft Graph. |
Supprimer plusieurs tiIndicators par des ID externes (déconseillés) [DÉPRÉCIÉ]
Supprimez plusieurs indicateurs de renseignement sur les menaces correspondant aux ID externes spécifiés (déconseillés).
Paramètres
| Nom | Clé | Obligatoire | Type | Description |
|---|---|---|---|---|
|
value
|
value | array of string |
Retours
| Nom | Chemin d’accès | Type | Description |
|---|---|---|---|
|
value
|
value | array of object | |
|
code
|
value.code | integer |
Code de résultat |
|
Message
|
value.message | string |
Message |
|
Sous-code
|
value.subcode | integer |
Sous-code de résultat |
Supprimer plusieurs tiIndicators par ID (déconseillé) [DÉPRÉCIÉ]
Supprimez plusieurs indicateurs de renseignement sur les menaces correspondant aux ID spécifiés (déconseillés).
Paramètres
| Nom | Clé | Obligatoire | Type | Description |
|---|---|---|---|---|
|
value
|
value | array of string |
Retours
| Nom | Chemin d’accès | Type | Description |
|---|---|---|---|
|
value
|
value | array of object | |
|
code
|
value.code | integer |
Code de résultat |
|
Message
|
value.message | string |
Message |
|
Sous-code
|
value.subcode | integer |
Sous-code de résultat |
Supprimer tiIndicator par ID (déconseillé) [DÉPRÉCIÉ]
Supprimez un indicateur de renseignement sur les menaces correspondant à l’ID spécifié (déconseillé).
Paramètres
| Nom | Clé | Obligatoire | Type | Description |
|---|---|---|---|---|
|
TiIndicator ID
|
indicator-id | True | string |
Spécifier l’ID d’indicateur de renseignement sur les menaces |
Déclencheurs
| Sur les nouvelles alertes de gravité élevée (déconseillées) [DÉCONSEILLÉE] |
Déclencheurs sur de nouvelles alertes de gravité élevée (déconseillées) |
| Sur toutes les nouvelles alertes (déconseillées) [DÉCONSEILLÉE] |
Déclencheurs sur toutes les nouvelles alertes (déconseillées) |
Sur les nouvelles alertes de gravité élevée (déconseillées) [DÉCONSEILLÉE]
Déclencheurs sur de nouvelles alertes de gravité élevée (déconseillées)
Retours
| Nom | Chemin d’accès | Type | Description |
|---|---|---|---|
|
Nombre d’alertes
|
@odata.count | integer |
Nombre d’alertes retournées |
|
Alerts
|
value | array of Alert |
Alertes retournées |
|
Lien suivant
|
@odata.nextLink | string |
Lien pour obtenir les résultats suivants dans le cas où il y a plus de résultats que demandés |
Sur toutes les nouvelles alertes (déconseillées) [DÉCONSEILLÉE]
Déclencheurs sur toutes les nouvelles alertes (déconseillées)
Retours
| Nom | Chemin d’accès | Type | Description |
|---|---|---|---|
|
Nombre d’alertes
|
@odata.count | integer |
Nombre d’alertes retournées |
|
Alerts
|
value | array of Alert |
Alertes retournées |
|
Lien suivant
|
@odata.nextLink | string |
Lien pour obtenir les résultats suivants dans le cas où il y a plus de résultats que demandés |
Définitions
Alerte
Une entité d’alerte unique retournée
| Nom | Chemin d’accès | Type | Description |
|---|---|---|---|
|
ID d’abonnement Azure
|
azureSubscriptionId | string |
ID d’abonnement Azure, présent si cette alerte est liée à une ressource Azure. |
|
Étiquettes
|
tags | array of string |
Les étiquettes définissables par l’utilisateur qui peuvent être appliquées à une alerte et peuvent servir de conditions de filtre (par exemple, « HVA », « SAW », etc.). |
|
ID
|
id | string |
Identificateur unique/GUID généré par le fournisseur. |
|
ID locataire Azure
|
azureTenantId | string |
ID de locataire Microsoft Entra ID. |
|
Nom du groupe d’activités
|
activityGroupName | string |
Nom ou alias du groupe d’activités (attaquant) auquel cette alerte est attribuée. |
|
Affectée à
|
assignedTo | string |
Nom de l’analyste auquel l’alerte est affectée pour le triage, l’investigation ou la correction. |
|
Catégorie
|
category | string |
Catégorie de l’alerte (par exemple, credentialTheft, ransomware, etc.). |
|
Date de fermeture
|
closedDateTime | date-time |
Heure à laquelle l’alerte a été fermée (UTC). |
|
Commentaires
|
comments | array of string |
Commentaires fournis par le client sur l’alerte (pour la gestion des alertes client). |
|
Confiance
|
confidence | integer |
Confiance de la logique de détection (pourcentage compris entre 1 et 100). |
|
Date et heure de création
|
createdDateTime | date-time |
Heure à laquelle l’alerte a été créée (UTC). |
|
Descriptif
|
description | string |
Description de l’alerte. |
|
ID de détection
|
detectionIds | array of string |
Ensemble d’alertes liées à cette entité d’alerte. |
|
Heure de la date de l’événement
|
eventDateTime | date-time |
Heure à laquelle les événements qui ont servi de déclencheur(s) pour générer l’alerte se sont produits (UTC). |
|
Feedback
|
feedback | string |
Commentaires des analystes sur l’alerte. Les valeurs possibles sont : unknown, truePositive, falsePositive, benignPositive. |
|
Date et heure de la dernière modification
|
lastModifiedDateTime | date-time |
Heure à laquelle l’entité d’alerte a été modifiée pour la dernière fois (UTC). |
|
Actions recommandées
|
recommendedActions | array of string |
Action/action/s recommandée par le fournisseur à prendre suite à l’alerte (par exemple, isoler l’ordinateur, appliquer2FA, réimager l’hôte, etc.). |
|
Niveau de gravité
|
severity | string |
Gravité de l’alerte : définie par fournisseur/fournisseur. Valeurs : (haute, moyenne, faible, informationnelle) où « informational » déduit que l’alerte n’est pas actionnable. |
|
Matériaux sources
|
sourceMaterials | array of string |
Liens hypertexte (URI) vers le matériel source lié à l’alerte, par exemple l’interface utilisateur d’investigation du fournisseur, etc. |
|
Statut
|
status | string |
État du cycle de vie des alertes (étape). Valeurs : (inconnu, newAlert, inProgress, résolu). |
|
Titre
|
title | string |
Titre de l’alerte. |
|
Nom du fournisseur
|
vendorInformation.provider | string |
Fournisseur spécifique (produit/service - pas entreprise de fournisseur) ; par exemple, WindowsDefenderATP. |
|
Version du fournisseur
|
vendorInformation.providerVersion | string |
Version du fournisseur ou du sous-fournisseur. |
|
Nom du sous-fournisseur
|
vendorInformation.subProvider | string |
Sous-fournisseur spécifique (sous fournisseur d’agrégation) ; par exemple, WindowsDefenderATP.SmartScreen. |
|
Nom de fournisseur
|
vendorInformation.vendor | string |
Nom du fournisseur d’alerte (par exemple, Microsoft, Dell, FireEye). |
|
États de l’application cloud
|
cloudAppStates | array of object |
Informations avec état liées à la sécurité générées par le fournisseur sur l’application cloud/s associées à cette alerte. |
|
Destination service IP
|
cloudAppStates.destinationServiceIp | string |
Adresse IP de destination de la connexion à l’application/service cloud. |
|
Nom du service de destination
|
cloudAppStates.destinationServiceName | string |
Nom de l’application/du service cloud de destination. |
|
Score de risque
|
cloudAppStates.riskScore | string |
Score de risque généré/calculé par le fournisseur de l’application/du service cloud. |
|
États des fichiers
|
fileStates | array of object |
Informations avec état liées à la sécurité générées par le fournisseur sur le ou les fichiers liés à cette alerte. |
|
Nom
|
fileStates.name | string |
Nom de fichier (sans chemin d’accès). |
|
Chemin
|
fileStates.path | string |
Chemin d’accès complet du fichier/imageFile. |
|
Score de risque
|
fileStates.riskScore | string |
Score de risque généré/calculé par le fournisseur du fichier d’alerte. |
|
Type
|
fileStates.fileHash.type | string |
Type de hachage de fichier. Les valeurs possibles sont : unknown, sha1, sha256, md5, authenticodeHash256, lsHash, ctph, peSha1, peSha256. |
|
Valeur
|
fileStates.fileHash.value | string |
Valeur du hachage de fichier. |
|
États de l’hôte
|
hostStates | array of object |
Informations avec état liées à la sécurité générées par le fournisseur sur les hôtes liés à cette alerte. |
|
Nom de domaine complet
|
hostStates.fqdn | string |
Nom de domaine complet de l’hôte (nom de domaine complet). |
|
Est joint à AzureAd
|
hostStates.isAzureAdJoined | boolean |
True si l’hôte est joint au domaine aux services de domaine Microsoft Entra ID. |
|
Est inscrit azureAd
|
hostStates.isAzureAdRegistered | boolean |
True si l’hôte est inscrit auprès de Microsoft Entra ID Device Registration (par exemple, BYOD) - pas complètement géré par l’entreprise. |
|
Joint à un domaine Azure hybride
|
hostStates.isHybridAzureDomainJoined | boolean |
True si l’hôte est joint à un domaine Microsoft Entra ID local. |
|
Nom du bios net
|
hostStates.netBiosName | string |
Nom d’hôte local sans nom de domaine DNS. |
|
Nom du système d’exploitation
|
hostStates.os | string |
Système d’exploitation hôte. |
|
Adresse IP privée
|
hostStates.privateIpAddress | string |
Adresse IPv4 ou IPv6 privée (non routable) au moment de l’alerte. |
|
Adresse IP publique
|
hostStates.publicIpAddress | string |
Adresse IPv4 ou IPv6 routable publiquement au moment de l’alerte. |
|
Score de risque
|
hostStates.riskScore | string |
Score de risque généré/calculé par le fournisseur de l’hôte. |
|
États des programmes malveillants
|
malwareStates | array of object |
Informations avec état liées à la sécurité générées par le fournisseur sur les programmes malveillants liés à cette alerte. |
|
Catégorie
|
malwareStates.category | string |
Catégorie de programmes malveillants générés par le fournisseur (par exemple, Troie, ransomware, etc.). |
|
Famille
|
malwareStates.family | string |
Famille de programmes malveillants générés par un fournisseur (par exemple, « wannacry », « notpetya », etc.). |
|
Nom
|
malwareStates.name | string |
Nom de variante de programme malveillant généré par le fournisseur (par exemple, Trojan :Win32/Powessere.H). |
|
Niveau de gravité
|
malwareStates.severity | string |
Gravité déterminée par le fournisseur de ce programme malveillant. |
|
Était en cours d’exécution
|
malwareStates.wasRunning | boolean |
Indique si le fichier détecté (programme malveillant/vulnérabilité) s’exécutait au moment de la détection ou a été détecté au repos sur le disque. |
|
Connexions réseau
|
networkConnections | array of object |
Informations avec état liées à la sécurité générées par le fournisseur sur le ou les fichiers liés à cette alerte. |
|
Nom de l’application
|
networkConnections.applicationName | string |
Nom de l’application gérant la connexion réseau (par exemple, Facebook, SMTP, etc.). |
|
Adresse de destination
|
networkConnections.destinationAddress | string |
Adresse IP de destination de la connexion réseau. |
|
Domaine de destination
|
networkConnections.destinationDomain | string |
Partie domaine de destination de l’URL de destination. (par exemple , «www.contoso.com»). |
|
Port de destination
|
networkConnections.destinationPort | string |
Port de destination de la connexion réseau. |
|
URL de destination
|
networkConnections.destinationUrl | string |
URL de connexion réseau/chaîne d’URI : à l’exclusion des paramètres. |
|
Direction
|
networkConnections.direction | string |
Direction de la connexion réseau. Les valeurs possibles sont les suivantes : inconnu, entrant, sortant. |
|
DateTime inscrite dans le domaine
|
networkConnections.domainRegisteredDateTime | date-time |
Date à laquelle le domaine de destination a été inscrit (UTC). |
|
Nom dns local
|
networkConnections.localDnsName | string |
Résolution de noms DNS locale telle qu’elle apparaît dans le cache DNS local de l’hôte (par exemple, si le fichier « hosts » a été falsifié). |
|
Adresse de destination Nat
|
networkConnections.natDestinationAddress | string |
Adresse IP de destination de la traduction d’adresses réseau. |
|
Port de destination Nat
|
networkConnections.natDestinationPort | string |
Port de destination de traduction d’adresses réseau. |
|
Adresse source nat
|
networkConnections.natSourceAddress | string |
Adresse IP source de traduction d’adresses réseau. |
|
Port source Nat
|
networkConnections.natSourcePort | string |
Port source de traduction d’adresses réseau. |
|
Protocole
|
networkConnections.protocol | string |
Protocole réseau. Les valeurs possibles sont : unknown, ip, icmp, igmp, ggp, ipv4, tcp, pup, udp, idp, ipv6, ipv6RoutingHeader, ipv6FragmentHeader, ipSecEncapsulatingSecurityPayload, ipSecAuthenticationHeader, icmpV6, ipv6NoNextHeader, ipv6DestinationOptions, nd, raw, ipx, spx, spx. |
|
Score de risque
|
networkConnections.riskScore | string |
Score de risque généré/calculé par le fournisseur de la connexion réseau. |
|
Adresse source
|
networkConnections.sourceAddress | string |
Adresse IP source (par exemple, origine) de la connexion réseau. |
|
Port source
|
networkConnections.sourcePort | string |
Port IP source (par exemple, origine) de la connexion réseau. |
|
Statut
|
networkConnections.status | string |
État de la connexion réseau. Les valeurs possibles sont les suivantes : inconnu, tenté, réussi, bloqué, ayant échoué. |
|
Paramètres d’URL
|
networkConnections.urlParameters | string |
Paramètres (suffixe) de l’URL de destination sous forme de chaîne. |
|
Processes
|
processes | array of object |
Informations avec état liées à la sécurité générées par le fournisseur sur le processus ou les processus liés à cette alerte. |
|
Nom de compte
|
processes.accountName | string |
Identificateur de compte d’utilisateur (contexte du compte d’utilisateur sous lequel le processus s’est exécuté) par exemple, AccountName, SID, etc. |
|
Ligne de commande
|
processes.commandLine | string |
Ligne de commande d’appel de processus complète, y compris tous les paramètres. |
|
Date et heure de création
|
processes.createdDateTime | date-time |
DateTime à laquelle le processus parent a été démarré (UTC). |
|
Niveau d’intégrité
|
processes.integrityLevel | string |
Niveau d’intégrité du processus. Les valeurs possibles sont les suivantes : inconnu, non approuvé, faible, moyen, élevé, système. |
|
Est élevé
|
processes.isElevated | boolean |
True si le processus est élevé. |
|
Nom
|
processes.name | string |
Nom du fichier Image de processus. |
|
Date de création du processus parent
|
processes.parentProcessCreatedDateTime | date-time |
Heure à laquelle le processus a été démarré (UTC). |
|
ID de processus parent
|
processes.parentProcessId | integer |
ID de processus (PID) du processus parent. |
|
Nom du processus parent
|
processes.parentProcessName | string |
Nom du fichier image du processus parent. |
|
Chemin
|
processes.path | string |
Chemin d’accès complet, y compris le nom de fichier. |
|
ID de processus
|
processes.processId | integer |
ID de processus (PID) du processus. |
|
Type
|
processes.fileHash.type | string |
Type de hachage de fichier. Les valeurs possibles sont : unknown, sha1, sha256, md5, authenticodeHash256, lsHash, ctph, peSha1, peSha256. |
|
Valeur
|
processes.fileHash.value | string |
Valeur du hachage de fichier. |
|
États de clé de Registre
|
registryKeyStates | array of object |
Informations avec état liées à la sécurité générées par le fournisseur sur les clés de Registre associées à cette alerte. |
|
Processus
|
registryKeyStates.process | string |
ID de processus (PID) du processus qui a modifié la clé de Registre (les détails du processus s’affichent dans la collection d’alertes « processus »). |
|
Opération
|
registryKeyStates.operation | string |
Opération qui a modifié le nom de clé de Registre et/ou la valeur (ajouter, modifier, supprimer). |
|
Type de valeur
|
registryKeyStates.valueType | string |
Type de valeur de clé de Registre. Les valeurs possibles sont : unknown, binary, dwordLittleEndian, dwordBigEndian, expandSz, link, multiSz, none, qwordlittleEndian, sz. |
|
Ruche du Registre
|
registryKeyStates.hive | string |
Ruche du Registre Windows. Les valeurs possibles sont : unknown, currentConfig, currentUser, localMachineSam, localMachineSamSoftware, localMachineSystem, usersDefault. |
|
Key
|
registryKeyStates.key | string |
La clé de Registre actuelle (c’est-à-dire modifiée) (exclut HIVE). |
|
Nom de la valeur
|
registryKeyStates.valueName | string |
Nom de la valeur de clé de Registre actuelle (autrement dit modifiée). |
|
Données de valeur
|
registryKeyStates.valueData | string |
Données de valeur de clé de Registre actuelles (autrement dit modifiées) (contenu). |
|
Ancienne clé
|
registryKeyStates.oldKey | string |
La clé de Registre précédente (c’est-à-dire avant la modification) (exclut HIVE). |
|
Nom de l’ancienne valeur
|
registryKeyStates.oldValueName | string |
Nom de la valeur de clé de Registre précédente (c’est-à-dire avant modification). |
|
Anciennes données de valeur
|
registryKeyStates.oldValueData | string |
Données de valeur de clé de Registre précédentes (c’est-à-dire avant modification). |
|
Triggers
|
triggers | array of object |
Informations relatives à la sécurité sur les propriétés spécifiques qui ont déclenché l’alerte (propriétés apparaissant dans l’alerte). Les alertes peuvent contenir des informations sur plusieurs utilisateurs, hôtes, fichiers, adresses IP. Ce champ indique les propriétés qui ont déclenché la génération d’alerte. |
|
Nom
|
triggers.name | string |
Nom de la propriété servant de déclencheur de détection. |
|
Type
|
triggers.type | string |
Type de l’attribut dans la paire key :value pour l’interprétation, par exemple, String, Boolean, etc. |
|
Valeur
|
triggers.value | string |
Valeur de l’attribut servant de déclencheur de détection. |
|
États utilisateur
|
userStates | array of object |
Informations avec état liées à la sécurité générées par le fournisseur sur l’utilisateur connecté ou les utilisateurs liés à cette alerte. |
|
ID d’utilisateur Microsoft Entra ID
|
userStates.aadUserId | string |
Identificateur d’objet utilisateur Microsoft Entra ID (GUID) : représente l’entité utilisateur physique/multi-compte. |
|
Nom de compte
|
userStates.accountName | string |
Nom du compte d’utilisateur (sans domaine d’ID Microsoft Entra ou domaine DNS) - (également appelé « mailNickName »). |
|
Nom de domaine
|
userStates.domainName | string |
Domaine NetBIOS/Microsoft Entra ID du compte d’utilisateur (par exemple, domain\account format). |
|
Rôle de messagerie
|
userStates.emailRole | string |
Pour les alertes liées à l’e-mail : rôle de messagerie de compte d’utilisateur. |
|
Is Vpn
|
userStates.isVpn | boolean |
Indique si l’utilisateur s’est connecté via un VPN. |
|
Date d’ouverture de session
|
userStates.logonDateTime | date-time |
Heure à laquelle l’ouverture de session s’est produite (UTC). |
|
ID d’ouverture de session
|
userStates.logonId | string |
ID de connexion de l’utilisateur. |
|
Adresse IP d’ouverture de session
|
userStates.logonIp | string |
Adresse IP à partir de laquelle la demande d’ouverture de session a été orginée. |
|
Emplacement de connexion
|
userStates.logonLocation | string |
Emplacement (par mappage d’adresses IP) associé à un événement de connexion utilisateur par cet utilisateur. |
|
Type d’ouverture de session
|
userStates.logonType | string |
Méthode de connexion de l’utilisateur. Les valeurs possibles sont : inconnu, interactif, remoteInteractive, network, batch, service. |
|
Identificateur de sécurité local
|
userStates.onPremisesSecurityIdentifier | string |
MICROSOFT Entra ID (local) Security Identifier (SID) de l’utilisateur. |
|
Score de risque
|
userStates.riskScore | string |
Score de risque généré/calculé par le fournisseur du compte d’utilisateur. |
|
Type de compte d’utilisateur
|
userStates.userAccountType | string |
Type de compte d’utilisateur (appartenance au groupe), par définition Windows. Les valeurs possibles sont : inconnu, standard, power, administrateur. |
|
Nom d’utilisateur principal
|
userStates.userPrincipalName | string |
Nom de connexion utilisateur - Format Internet : <nom> du compte d’utilisateur@<nom> de domaine DNS du compte d’utilisateur. |
|
États des vulnérabilités
|
vulnerabilityStates | array of object |
Informations sur les menaces relatives à une ou plusieurs vulnérabilités liées à cette alerte. |
|
Cve
|
vulnerabilityStates.cve | string |
Vulnérabilités et expositions courantes (CVE) pour la vulnérabilité. |
|
Était en cours d’exécution
|
vulnerabilityStates.wasRunning | boolean |
Indique si la vulnérabilité détectée (fichier) s’exécutait au moment de la détection ou si le fichier était détecté au repos sur le disque. |
|
Niveau de gravité
|
vulnerabilityStates.severity | string |
Score de gravité du système de notation des vulnérabilités commun de base (CVSS) pour cette vulnérabilité. |
Subscription
Entité d’abonnement unique retournée
| Nom | Chemin d’accès | Type | Description |
|---|---|---|---|
|
ID
|
id | string |
Identificateur unique de l’abonnement. |
|
Resource
|
resource | string |
Spécifie la ressource qui sera surveillée pour les modifications. |
|
ID d’application
|
applicationId | string |
Identificateur de l’application utilisée pour créer l’abonnement. |
|
Type de modification
|
changeType | string |
Indique le type de modification dans la ressource abonnée qui déclenche une notification. |
|
État du client
|
clientState | string |
Spécifie la valeur de la propriété clientState envoyée par le service dans chaque notification. La longueur maximale est de 128 caractères. Le client peut vérifier que la notification provient du service en comparant la valeur de la propriété clientState envoyée avec l’abonnement avec la valeur de la propriété clientState reçue avec chaque notification. |
|
Notification URL
|
notificationUrl | string |
URL du point de terminaison qui recevra les notifications. Cette URL doit utiliser le protocole HTTPS. |
|
Date d’expiration
|
expirationDateTime | string |
Spécifie la date et l’heure à laquelle l’abonnement webhook expire (UTC). |
|
ID du créateur
|
creatorId | string |
Identificateur de l’utilisateur ou du principal de service qui a créé l’abonnement. Si l’application a utilisé des autorisations déléguées pour créer l’abonnement, ce champ contient l’ID de l’utilisateur connecté de l’application appelée pour le compte de. Si l’application a utilisé des autorisations d’application, ce champ contient l’ID du principal de service correspondant à l’application. |
TiIndicator
Une seule entité TiIndicator retournée
| Nom | Chemin d’accès | Type | Description |
|---|---|---|---|
|
Action
|
action | string |
Action à appliquer si l’indicateur est mis en correspondance à partir de l’outil de sécurité targetProduct. Valeurs : (inconnu, autoriser, bloquer, alerter). |
|
Noms des groupes d’activités
|
activityGroupNames | array of string |
Nom(s) du ou des renseignements sur les cybermenaces pour les parties responsables de l’activité malveillante couverte par l’indicateur de menace. |
|
Informations supplémentaires
|
additionalInformation | string |
Des données supplémentaires de l’indicateur non couvertes par les autres propriétés tiIndicator peuvent être placées |
|
ID de locataire Azure
|
azureTenantId | string |
ID de locataire Microsoft Entra ID de l’envoi du client. |
|
Confiance
|
confidence | integer |
Confiance de la logique de détection (pourcentage compris entre 0 et 100). |
|
Descriptif
|
description | string |
Description de TiIndicator (100 charactes ou moins). |
|
Modèle diamant
|
diamondModel | string |
Zone du modèle de diamant dans laquelle cet indicateur existe. Valeurs : (inconnu, adversaire, capacité, infrastructure, victime). |
|
Date d’expiration
|
expirationDateTime | date-time |
Heure à laquelle l’indicateur expire (UTC). |
|
External ID
|
externalId | string |
Numéro d’identification qui lie l’indicateur au système du fournisseur d’indicateurs (par exemple, une clé étrangère). |
|
ID
|
id | string |
Créé par le système lorsque l’indicateur est ingéré. IDENTIFICATEUR GUID/unique généré. |
|
Heure de date ingérée
|
ingestedDateTime | date-time |
Heure à laquelle l’indicateur est ingéré (UTC). |
|
Est actif
|
isActive | boolean |
Par défaut, tout indicateur envoyé est défini comme actif. Toutefois, les fournisseurs peuvent soumettre des indicateurs existants avec ce paramètre défini sur « False » pour désactiver les indicateurs dans le système. |
|
Chaîne de destruction
|
killChain | array of string |
chaînes qui décrivent le point ou les points sur la chaîne de destruction cible cet indicateur. Valeurs : (Actions, C2, Livraison, Exploitation, Installation, Reconnaissance, Arme). |
|
Faux positifs connus
|
knownFalsePositives | string |
Scénarios dans lesquels l’indicateur peut provoquer des faux positifs. |
|
Date de la dernière date signalée
|
lastReportedDateTime | date-time |
La dernière fois que l’indicateur a été vu (UTC). |
|
Noms de famille de programmes malveillants
|
malwareFamilyNames | array of string |
Nom de famille de programmes malveillants associé à un indicateur s’il existe. |
|
Passif uniquement
|
passiveOnly | boolean |
Détermine si l’indicateur doit déclencher un événement visible par un utilisateur final. |
|
Niveau de gravité
|
severity | integer |
Gravité du comportement malveillant identifié par les données dans l’indicateur. Les valeurs sont comprises entre 0 et 5 et 5 étant les plus graves. La valeur par défaut est 3. |
|
Étiquettes
|
tags | array of string | |
|
Produit cible
|
targetProduct | string |
Produit de sécurité unique auquel l’indicateur doit être appliqué. Les valeurs acceptables sont : Azure Sentinel, Microsoft Defender ATP. |
|
Type de menace
|
threatType | string |
Chaque indicateur doit avoir un type de menace d’indicateur valide. Les valeurs possibles sont : Botnet, C2, CryptoMining, Darknet, DDoS, MaliciousUrl, Malware, Hameçonnage, Proxy, PUA, WatchList. |
|
Niveau Tlp
|
tlpLevel | string |
Valeur traffic Light Protocol pour l’indicateur. Les valeurs possibles sont : inconnu, blanc, vert, ambre, rouge. |
|
Encodage de courrier électronique
|
emailEncoding | string |
Type d’encodage de texte utilisé dans l’e-mail. |
|
Langue de l’e-mail
|
emailLanguage | string |
Langue de l’e-mail. |
|
Destinataire de l’e-mail
|
emailRecipient | string |
Adresse de courrier du destinataire. |
|
Adresse de l’expéditeur de l’e-mail
|
emailSenderAddress | string |
Adresse e-mail de l’attaquant|victime. |
|
Nom de l’expéditeur de l’e-mail
|
emailSenderName | string |
Nom affiché de l’attaquant|victime. |
|
Domaine source de l’e-mail
|
emailSourceDomain | string |
Domaine utilisé dans l’e-mail. |
|
Adresse IP source de l’e-mail
|
emailSourceIpAddress | string |
Adresse IP source de l’e-mail. |
|
Sujet de l’e-mail
|
emailSubject | string |
Ligne d’objet du courrier électronique. |
|
E-mail XMailer
|
emailXMailer | string |
Valeur X-Mailer utilisée dans l’e-mail. |
|
Date de compilation du fichier
|
fileCompileDateTime | date-time |
DateTime quand le fichier a été compilé. |
|
Date de création du fichier
|
fileCreatedDateTime | date-time |
DateTime lors de la création du fichier. |
|
Type de hachage de fichier
|
fileHashType | string |
Type de hachage stocké dans fileHashValue. Les valeurs possibles sont : unknown, sha1, sha256, md5, authenticodeHash256, lsHash, ctph. |
|
Valeur de hachage de fichier
|
fileHashValue | string |
Valeur de hachage de fichier. |
|
Nom du mutex de fichier
|
fileMutexName | string |
Nom mutex utilisé dans les détections basées sur des fichiers. |
|
Nom de fichier
|
fileName | string |
Nom du fichier si l’indicateur est basé sur un fichier. |
|
Packer de fichiers
|
filePacker | string |
Packer utilisé pour générer le fichier en question. |
|
Chemins d'accès au fichier
|
filePath | string |
Chemin d’accès du fichier indiquant la compromission. Il peut s’agir d’un chemin de style Windows ou *nix. |
|
Taille du fichier
|
fileSize | integer |
Taille du fichier en octets. |
|
Type de fichier
|
fileType | string |
Description textuelle du type de fichier. Par exemple, « Document Word » ou « Binaire ». |
|
Nom de domaine
|
domainName | string |
Nom de domaine associé à cet indicateur. |
|
Bloc cidr réseau
|
networkCidrBlock | string |
Représentation de notation de bloc CIDR du réseau référencé dans cet indicateur. |
|
Asn de destination réseau
|
networkDestinationAsn | integer |
Identificateur de système autonome de destination du réseau référencé dans l’indicateur. |
|
Bloc cidr de destination réseau
|
networkDestinationCidrBlock | string |
Représentation ciDR Block notation du réseau de destination dans cet indicateur. |
|
IPv4 de destination réseau
|
networkDestinationIPv4 | string |
Destination de l’adresse IP IPv4. |
|
IPv6 de destination réseau
|
networkDestinationIPv6 | string |
Destination d’adresse IP IPv6. |
|
Port de destination réseau
|
networkDestinationPort | integer |
Destination du port TCP. |
|
IPv4 réseau
|
networkIPv4 | string |
Adresse IP IPv4. |
|
IPv6 réseau
|
networkIPv6 | string |
Adresse IP IPv6. |
|
Port réseau
|
networkPort | integer |
Port TCP. |
|
Protocole réseau
|
networkProtocol | integer |
Représentation décimale du champ de protocole dans l’en-tête IPv4. |
|
Asn source réseau
|
networkSourceAsn | integer |
Identificateur de système autonome source du réseau référencé dans l’indicateur. |
|
Bloc cidr source réseau
|
networkSourceCidrBlock | string |
Représentation de notation de bloc CIDR du réseau source dans cet indicateur. |
|
IPv4 source réseau
|
networkSourceIPv4 | string |
Source d’adresse IP IPv4. |
|
IPv6 de destination réseau
|
networkSourceIPv6 | string |
Source d’adresse IP IPv6. |
|
Port source réseau
|
networkSourcePort | integer |
Source du port TCP. |
|
URL
|
url | string |
Localisateur de ressources uniforme. |
|
Agent utilisateur
|
userAgent | string |
User-Agent chaîne d’une requête web qui pourrait indiquer une compromission. |