Microsoft.SecurityInsights alertRules

Definicja zasobu Bicep

Typ zasobu alertRules można wdrożyć przy użyciu operacji docelowych:

Aby uzyskać listę zmienionych właściwości w każdej wersji interfejsu API, zobacz dziennika zmian.

Format zasobu

Aby utworzyć zasób Microsoft.SecurityInsights/alertRules, dodaj następujący kod Bicep do szablonu.

resource symbolicname 'Microsoft.SecurityInsights/alertRules@2025-09-01' = {
  etag: 'string'
  name: 'string'
  kind: 'string'
  // For remaining properties, see Microsoft.SecurityInsights/alertRules objects
}

Obiekty Microsoft.SecurityInsights/alertRules

Ustaw właściwość typu , aby określić typ obiektu.

W przypadkuFusion użyj:

{
  kind: 'Fusion'
  properties: {
    alertRuleTemplateName: 'string'
    enabled: bool
  }
}

W przypadku MicrosoftSecurityIncidentCreationużyj:

{
  kind: 'MicrosoftSecurityIncidentCreation'
  properties: {
    alertRuleTemplateName: 'string'
    description: 'string'
    displayName: 'string'
    displayNamesExcludeFilter: [
      'string'
    ]
    displayNamesFilter: [
      'string'
    ]
    enabled: bool
    productFilter: 'string'
    severitiesFilter: [
      'string'
    ]
  }
}

W przypadku Zaplanowaneużyj:

{
  kind: 'Scheduled'
  properties: {
    alertDetailsOverride: {
      alertDescriptionFormat: 'string'
      alertDisplayNameFormat: 'string'
      alertDynamicProperties: [
        {
          alertProperty: 'string'
          value: 'string'
        }
      ]
      alertSeverityColumnName: 'string'
      alertTacticsColumnName: 'string'
    }
    alertRuleTemplateName: 'string'
    customDetails: {
      {customized property}: 'string'
    }
    description: 'string'
    displayName: 'string'
    enabled: bool
    entityMappings: [
      {
        entityType: 'string'
        fieldMappings: [
          {
            columnName: 'string'
            identifier: 'string'
          }
        ]
      }
    ]
    eventGroupingSettings: {
      aggregationKind: 'string'
    }
    incidentConfiguration: {
      createIncident: bool
      groupingConfiguration: {
        enabled: bool
        groupByAlertDetails: [
          'string'
        ]
        groupByCustomDetails: [
          'string'
        ]
        groupByEntities: [
          'string'
        ]
        lookbackDuration: 'string'
        matchingMethod: 'string'
        reopenClosedIncident: bool
      }
    }
    query: 'string'
    queryFrequency: 'string'
    queryPeriod: 'string'
    severity: 'string'
    suppressionDuration: 'string'
    suppressionEnabled: bool
    tactics: [
      'string'
    ]
    techniques: [
      'string'
    ]
    templateVersion: 'string'
    triggerOperator: 'string'
    triggerThreshold: int
  }
}

Wartości właściwości

Microsoft.SecurityInsights/alertRules

AlertDetailsOverride

Mapowanie właściwości alertów

MapowanieEntytetu

EventGroupingSettings

Mapowanie pól

Reguła FusionAlertRule

Właściwości FusionAlertRuleProperties

GrupowanieKonfiguracja

IncidentConfiguration (konfiguracja incydentu)

MicrosoftSecurityIncidentCreationAlertRule

MicrosoftSecurityIncidentCreationAlertRuleProperties

ScheduledAlertRule (Zaplanowana reguła alertu)

ScheduledAlertRuleCommonPropertiesCustomDetails

ScheduledAlertRuleProperties

Definicja zasobu szablonu usługi ARM

Typ zasobu alertRules można wdrożyć przy użyciu operacji docelowych:

Aby uzyskać listę zmienionych właściwości w każdej wersji interfejsu API, zobacz dziennika zmian.

Format zasobu

Aby utworzyć zasób Microsoft.SecurityInsights/alertRules, dodaj następujący kod JSON do szablonu.

{
  "etag": "string",
  "name": "string",
  "kind": "string"
  // For remaining properties, see Microsoft.SecurityInsights/alertRules objects
}

Obiekty Microsoft.SecurityInsights/alertRules

Ustaw właściwość typu , aby określić typ obiektu.

W przypadkuFusion użyj:

{
  "kind": "Fusion",
  "properties": {
    "alertRuleTemplateName": "string",
    "enabled": "bool"
  }
}

W przypadku MicrosoftSecurityIncidentCreationużyj:

{
  "kind": "MicrosoftSecurityIncidentCreation",
  "properties": {
    "alertRuleTemplateName": "string",
    "description": "string",
    "displayName": "string",
    "displayNamesExcludeFilter": [ "string" ],
    "displayNamesFilter": [ "string" ],
    "enabled": "bool",
    "productFilter": "string",
    "severitiesFilter": [ "string" ]
  }
}

W przypadku Zaplanowaneużyj:

{
  "kind": "Scheduled",
  "properties": {
    "alertDetailsOverride": {
      "alertDescriptionFormat": "string",
      "alertDisplayNameFormat": "string",
      "alertDynamicProperties": [
        {
          "alertProperty": "string",
          "value": "string"
        }
      ],
      "alertSeverityColumnName": "string",
      "alertTacticsColumnName": "string"
    },
    "alertRuleTemplateName": "string",
    "customDetails": {
      "{customized property}": "string"
    },
    "description": "string",
    "displayName": "string",
    "enabled": "bool",
    "entityMappings": [
      {
        "entityType": "string",
        "fieldMappings": [
          {
            "columnName": "string",
            "identifier": "string"
          }
        ]
      }
    ],
    "eventGroupingSettings": {
      "aggregationKind": "string"
    },
    "incidentConfiguration": {
      "createIncident": "bool",
      "groupingConfiguration": {
        "enabled": "bool",
        "groupByAlertDetails": [ "string" ],
        "groupByCustomDetails": [ "string" ],
        "groupByEntities": [ "string" ],
        "lookbackDuration": "string",
        "matchingMethod": "string",
        "reopenClosedIncident": "bool"
      }
    },
    "query": "string",
    "queryFrequency": "string",
    "queryPeriod": "string",
    "severity": "string",
    "suppressionDuration": "string",
    "suppressionEnabled": "bool",
    "tactics": [ "string" ],
    "techniques": [ "string" ],
    "templateVersion": "string",
    "triggerOperator": "string",
    "triggerThreshold": "int"
  }
}

Wartości właściwości

Microsoft.SecurityInsights/alertRules

AlertDetailsOverride

Mapowanie właściwości alertów

MapowanieEntytetu

EventGroupingSettings

Mapowanie pól

Reguła FusionAlertRule

Właściwości FusionAlertRuleProperties

GrupowanieKonfiguracja

IncidentConfiguration (konfiguracja incydentu)

MicrosoftSecurityIncidentCreationAlertRule

MicrosoftSecurityIncidentCreationAlertRuleProperties

ScheduledAlertRule (Zaplanowana reguła alertu)

ScheduledAlertRuleCommonPropertiesCustomDetails

ScheduledAlertRuleProperties

Przykłady użycia

Szablony szybkiego startu platformy Azure

Następujące szablony szybkiego startu platformy Azure wdrożyć ten typ zasobu.

Szablon	Opis
Tworzy nową regułę zaplanowanej analizy usługi Microsoft Sentinel wdrażanie	W tym przykładzie pokazano, jak utworzyć nową regułę analizy zaplanowanej w usłudze Microsoft Sentinel

Definicja zasobu narzędzia Terraform (dostawcy AzAPI)

Typ zasobu alertRules można wdrożyć przy użyciu operacji docelowych:

Aby uzyskać listę zmienionych właściwości w każdej wersji interfejsu API, zobacz dziennika zmian.

Format zasobu

Aby utworzyć zasób Microsoft.SecurityInsights/alertRules, dodaj następujący program Terraform do szablonu.

resource "azapi_resource" "symbolicname" {
  etag = "string"
  name = "string"
  kind = "string"
  // For remaining properties, see Microsoft.SecurityInsights/alertRules objects
}

Obiekty Microsoft.SecurityInsights/alertRules

Ustaw właściwość typu , aby określić typ obiektu.

W przypadkuFusion użyj:

{
  kind = "Fusion"
  properties = {
    alertRuleTemplateName = "string"
    enabled = bool
  }
}

W przypadku MicrosoftSecurityIncidentCreationużyj:

{
  kind = "MicrosoftSecurityIncidentCreation"
  properties = {
    alertRuleTemplateName = "string"
    description = "string"
    displayName = "string"
    displayNamesExcludeFilter = [
      "string"
    ]
    displayNamesFilter = [
      "string"
    ]
    enabled = bool
    productFilter = "string"
    severitiesFilter = [
      "string"
    ]
  }
}

W przypadku Zaplanowaneużyj:

{
  kind = "Scheduled"
  properties = {
    alertDetailsOverride = {
      alertDescriptionFormat = "string"
      alertDisplayNameFormat = "string"
      alertDynamicProperties = [
        {
          alertProperty = "string"
          value = "string"
        }
      ]
      alertSeverityColumnName = "string"
      alertTacticsColumnName = "string"
    }
    alertRuleTemplateName = "string"
    customDetails = {
      {customized property} = "string"
    }
    description = "string"
    displayName = "string"
    enabled = bool
    entityMappings = [
      {
        entityType = "string"
        fieldMappings = [
          {
            columnName = "string"
            identifier = "string"
          }
        ]
      }
    ]
    eventGroupingSettings = {
      aggregationKind = "string"
    }
    incidentConfiguration = {
      createIncident = bool
      groupingConfiguration = {
        enabled = bool
        groupByAlertDetails = [
          "string"
        ]
        groupByCustomDetails = [
          "string"
        ]
        groupByEntities = [
          "string"
        ]
        lookbackDuration = "string"
        matchingMethod = "string"
        reopenClosedIncident = bool
      }
    }
    query = "string"
    queryFrequency = "string"
    queryPeriod = "string"
    severity = "string"
    suppressionDuration = "string"
    suppressionEnabled = bool
    tactics = [
      "string"
    ]
    techniques = [
      "string"
    ]
    templateVersion = "string"
    triggerOperator = "string"
    triggerThreshold = int
  }
}

Wartości właściwości

Microsoft.SecurityInsights/alertRules

AlertDetailsOverride

Mapowanie właściwości alertów

MapowanieEntytetu

EventGroupingSettings

Mapowanie pól

Reguła FusionAlertRule

Właściwości FusionAlertRuleProperties

GrupowanieKonfiguracja

IncidentConfiguration (konfiguracja incydentu)

MicrosoftSecurityIncidentCreationAlertRule

MicrosoftSecurityIncidentCreationAlertRuleProperties

ScheduledAlertRule (Zaplanowana reguła alertu)

ScheduledAlertRuleCommonPropertiesCustomDetails

ScheduledAlertRuleProperties

Przykłady użycia

Przykłady programu Terraform

Podstawowy przykład wdrażania reguły alertu usługi Sentinel.

terraform {
  required_providers {
    azapi = {
      source = "Azure/azapi"
    }
  }
}

provider "azapi" {
  skip_provider_registration = false
}

variable "resource_name" {
  type    = string
  default = "acctest0001"
}

variable "location" {
  type    = string
  default = "westeurope"
}

resource "azapi_resource" "resourceGroup" {
  type     = "Microsoft.Resources/resourceGroups@2020-06-01"
  name     = var.resource_name
  location = var.location
}

resource "azapi_resource" "workspace" {
  type      = "Microsoft.OperationalInsights/workspaces@2022-10-01"
  parent_id = azapi_resource.resourceGroup.id
  name      = var.resource_name
  location  = var.location
  body = {
    properties = {
      features = {
        disableLocalAuth                            = false
        enableLogAccessUsingOnlyResourcePermissions = true
      }
      publicNetworkAccessForIngestion = "Enabled"
      publicNetworkAccessForQuery     = "Enabled"
      retentionInDays                 = 30
      sku = {
        name = "PerGB2018"
      }
      workspaceCapping = {
        dailyQuotaGb = -1
      }
    }
  }
  schema_validation_enabled = false
  response_export_values    = ["*"]
}

resource "azapi_resource" "onboardingState" {
  type      = "Microsoft.SecurityInsights/onboardingStates@2023-06-01-preview"
  parent_id = azapi_resource.workspace.id
  name      = "default"
  body = {
    properties = {
      customerManagedKey = false
    }
  }
}

resource "azapi_resource" "alertRule" {
  type      = "Microsoft.SecurityInsights/alertRules@2022-10-01-preview"
  parent_id = azapi_resource.workspace.id
  name      = var.resource_name
  body = {
    kind = "NRT"
    properties = {
      description         = ""
      displayName         = "Some Rule"
      enabled             = true
      query               = "AzureActivity |\n  where OperationName == \"Create or Update Virtual Machine\" or OperationName ==\"Create Deployment\" |\n  where ActivityStatus == \"Succeeded\" |\n  make-series dcount(ResourceId) default=0 on EventSubmissionTimestamp in range(ago(7d), now(), 1d) by Caller\n"
      severity            = "High"
      suppressionDuration = "PT5H"
      suppressionEnabled  = false
      tactics = [
      ]
      techniques = [
      ]
    }
  }
  schema_validation_enabled = false
  response_export_values    = ["*"]
  depends_on                = [azapi_resource.onboardingState]
}