Microsoft Graph 安全性 （已淘汰） [已淘汰]

結果代碼

訊息

結果子程式碼

傳回的TiIndicator數量

TiIndicator 傳回

獲取下一個結果的鏈接，以防結果多於請求

傳回的訂閱次數

傳回的訂閱實體

獲取下一個結果的鏈接，以防結果多於請求

傳回的警示數目

警示傳回

獲取下一個結果的鏈接，以防結果多於請求

結果代碼

訊息

結果子程式碼

提交的 TiIndicators

TiIndicators 更新

傳回的警示數目

警示傳回

獲取下一個結果的鏈接，以防結果多於請求

傳回的警示數目

警示傳回

獲取下一個結果的鏈接，以防結果多於請求

Azure 訂用帳戶識別碼，如果此警示與 Azure 資源相關，則會出現。

可套用至警示的使用者定義標籤，並可作為篩選條件 （例如「HVA」、「SAW」等）。

提供者產生的 GUID/唯一識別碼。

Microsoft Entra ID 租用戶識別碼。

此警示所歸因的活動群組 （攻擊者） 的名稱或別名。

警示指派給以進行分級、調查或補救的分析師名稱。

警示的類別 （例如 credentialTheft、勒索軟體等）。

警示關閉的時間 （UTC）。

客戶提供的警示註解 （用於客戶警示管理）。

偵測邏輯的信賴度 （介於 1-100 之間的百分比）。

建立警示的時間 （UTC）。

警示說明。

與此警示實體相關的警示集。

作為產生警示的觸發程序的事件發生的時間 （UTC）。

分析師對警報的反饋。 可能的值為：unknown、truePositive、falsePositive、benignPositive。

上次修改警示實體的時間 （UTC）。

廠商/提供者建議因警示而採取的動作 （例如隔離電腦、強制執行 2FA、重新映像主機等）。

警示嚴重性 - 由廠商/提供者設定。 值：（高、中、低、資訊性），其中「資訊性」推斷警示無法採取動作。

與警示相關的來源資料的超連結 （URI） ，例如提供者調查 UI 等。

警示生命週期狀態 （階段）。 值：（未知、newAlert、inProgress、已解決）。

警示標題。

特定供應商（產品/服務 - 非供應商公司）;例如，WindowsDefenderATP。

提供者或子提供者的版本。

特定子提供者（在彙總提供者下）;例如，WindowsDefenderATP.SmartScreen。

警示廠商的名稱 （例如，Microsoft、Dell、FireEye）。

提供者所產生的與此警示相關的雲端應用程式相關安全性相關可設定狀態資訊。

雲端應用程式/服務連線的目的地 IP 位址。

目的地雲端應用程式/服務名稱。

提供者產生/計算的雲端應用程式/服務風險評分。

提供者所產生的與此警示相關的檔案的安全性相關可設定狀態資訊。

檔案名稱（不含路徑）。

檔案/imageFile 的完整檔案路徑。

提供者產生/計算警示檔案的風險評分。

檔案雜湊類型。 可能的值為：unknown、sha1、sha256、md5、authenticodeHash256、lsHash、ctph、peSha1、peSha256。

檔案雜湊的值。

提供者所產生的與此警示相關的主機安全性相關具狀態資訊。

主機 FQDN（完整網域名稱）。

如果主機已加入 Microsoft Entra ID 網域服務，則為 True。

如果主機已向 Microsoft Entra ID 裝置註冊 （例如 BYOD） 註冊，則為 True - 未完全由企業管理。

如果主機已加入內部部署 Microsoft Entra ID 網域，則為 True。

沒有 DNS 域名的本地主機名。

主機作業系統。

警示發生時的私人 （不可路由） IPv4 或 IPv6 位址。

警示發生時可公開路由的 IPv4 或 IPv6 位址。

提供者產生/計算的主機風險評分。

提供者所產生的與此警示相關的惡意軟體相關安全性相關狀態資訊。

提供者產生的惡意軟體類別（例如特洛伊木馬、勒索軟體等）。

提供者產生的惡意軟體系列（例如「wannacry」、「notpetya」等）。

提供者產生的惡意軟體變體名稱 （例如 Trojan：Win32/Powessere.H）。

提供者決定此惡意軟體的嚴重性。

指出偵測到的檔案 （惡意軟體/弱點） 是在偵測時執行中，還是在磁碟上偵測到靜態。

提供者所產生的與此警示相關的檔案的安全性相關可設定狀態資訊。

管理網路連線的應用程式名稱（例如 Facebook、SMTP 等）。

網路連線的目的地 IP 位址。

目的地URL的目的地網域部分。（例如“www.contoso.com”）。

網路連線的目的地連接埠。

網路連線 URL/URI 字串 - 不包括參數。

網路連線方向。 可能的值為：unknown、inbound、outbound。

目的地網域的註冊日期 （UTC）。

主機本機 DNS 快取中顯示的本機 DNS 名稱解析 （例如，如果「主機」檔案被竄改）。

網路位址轉換目的地 IP 位址。

網路位址轉換目的地連接埠。

網路位址轉換來源 IP 位址。

網路位址轉換來源連接埠。

網路通訊協定。 可能的值為：unknown、ip、icmp、igmp、ggp、ipv4、tcp、pup、udp、idp、ipv6、ipv6RoutingHeader、ipv6FragmentHeader、ipSecEncapsulatingSecurityPayload、ipSecAuthenticationHeader、icmpV6、ipv6NoNextHeader、ipv6DestinationOptions、nd、raw、ipx、spx、spxII。

提供者產生/計算的網路連線風險評分。

網路連線的來源（即來源）IP 位址。

網路連線的來源（即來源）IP 連接埠。

網路連線狀態。 可能的值為：unknown、attempted、succeeded、blocked、failed。

目的地URL的引數（尾碼）為字串。

提供者所產生的有關與此警示相關的一或多個程序的安全性相關可狀態資訊。

使用者帳戶識別碼 （程式執行的使用者帳戶內容） ，例如 AccountName、SID 等。

包含所有參數的完整程序呼叫命令列。

啟動父進程的日期時間 （UTC）。

流程的完整性等級。 可能的值為：unknown、untrusted、low、medium、high、system。

如果進程已提高許可權，則為 True。

程序影像檔案的名稱。

程序開始的時間 （UTC）。

父進程的進程識別碼 （PID）。

父進程的映像檔名稱。

完整路徑，包括檔案名稱。

進程的進程識別碼 （PID）。

檔案雜湊類型。 可能的值為：unknown、sha1、sha256、md5、authenticodeHash256、lsHash、ctph、peSha1、peSha256。

檔案雜湊的值。

提供者所產生的與此警示相關的登錄機碼相關安全性相關具狀態資訊。

修改登錄機碼之進程的進程識別碼 （PID） （進程詳細資料會出現在警示 「進程」集合中） 。

變更登錄機碼名稱和/或值的作業 （新增、修改、刪除）。

登錄機碼值類型。 可能的值為：unknown、binary、dword、dwordLittleEndian、dwordBigEndian、expandSz、link、multiSz、none、qword、qwordlittleEndian、sz。

Windows 登錄配置區。 可能的值為：unknown、currentConfig、currentUser、localMachineSam、localMachineSamSoftware、localMachineSystem、usersDefault。

目前 （即已變更） 註冊機碼 （不包括 HIVE）。

目前 （亦即已變更） 登錄機碼值名稱。

目前 （亦即已變更） 登錄機碼值資料 （內容）。

先前 （即變更之前） 登錄機碼 （不包括 HIVE）。

先前 （亦即變更之前） 登錄機碼值名稱。

先前 （亦即變更之前） 登錄機碼值資料 （內容） 。

觸發警示之特定屬性的安全性相關資訊 （警示中顯示的屬性）。 警示可能包含多個使用者、主機、檔案、IP 位址的相關資訊。 此欄位指出哪些屬性觸發了警示產生。

做為偵測觸發程式的屬性名稱。

鍵：值對中用於解釋的屬性類型，例如 String、Boolean 等。

作為偵測觸發程式的屬性值。

提供者所產生的有關登入使用者或與此警示相關的使用者的安全性相關狀態資訊。

Microsoft Entra ID 使用者物件識別碼 （GUID） - 代表實體/多帳戶使用者實體。

使用者帳戶的帳戶名稱 （不含 Microsoft Entra ID 網域或 DNS 網域） - （也稱為 「mailNickName」）。

NetBIOS/Microsoft Entra ID 使用者帳戶的網域 （也就是網域\帳戶格式） 。

對於電子郵件相關警示 - 使用者帳戶電子郵件角色。

指出使用者是否透過 VPN 登入。

登入發生的時間 （UTC）。

使用者登入 ID。

登入要求的 IP 位址。

與此使用者與使用者登入事件相關聯的位置 （依 IP 位址對應）。

使用者登入的方法。 可能的值為：unknown、interactive、remoteInteractive、network、batch、service。

使用者的 Microsoft Entra ID （內部部署） 安全性識別碼 （SID）。

提供者產生/計算的使用者帳戶風險評分。

使用者帳戶類型 （群組成員資格） ，每個 Windows 定義。 可能的值為：unknown、standard、power、administrator。

使用者登入名稱 - 網際網路格式： <使用者帳戶名稱>@<使用者帳戶 DNS 網域名稱>。

與此警示相關的一或多個弱點相關的威脅情報。

弱點的常見弱點和暴露 （CVE）。

指出偵測到的弱點 （檔案） 是在偵測時執行，還是在磁碟上偵測到靜態檔案。

此弱點的基本常見弱點評分系統 （CVSS） 嚴重性評分。

訂用帳戶的唯一識別碼。

指定將監視變更的資源。

用來建立訂用帳戶之應用程式識別碼。

指出訂閱資源中將引發通知的變更類型。

指定服務在每個通知中傳送的 clientState 屬性值。 長度上限為 128 個字元。 用戶端可以比較隨訂用帳戶傳送的 clientState 屬性值，與每個通知所收到的 clientState 屬性值進行比較，以檢查通知是否來自服務。

將接收通知的端點 URL。 此 URL 必須使用 HTTPS 通訊協定。

指定 Webhook 訂閱到期的日期和時間 （UTC）。

建立訂用帳戶之使用者或服務主體的識別碼。 如果應用程式使用委派的許可權來建立訂用帳戶，則此欄位會包含應用程式代表呼叫之登入使用者的識別碼。 如果應用程式使用應用程式權限，則此欄位會包含對應至應用程式之服務主體識別碼。

如果指標符合 targetProduct 安全工具內，則要套用的動作。 值：（未知、允許、封鎖、警示）。

負責威脅指標所涵蓋惡意活動之各方的網路威脅情報名稱。

可以放置其他 tiIndicator 屬性未涵蓋的指標中的額外資料

提交用戶端的 Microsoft Entra ID 租用戶識別碼。

偵測邏輯的信賴度 （介於 0-100 之間的百分比）。

TiIndicator 描述（100 個字符或更少）。

此指標所在的鑽石模型區域。 值：（未知、對手、能力、基礎結構、受害者）。

指標到期的時間 （UTC）。

將指標綁定回指標提供者系統的識別號（例如外鍵）。

由系統在擷取指標時建立。 產生的 GUID/唯一識別碼。

擷取指標的時間（UTC）。

依預設，提交的任何指標都會設定為作用中。 不過，提供者可以提交將此設定為「False」的現有指標，以停用系統中的指標。

字串，描述此指標針對殺傷鏈上的一個或多個點。 值：（行動、C2、交付、利用、安裝、偵察、武器化）。

指標可能導致誤報的情況。

上次看到該指標的時間（UTC）。

與指標相關聯的惡意軟體系列名稱 （如果存在）。

決定指示器是否應該觸發一般使用者可見的事件。

指標內資料所識別的惡意行為的嚴重性。 值介於 0 – 5 之間，其中 5 表示最嚴重。 預設值為 3。

應套用該指標的單一證券產品。 可接受的值為：Azure Sentinel、Microsoft Defender ATP。

每個指標都必須具有有效的指標威脅類型。 可能的值為：殭屍網路、C2、CryptoMining、暗網、DDoS、MaliciousUrl、惡意軟體、網路釣魚、代理、PUA、監視清單。

指標的交通燈通訊協定值。 可能的值為：未知、白色、綠色、琥珀色、紅色。

電子郵件中使用的文字編碼型別。

電子郵件的語言。

收件者電子郵件地址。

攻擊者|受害者的電子郵件地址。

顯示攻擊者|受害者的姓名。

電子郵件中使用的網域。

電子郵件的來源 IP 位址。

電子郵件的主旨行。

電子郵件中使用的 X-Mailer 值。

編譯檔案時的 DateTime。

建立檔案時的日期時間。

儲存在 fileHashValue 中的雜湊類型。 可能的值為：unknown、sha1、sha256、md5、authenticodeHash256、lsHash、ctph。

檔案哈希值。

檔案型偵測中使用的 Mutex 名稱。

如果指示器是檔案型，則檔案名稱。

用於構建相關文件的打包程序。

指出入侵的檔案路徑。 可能是 Windows 或 *nix 樣式路徑。

以位元組為單位的檔案大小。

檔案類型的文字描述。 例如，“Word 文檔”或“二進制”。

與此指標相關聯的網域名稱。

CIDR 此指標中引用的網路的區塊表示法。

指標中參考之網路的目的地自治系統識別碼。

CIDR 此指標中目的地網路的區塊表示法。

IPv4 IP 位址目的地。

IPv6 IP 位址目的地。

TCP 連接埠目的地。

IPv4 IP 位址。

IPv6 IP 位址。

TCP 連接埠。

IPv4 標頭中通訊協定欄位的十進位表示法。

指標中參考之網路的來源自治系統識別碼。

CIDR 此指標中來源網路的區塊表示法。

IPv4 IP 位址來源。

IPv6 IP 位址來源。

TCP 連接埠來源。

統一資源定位器。

User-Agent 可能表示入侵的 Web 請求中的字串。