Microsoft.SecurityInsights alertRules

  • مقالة

تعريف مورد Bicep

نوع مورد alertRules هو مورد ملحق، ما يعني أنه يمكنك تطبيقه على مورد آخر.

استخدم الخاصية scope على هذا المورد لتعيين نطاق هذا المورد. راجع تعيين نطاق على موارد الملحق في Bicep.

للحصول على قائمة بالخصائص التي تم تغييرها في كل إصدار من إصدارات واجهة برمجة التطبيقات، راجع سجل التغيير.

تنسيق المورد

لإنشاء مورد Microsoft.SecurityInsights/alertRules، أضف Bicep التالي إلى القالب الخاص بك.

resource symbolicname 'Microsoft.SecurityInsights/alertRules@2023-02-01-preview' = {
  name: 'string'
  kind: 'string'
  scope: resourceSymbolicName
  etag: 'string'
  // For remaining properties, see alertRules objects
}

كائنات alertRules

قم بتعيين خاصية النوع لتحديد نوع العنصر.

بالنسبة إلى Fusion، استخدم:

  kind: 'Fusion'
  properties: {
    alertRuleTemplateName: 'string'
    enabled: bool
    scenarioExclusionPatterns: [
      {
        dateAddedInUTC: 'string'
        exclusionPattern: 'string'
      }
    ]
    sourceSettings: [
      {
        enabled: bool
        sourceName: 'string'
        sourceSubTypes: [
          {
            enabled: bool
            severityFilters: {
              filters: [
                {
                  enabled: bool
                  severity: 'string'
                }
              ]
            }
            sourceSubTypeName: 'string'
          }
        ]
      }
    ]
  }

بالنسبة إلى MicrosoftSecurityIncidentCreation، استخدم:

  kind: 'MicrosoftSecurityIncidentCreation'
  properties: {
    alertRuleTemplateName: 'string'
    description: 'string'
    displayName: 'string'
    displayNamesExcludeFilter: [
      'string'
    ]
    displayNamesFilter: [
      'string'
    ]
    enabled: bool
    productFilter: 'string'
    severitiesFilter: [
      'string'
    ]
  }

بالنسبة إلى MLBehaviorAnalytics، استخدم:

  kind: 'MLBehaviorAnalytics'
  properties: {
    alertRuleTemplateName: 'string'
    enabled: bool
  }

بالنسبة إلى NRT، استخدم:

  kind: 'NRT'
  properties: {
    alertDetailsOverride: {
      alertDescriptionFormat: 'string'
      alertDisplayNameFormat: 'string'
      alertDynamicProperties: [
        {
          alertProperty: 'string'
          value: 'string'
        }
      ]
      alertSeverityColumnName: 'string'
      alertTacticsColumnName: 'string'
    }
    alertRuleTemplateName: 'string'
    customDetails: {}
    description: 'string'
    displayName: 'string'
    enabled: bool
    entityMappings: [
      {
        entityType: 'string'
        fieldMappings: [
          {
            columnName: 'string'
            identifier: 'string'
          }
        ]
      }
    ]
    eventGroupingSettings: {
      aggregationKind: 'string'
    }
    incidentConfiguration: {
      createIncident: bool
      groupingConfiguration: {
        enabled: bool
        groupByAlertDetails: [
          'string'
        ]
        groupByCustomDetails: [
          'string'
        ]
        groupByEntities: [
          'string'
        ]
        lookbackDuration: 'string'
        matchingMethod: 'string'
        reopenClosedIncident: bool
      }
    }
    query: 'string'
    sentinelEntitiesMappings: [
      {
        columnName: 'string'
      }
    ]
    severity: 'string'
    suppressionDuration: 'string'
    suppressionEnabled: bool
    tactics: [
      'string'
    ]
    techniques: [
      'string'
    ]
    templateVersion: 'string'
  }

بالنسبة للمجدول، استخدم:

  kind: 'Scheduled'
  properties: {
    alertDetailsOverride: {
      alertDescriptionFormat: 'string'
      alertDisplayNameFormat: 'string'
      alertDynamicProperties: [
        {
          alertProperty: 'string'
          value: 'string'
        }
      ]
      alertSeverityColumnName: 'string'
      alertTacticsColumnName: 'string'
    }
    alertRuleTemplateName: 'string'
    customDetails: {}
    description: 'string'
    displayName: 'string'
    enabled: bool
    entityMappings: [
      {
        entityType: 'string'
        fieldMappings: [
          {
            columnName: 'string'
            identifier: 'string'
          }
        ]
      }
    ]
    eventGroupingSettings: {
      aggregationKind: 'string'
    }
    incidentConfiguration: {
      createIncident: bool
      groupingConfiguration: {
        enabled: bool
        groupByAlertDetails: [
          'string'
        ]
        groupByCustomDetails: [
          'string'
        ]
        groupByEntities: [
          'string'
        ]
        lookbackDuration: 'string'
        matchingMethod: 'string'
        reopenClosedIncident: bool
      }
    }
    query: 'string'
    queryFrequency: 'string'
    queryPeriod: 'string'
    sentinelEntitiesMappings: [
      {
        columnName: 'string'
      }
    ]
    severity: 'string'
    suppressionDuration: 'string'
    suppressionEnabled: bool
    tactics: [
      'string'
    ]
    techniques: [
      'string'
    ]
    templateVersion: 'string'
    triggerOperator: 'string'
    triggerThreshold: int
  }

بالنسبة إلى ThreatIntelligence، استخدم:

  kind: 'ThreatIntelligence'
  properties: {
    alertRuleTemplateName: 'string'
    enabled: bool
  }

قيم Property

قواعد التنبيه

الاسم الوصف القيمة
الاسم اسم المورد سلسلة (مطلوب)
نوع تعيين نوع العنصر اندماج
MicrosoftSecurityIncidentCreation
تحليلات MLBehavior
NRT
مجدولة
ThreatIntelligence (مطلوب)
النطاق استخدم عند إنشاء مورد ملحق في نطاق مختلف عن نطاق التوزيع. المورد المستهدف

بالنسبة إلى Bicep، قم بتعيين هذه الخاصية إلى الاسم الرمزي للمورد لتطبيق مورد الملحق.
etag Etag لمورد Azure سلسلة

FusionAlertRule

الاسم الوصف القيمة
نوع نوع قاعدة التنبيه 'Fusion' (مطلوب)
خصائص خصائص قاعدة تنبيه الاندماج FusionAlertRuleProperties

FusionAlertRuleProperties

الاسم الوصف القيمة
alertRuleTemplateName اسم قالب قاعدة التنبيه المستخدم لإنشاء هذه القاعدة. سلسلة (مطلوب)
ممكّن تحديد ما إذا كانت قاعدة التنبيه هذه ممكنة أو معطلة. bool (مطلوب)
scenarioExclusionPatterns التكوين لاستبعاد السيناريوهات في الكشف عن الاندماج. FusionScenarioExclusionPattern[]
إعدادات المصدر تكوين جميع إشارات المصدر المدعومة في الكشف عن الاندماج. FusionSourceSettings[]

FusionScenarioExclusionPattern

الاسم الوصف القيمة
التاريخ المضافInUTC DateTime عند إضافة نمط استبعاد السيناريو في التوقيت العالمي المتفق عليه. سلسلة (مطلوب)
exclusionPattern نمط استبعاد السيناريو. سلسلة (مطلوب)

FusionSourceSettings

الاسم الوصف القيمة
ممكّن تحديد ما إذا كانت هذه الإشارة المصدر ممكنة أو معطلة في الكشف عن الاندماج. bool (مطلوب)
sourceName اسم إشارة مصدر Fusion. راجع قالب قاعدة تنبيه Fusion للقيم المدعومة. سلسلة (مطلوب)
sourceSubTypes تكوين جميع الأنواع الفرعية المصدر ضمن إشارة المصدر هذه المستهلكة في الكشف عن الاندماج. FusionSourceSubTypeSetting[]

FusionSourceSubTypeSetting

الاسم الوصف القيمة
ممكّن تحديد ما إذا كان هذا النوع الفرعي المصدر ضمن إشارة المصدر ممكنا أو معطلا في الكشف عن الاندماج. bool (مطلوب)
عوامل الخطورة تكوين الخطورة للنوع الفرعي المصدر المستهلك في الكشف عن الاندماج. FusionSubTypeSeverityFilter (مطلوب)
sourceSubTypeName اسم النوع الفرعي المصدر ضمن إشارة مصدر معينة في Fusion detection. راجع قالب قاعدة تنبيه Fusion للقيم المدعومة. سلسلة (مطلوب)

FusionSubTypeSeverityFilter

الاسم الوصف القيمة
التصفيات إعدادات تكوين الخطورة الفردية للنوع الفرعي المصدر المحدد المستهلكة في الكشف عن الاندماج. FusionSubTypeSeverityFiltersItem[]

FusionSubTypeSeverityFiltersItem

الاسم الوصف القيمة
ممكّن يحدد ما إذا كانت هذه الخطورة ممكنة أو معطلة لهذا النوع الفرعي المصدر المستهلك في الكشف عن الاندماج. bool (مطلوب)
الخطورة الخطورة للنوع الفرعي لمصدر معين المستهلكة في الكشف عن الاندماج. "مرتفع"
"إعلامي"
"منخفض"
"متوسط" (مطلوب)

MicrosoftSecurityIncidentCreationAlertRule

الاسم الوصف القيمة
نوع نوع قاعدة التنبيه 'MicrosoftSecurityIncidentCreation' (مطلوب)
خصائص خصائص قاعدة MicrosoftSecurityIncidentCreation MicrosoftSecurityIncidentCreationAlertRuleProperties

MicrosoftSecurityIncidentCreationAlertRuleProperties

الاسم الوصف القيمة
alertRuleTemplateName اسم قالب قاعدة التنبيه المستخدم لإنشاء هذه القاعدة. سلسلة
الوصف وصف قاعدة التنبيه. سلسلة
اسم المستخدم اسم العرض للتنبيهات التي تم إنشاؤها بواسطة قاعدة التنبيه هذه. سلسلة (مطلوب)
displayNamesExcludeFilter أسماء عرض التنبيهات التي لن يتم إنشاء الحالات عليها سلسلة []
displayNamesFilter أسماء عرض التنبيهات التي سيتم إنشاء الحالات عليها سلسلة []
ممكّن تحديد ما إذا كانت قاعدة التنبيه هذه ممكنة أو معطلة. bool (مطلوب)
productFilter اسم منتج التنبيهات الذي سيتم إنشاء الحالات عليه "Azure Active Directory Identity Protection"
"الحماية المتقدمة من التهديدات في Azure"
"مركز أمان Azure ل IoT"
"مركز أمان Azure"
'Microsoft أمان التطبيقات على السحابة'
"Microsoft Defender الحماية المتقدمة من التهديدات"
"Office 365 الحماية المتقدمة من التهديدات" (مطلوب)
الخطورةFilter خطورة التنبيهات التي سيتم إنشاء الحالات عليها صفيف سلسلة يحتوي على أي من:
"مرتفع"
"إعلامي"
"منخفض"
"متوسط"

MLBehaviorAnalyticsAlertRule

الاسم الوصف القيمة
نوع نوع قاعدة التنبيه 'MLBehaviorAnalytics' (مطلوب)
خصائص خصائص قاعدة تنبيه MLBehaviorAnalytics MLBehaviorAnalyticsAlertRuleProperties

MLBehaviorAnalyticsAlertRuleProperties

الاسم الوصف القيمة
alertRuleTemplateName اسم قالب قاعدة التنبيه المستخدم لإنشاء هذه القاعدة. سلسلة (مطلوبة)
ممكّن تحديد ما إذا كانت قاعدة التنبيه هذه ممكنة أو معطلة. bool (مطلوب)

NrtAlertRule

الاسم الوصف القيمة
نوع نوع قاعدة التنبيه 'NRT' (مطلوب)
خصائص خصائص قاعدة تنبيه NRT NrtAlertRuleProperties

NrtAlertRuleProperties

الاسم الوصف القيمة
alertDetailsOverride تجاوز إعدادات تفاصيل التنبيه AlertDetailsOverride
alertRuleTemplateName اسم قالب قاعدة التنبيه المستخدم لإنشاء هذه القاعدة. سلسلة
علامات تعريف مخصصة قاموس أزواج قيم مفاتيح السلسلة من الأعمدة التي سيتم إرفاقها بالتنبيه عنصر
الوصف وصف قاعدة التنبيه. سلسلة
اسم المستخدم اسم العرض للتنبيهات التي تم إنشاؤها بواسطة قاعدة التنبيه هذه. سلسلة (مطلوبة)
ممكّن تحديد ما إذا كانت قاعدة التنبيه هذه ممكنة أو معطلة. bool (مطلوب)
تعيينات الكيان صفيف تعيينات الكيان لقاعدة التنبيه EntityMapping[]
eventGroupingSettings إعدادات تجميع الأحداث. إعدادات تجميع الأحداث
تكوين الحدث إعدادات الحوادث التي تم إنشاؤها من التنبيهات التي تم تشغيلها بواسطة قاعدة التحليلات هذه تكوين الحدث
استعلام الاستعلام الذي ينشئ تنبيهات لهذه القاعدة. سلسلة (مطلوبة)
sentinelEntitiesMappings صفيف تعيينات كيان sentinel لقاعدة التنبيه SentinelEntityMapping[]
الخطورة خطورة التنبيهات التي تم إنشاؤها بواسطة قاعدة التنبيه هذه. "مرتفع"
"إعلامي"
"منخفض"
'متوسط' (مطلوب)
منعDuration المنع (بتنسيق مدة ISO 8601) للانتظار منذ آخر مرة تم فيها تشغيل قاعدة التنبيه هذه. سلسلة (مطلوبة)
suppressionEnabled تحديد ما إذا كان منع قاعدة التنبيه هذه ممكنا أو معطلا. bool (مطلوب)
التكتيكات تكتيكات قاعدة التنبيه صفيف سلسلة يحتوي على أي من:
"المجموعة"
'CommandAndControl'
'CredentialAccess'
"التهرب الدفاعي"
"الاكتشاف"
"التنفيذ"
"النقل غير المصرح به"
"التأثير"
'إعاقة العمليةالاختبار'
'InhibitResponseFunction'
'InitialAccess'
'LateralMovement'
"استمرارية"
"PreAttack"
'PrivilegeEscalation'
"الاستكشاف"
"تطوير الموارد"
تقنيات تقنيات قاعدة التنبيه سلسلة []
templateVersion إصدار قالب قاعدة التنبيه المستخدم لإنشاء هذه القاعدة - بالتنسيق {a.b.c}، حيث تكون جميع الأرقام، على سبيل المثال 0 {1.0.2} سلسلة

AlertDetailsOverride

الاسم الوصف القيمة
alertDescriptionFormat التنسيق الذي يحتوي على اسم (أسماء) الأعمدة لتجاوز وصف التنبيه سلسلة
alertDisplayNameFormat التنسيق الذي يحتوي على اسم (أسماء) الأعمدة لتجاوز اسم التنبيه سلسلة
alertDynamicProperties قائمة بالخصائص الديناميكية الإضافية التي يجب تجاوزها AlertPropertyMapping[]
alertSeverityColumnName اسم العمود الذي يجب أخذ خطورة التنبيه منه سلسلة
alertTacticsColumnName اسم العمود الذي يجب أخذ تكتيكات التنبيه منه سلسلة

AlertPropertyMapping

الاسم الوصف القيمة
alertProperty خاصية تنبيه V3 "ارتباط التنبيه"
"مستوى الثقة"
'ConfidenceScore'
"الارتباطات الموسعة"
"ProductComponentName"
"ProductName"
"اسم الموفر"
'RemediationSteps'
"التقنيات"
القيمة اسم العمود المراد استخدامه لتجاوز هذه الخاصية سلسلة

تعيين الكيان

الاسم الوصف القيمة
entityType نوع V3 للكيان المعين "الحساب"
"AzureResource"
'CloudApplication'
"DNS"
"ملف"
'FileHash'
"المضيف"
"IP"
"MailCluster"
"MailMessage"
"علبة البريد"
"البرامج الضارة"
"عملية"
'RegistryKey'
'RegistryValue'
"مجموعة الأمان"
'SubmissionMail'
'URL'
تعيينات الحقول صفيف تعيينات الحقول لتعيين الكيان المحدد FieldMapping[]

تعيين الحقل

الاسم الوصف القيمة
اسم العمود اسم العمود المراد تعيينه إلى المعرف سلسلة
‏‏محدد معرف V3 للكيان سلسلة

إعدادات تجميع الأحداث

الاسم الوصف القيمة
تجميعKind أنواع تجميع الأحداث "AlertPerResult"
"SingleAlert"

تكوين الحدث

الاسم الوصف القيمة
createIncident إنشاء حوادث من التنبيهات التي تم تشغيلها بواسطة قاعدة التحليلات هذه bool (مطلوب)
تكوين التجميع تعيين كيفية تجميع التنبيهات التي يتم تشغيلها بواسطة قاعدة التحليلات هذه في حوادث تكوين المجموعة

تكوين المجموعة

الاسم الوصف القيمة
ممكّن تمكين التجميع bool (مطلوب)
groupByAlertDetails قائمة بتفاصيل التنبيه المراد تجميعها حسب (عند تحديد matchingMethod) صفيف سلسلة يحتوي على أي من:
'DisplayName'
"الخطورة"
groupByCustomDetails قائمة بمفاتيح التفاصيل المخصصة لتجميعها حسب (عند تحديد matchingMethod). يمكن استخدام المفاتيح المحددة في قاعدة التنبيه الحالية فقط. سلسلة []
groupByEntities قائمة أنواع الكيانات المراد تجميعها حسب (عند تحديد matchingMethod). يمكن استخدام الكيانات المحددة في قاعدة التنبيه الحالية فقط. صفيف سلسلة يحتوي على أي من:
"الحساب"
"AzureResource"
'CloudApplication'
"DNS"
"ملف"
'FileHash'
"المضيف"
"IP"
"MailCluster"
"MailMessage"
"علبة البريد"
"البرامج الضارة"
"عملية"
'RegistryKey'
'RegistryValue'
"مجموعة الأمان"
'SubmissionMail'
'URL'
إعادة النظر عن المدة قصر المجموعة على التنبيهات التي تم إنشاؤها ضمن مدة البحث (بتنسيق مدة ISO 8601) سلسلة (مطلوبة)
مطابقة القياس طريقة مطابقة التجميع. عندما يتم تحديد أسلوب واحد على الأقل من groupByEntities، groupByAlertDetails، يجب توفير groupByCustomDetails وليس فارغا. "كافة الكيانات"
"AnyAlert"
"محدد" (مطلوب)
إعادة فتحClosedIncident إعادة فتح حوادث المطابقة المغلقة bool (مطلوب)

SentinelEntityMapping

الاسم الوصف القيمة
اسم العمود اسم العمود الذي سيتم تعيينه إلى SentinelEntities سلسلة

ScheduledAlertRule

الاسم الوصف القيمة
نوع نوع قاعدة التنبيه "مجدول" (مطلوب)
خصائص خصائص قاعدة التنبيه المجدولة ScheduledAlertRuleProperties

ScheduledAlertRuleProperties

الاسم الوصف القيمة
alertDetailsOverride تجاوز إعدادات تفاصيل التنبيه AlertDetailsOverride
alertRuleTemplateName اسم قالب قاعدة التنبيه المستخدم لإنشاء هذه القاعدة. سلسلة
علامات تعريف مخصصة قاموس أزواج قيم مفاتيح السلسلة من الأعمدة التي سيتم إرفاقها بالتنبيه عنصر
الوصف وصف قاعدة التنبيه. سلسلة
اسم المستخدم اسم العرض للتنبيهات التي تم إنشاؤها بواسطة قاعدة التنبيه هذه. سلسلة (مطلوبة)
ممكّن تحديد ما إذا كانت قاعدة التنبيه هذه ممكنة أو معطلة. bool (مطلوب)
تعيينات الكيان صفيف تعيينات الكيان لقاعدة التنبيه EntityMapping[]
eventGroupingSettings إعدادات تجميع الأحداث. إعدادات تجميع الأحداث
تكوين الحدث إعدادات الحوادث التي تم إنشاؤها من التنبيهات التي تم تشغيلها بواسطة قاعدة التحليلات هذه تكوين الحدث
استعلام الاستعلام الذي ينشئ تنبيهات لهذه القاعدة. سلسلة
عدد الاستعلامات التردد (بتنسيق مدة ISO 8601) لتشغيل قاعدة التنبيه هذه. سلسلة
queryPeriod الفترة (بتنسيق المدة ISO 8601) التي تبحث فيها قاعدة التنبيه هذه. سلسلة
sentinelEntitiesMappings صفيف تعيينات كيان sentinel لقاعدة التنبيه SentinelEntityMapping[]
الخطورة خطورة التنبيهات التي تم إنشاؤها بواسطة قاعدة التنبيه هذه. "مرتفع"
"إعلامي"
"منخفض"
"متوسط"
منعDuration المنع (بتنسيق مدة ISO 8601) للانتظار منذ آخر مرة تم فيها تشغيل قاعدة التنبيه هذه. سلسلة (مطلوبة)
suppressionEnabled تحديد ما إذا كان منع قاعدة التنبيه هذه ممكنا أو معطلا. bool (مطلوب)
التكتيكات تكتيكات قاعدة التنبيه صفيف سلسلة يحتوي على أي من:
"المجموعة"
'CommandAndControl'
'CredentialAccess'
"التهرب الدفاعي"
"الاكتشاف"
"التنفيذ"
"النقل غير المصرح به"
"التأثير"
'إعاقة العمليةالاختبار'
'InhibitResponseFunction'
'InitialAccess'
'LateralMovement'
"استمرارية"
"PreAttack"
'PrivilegeEscalation'
"الاستكشاف"
"تطوير الموارد"
تقنيات تقنيات قاعدة التنبيه سلسلة []
templateVersion إصدار قالب قاعدة التنبيه المستخدم لإنشاء هذه القاعدة - بالتنسيق {a.b.c}، حيث تكون جميع الأرقام، على سبيل المثال 0 {1.0.2} سلسلة
triggerOperator العملية مقابل الحد الذي يقوم بتشغيل قاعدة التنبيه. 'يساوي'
'أكبر ثان'
"أقل ثان"
'NotEqual'
triggerThreshold يؤدي الحد إلى تشغيل قاعدة التنبيه هذه. int

ThreatIntelligenceAlertRule

الاسم الوصف القيمة
نوع نوع قاعدة التنبيه 'ThreatIntelligence' (مطلوب)
خصائص خصائص قاعدة تنبيه التحليل الذكي للمخاطر ThreatIntelligenceAlertRuleProperties

ThreatIntelligenceAlertRuleProperties

الاسم الوصف القيمة
alertRuleTemplateName اسم قالب قاعدة التنبيه المستخدم لإنشاء هذه القاعدة. سلسلة (مطلوبة)
ممكّن تحديد ما إذا كانت قاعدة التنبيه هذه ممكنة أو معطلة. bool (مطلوب)

قوالب التشغيل السريع

تنشر قوالب التشغيل السريع التالية نوع المورد هذا.

قالب الوصف
إنشاء قاعدة تحليلات مجدولة جديدة ل Microsoft Sentinel

نشر في Azure		 يوضح هذا النموذج كيفية إنشاء قاعدة تحليلات مجدولة جديدة في Microsoft Sentinel

تعريف مورد قالب ARM

نوع مورد alertRules هو مورد ملحق، ما يعني أنه يمكنك تطبيقه على مورد آخر.

استخدم الخاصية على scope هذا المورد لتعيين نطاق هذا المورد. راجع تعيين نطاق على موارد الملحق في قوالب ARM.

للحصول على قائمة بالخصائص التي تم تغييرها في كل إصدار من إصدارات واجهة برمجة التطبيقات، راجع سجل التغيير.

تنسيق المورد

لإنشاء مورد Microsoft.SecurityInsights/alertRules، أضف JSON التالي إلى القالب الخاص بك.

{
  "type": "Microsoft.SecurityInsights/alertRules",
  "apiVersion": "2023-02-01-preview",
  "name": "string",
  "kind": "string",
  "scope": "string",
  "etag": "string",
  // For remaining properties, see alertRules objects
}

كائنات alertRules

قم بتعيين خاصية النوع لتحديد نوع العنصر.

بالنسبة إلى Fusion، استخدم:

  "kind": "Fusion",
  "properties": {
    "alertRuleTemplateName": "string",
    "enabled": "bool",
    "scenarioExclusionPatterns": [
      {
        "dateAddedInUTC": "string",
        "exclusionPattern": "string"
      }
    ],
    "sourceSettings": [
      {
        "enabled": "bool",
        "sourceName": "string",
        "sourceSubTypes": [
          {
            "enabled": "bool",
            "severityFilters": {
              "filters": [
                {
                  "enabled": "bool",
                  "severity": "string"
                }
              ]
            },
            "sourceSubTypeName": "string"
          }
        ]
      }
    ]
  }

بالنسبة إلى MicrosoftSecurityIncidentCreation، استخدم:

  "kind": "MicrosoftSecurityIncidentCreation",
  "properties": {
    "alertRuleTemplateName": "string",
    "description": "string",
    "displayName": "string",
    "displayNamesExcludeFilter": [ "string" ],
    "displayNamesFilter": [ "string" ],
    "enabled": "bool",
    "productFilter": "string",
    "severitiesFilter": [ "string" ]
  }

بالنسبة إلى MLBehaviorAnalytics، استخدم:

  "kind": "MLBehaviorAnalytics",
  "properties": {
    "alertRuleTemplateName": "string",
    "enabled": "bool"
  }

بالنسبة إلى NRT، استخدم:

  "kind": "NRT",
  "properties": {
    "alertDetailsOverride": {
      "alertDescriptionFormat": "string",
      "alertDisplayNameFormat": "string",
      "alertDynamicProperties": [
        {
          "alertProperty": "string",
          "value": "string"
        }
      ],
      "alertSeverityColumnName": "string",
      "alertTacticsColumnName": "string"
    },
    "alertRuleTemplateName": "string",
    "customDetails": {},
    "description": "string",
    "displayName": "string",
    "enabled": "bool",
    "entityMappings": [
      {
        "entityType": "string",
        "fieldMappings": [
          {
            "columnName": "string",
            "identifier": "string"
          }
        ]
      }
    ],
    "eventGroupingSettings": {
      "aggregationKind": "string"
    },
    "incidentConfiguration": {
      "createIncident": "bool",
      "groupingConfiguration": {
        "enabled": "bool",
        "groupByAlertDetails": [ "string" ],
        "groupByCustomDetails": [ "string" ],
        "groupByEntities": [ "string" ],
        "lookbackDuration": "string",
        "matchingMethod": "string",
        "reopenClosedIncident": "bool"
      }
    },
    "query": "string",
    "sentinelEntitiesMappings": [
      {
        "columnName": "string"
      }
    ],
    "severity": "string",
    "suppressionDuration": "string",
    "suppressionEnabled": "bool",
    "tactics": [ "string" ],
    "techniques": [ "string" ],
    "templateVersion": "string"
  }

بالنسبة للمجدول، استخدم:

  "kind": "Scheduled",
  "properties": {
    "alertDetailsOverride": {
      "alertDescriptionFormat": "string",
      "alertDisplayNameFormat": "string",
      "alertDynamicProperties": [
        {
          "alertProperty": "string",
          "value": "string"
        }
      ],
      "alertSeverityColumnName": "string",
      "alertTacticsColumnName": "string"
    },
    "alertRuleTemplateName": "string",
    "customDetails": {},
    "description": "string",
    "displayName": "string",
    "enabled": "bool",
    "entityMappings": [
      {
        "entityType": "string",
        "fieldMappings": [
          {
            "columnName": "string",
            "identifier": "string"
          }
        ]
      }
    ],
    "eventGroupingSettings": {
      "aggregationKind": "string"
    },
    "incidentConfiguration": {
      "createIncident": "bool",
      "groupingConfiguration": {
        "enabled": "bool",
        "groupByAlertDetails": [ "string" ],
        "groupByCustomDetails": [ "string" ],
        "groupByEntities": [ "string" ],
        "lookbackDuration": "string",
        "matchingMethod": "string",
        "reopenClosedIncident": "bool"
      }
    },
    "query": "string",
    "queryFrequency": "string",
    "queryPeriod": "string",
    "sentinelEntitiesMappings": [
      {
        "columnName": "string"
      }
    ],
    "severity": "string",
    "suppressionDuration": "string",
    "suppressionEnabled": "bool",
    "tactics": [ "string" ],
    "techniques": [ "string" ],
    "templateVersion": "string",
    "triggerOperator": "string",
    "triggerThreshold": "int"
  }

بالنسبة إلى ThreatIntelligence، استخدم:

  "kind": "ThreatIntelligence",
  "properties": {
    "alertRuleTemplateName": "string",
    "enabled": "bool"
  }

قيم Property

قواعد التنبيه

الاسم الوصف القيمة
النوع نوع المورد 'Microsoft.SecurityInsights/alertRules'
apiVersion إصدار واجهة برمجة تطبيقات المورد 'معاينة 2023-02-01'
الاسم اسم المورد سلسلة (مطلوبة)
نوع تعيين نوع الكائن اندماج
MicrosoftSecurityIncidentCreation
تحليلات MLBehavior
NRT
مجدولة
ThreatIntelligence (مطلوب)
النطاق استخدم عند إنشاء مورد ملحق في نطاق مختلف عن نطاق التوزيع. المورد المستهدف

بالنسبة إلى JSON، قم بتعيين القيمة إلى الاسم الكامل للمورد لتطبيق مورد الملحق عليه.
etag Etag لمورد azure سلسلة

FusionAlertRule

الاسم الوصف القيمة
نوع نوع قاعدة التنبيه 'Fusion' (مطلوب)
خصائص خصائص قاعدة تنبيه الاندماج FusionAlertRuleProperties

FusionAlertRuleProperties

الاسم الوصف القيمة
alertRuleTemplateName اسم قالب قاعدة التنبيه المستخدم لإنشاء هذه القاعدة. سلسلة (مطلوبة)
ممكّن تحديد ما إذا كانت قاعدة التنبيه هذه ممكنة أو معطلة. bool (مطلوب)
scenarioExclusionPatterns التكوين لاستبعاد السيناريوهات في الكشف عن الاندماج. FusionScenarioExclusionPattern[]
إعدادات المصدر تكوين لجميع إشارات المصدر المدعومة في الكشف عن الاندماج. FusionSourceSettings[]

FusionScenarioExclusionPattern

الاسم الوصف القيمة
تاريخ الإضافةInUTC التاريخ والوقت عند إضافة نمط استبعاد السيناريو في التوقيت العالمي المتفق عليه. سلسلة (مطلوبة)
exclusionPattern نمط استبعاد السيناريو. سلسلة (مطلوبة)

FusionSourceSettings

الاسم الوصف القيمة
ممكّن تحديد ما إذا كانت هذه الإشارة المصدر ممكنة أو معطلة في الكشف عن الاندماج. bool (مطلوب)
sourceName اسم إشارة مصدر Fusion. راجع قالب قاعدة تنبيه Fusion للحصول على القيم المدعومة. سلسلة (مطلوبة)
sourceSubTypes تكوين جميع الأنواع الفرعية المصدر ضمن إشارة المصدر هذه المستهلكة في الكشف عن الاندماج. FusionSourceSubTypeSetting[]

FusionSourceSubTypeSetting

الاسم الوصف القيمة
ممكّن تحديد ما إذا كان هذا النوع الفرعي المصدر ضمن إشارة المصدر ممكنا أو معطلا في الكشف عن الاندماج. bool (مطلوب)
عوامل تصفية الخطورة تكوين الخطورة للنوع الفرعي المصدر المستهلك في الكشف عن الاندماج. FusionSubTypeSeverityFilter (مطلوب)
sourceSubTypeName اسم النوع الفرعي المصدر ضمن إشارة مصدر معينة في الكشف عن الاندماج. راجع قالب قاعدة تنبيه Fusion للحصول على القيم المدعومة. سلسلة (مطلوبة)

FusionSubTypeSeverityFilter

الاسم الوصف القيمة
التصفيات إعدادات تكوين الخطورة الفردية للنوع الفرعي المصدر المحدد المستهلكة في الكشف عن الاندماج. FusionSubTypeSeverityFiltersItem[]

FusionSubTypeSeverityFiltersItem

الاسم الوصف القيمة
ممكّن يحدد ما إذا كان قد تم تمكين هذه الخطورة أو تعطيلها لهذا النوع الفرعي المصدر المستهلك في الكشف عن الاندماج. bool (مطلوب)
الخطورة خطورة نوع فرعي مصدر معين مستهلك في الكشف عن الاندماج. "مرتفع"
"إعلامي"
"منخفض"
'متوسط' (مطلوب)

MicrosoftSecurityIncidentCreationAlertRule

الاسم الوصف القيمة
نوع نوع قاعدة التنبيه 'MicrosoftSecurityIncidentCreation' (مطلوب)
خصائص خصائص قاعدة MicrosoftSecurityIncidentCreation MicrosoftSecurityIncidentCreationAlertRuleProperties

MicrosoftSecurityIncidentCreationAlertRuleProperties

الاسم الوصف القيمة
alertRuleTemplateName اسم قالب قاعدة التنبيه المستخدم لإنشاء هذه القاعدة. سلسلة
الوصف وصف قاعدة التنبيه. سلسلة
اسم المستخدم اسم العرض للتنبيهات التي تم إنشاؤها بواسطة قاعدة التنبيه هذه. سلسلة (مطلوبة)
displayNamesExcludeFilter أسماء عرض التنبيهات التي لن يتم إنشاء الحالات عليها سلسلة []
displayNamesFilter أسماء عرض التنبيهات التي سيتم إنشاء الحالات عليها سلسلة []
ممكّن تحديد ما إذا كانت قاعدة التنبيه هذه ممكنة أو معطلة. bool (مطلوب)
تصفية المنتج اسم منتج التنبيهات الذي سيتم إنشاء الحالات عليه "Azure Active Directory Identity Protection"
"الحماية المتقدمة من التهديدات في Azure"
"مركز أمان Azure ل IoT"
"مركز أمان Azure"
'Microsoft أمان التطبيقات على السحابة'
"Microsoft Defender الحماية المتقدمة من التهديدات"
"Office 365 الحماية المتقدمة من التهديدات" (مطلوب)
تصفية الخطورة شدة التنبيهات التي سيتم إنشاء الحالات عليها صفيف سلسلة يحتوي على أي من:
"مرتفع"
"إعلامي"
"منخفض"
"متوسط"

MLBehaviorAnalyticsAlertRule

الاسم الوصف القيمة
نوع نوع قاعدة التنبيه 'MLBehaviorAnalytics' (مطلوب)
خصائص خصائص قاعدة تنبيه MLBehaviorAnalytics MLBehaviorAnalyticsAlertRuleProperties

MLBehaviorAnalyticsAlertRuleProperties

الاسم الوصف القيمة
alertRuleTemplateName اسم قالب قاعدة التنبيه المستخدم لإنشاء هذه القاعدة. سلسلة (مطلوبة)
ممكّن تحديد ما إذا كانت قاعدة التنبيه هذه ممكنة أو معطلة. bool (مطلوب)

NrtAlertRule

الاسم الوصف القيمة
نوع نوع قاعدة التنبيه 'NRT' (مطلوب)
خصائص خصائص قاعدة تنبيه NRT NrtAlertRuleProperties

NrtAlertRuleProperties

الاسم الوصف القيمة
alertDetailsOverride تجاوز إعدادات تفاصيل التنبيه AlertDetailsOverride
alertRuleTemplateName اسم قالب قاعدة التنبيه المستخدم لإنشاء هذه القاعدة. سلسلة
علامات تعريف مخصصة قاموس أزواج قيم مفاتيح السلسلة من الأعمدة التي سيتم إرفاقها بالتنبيه عنصر
الوصف وصف قاعدة التنبيه. سلسلة
اسم المستخدم اسم العرض للتنبيهات التي تم إنشاؤها بواسطة قاعدة التنبيه هذه. سلسلة (مطلوبة)
ممكّن تحديد ما إذا كانت قاعدة التنبيه هذه ممكنة أو معطلة. bool (مطلوب)
تعيينات الكيان صفيف تعيينات الكيان لقاعدة التنبيه EntityMapping[]
eventGroupingSettings إعدادات تجميع الأحداث. إعدادات تجميع الأحداث
تكوين الحدث إعدادات الحوادث التي تم إنشاؤها من التنبيهات التي تم تشغيلها بواسطة قاعدة التحليلات هذه تكوين الحدث
استعلام الاستعلام الذي ينشئ تنبيهات لهذه القاعدة. سلسلة (مطلوبة)
sentinelEntitiesMappings صفيف تعيينات كيان sentinel لقاعدة التنبيه SentinelEntityMapping[]
الخطورة خطورة التنبيهات التي تم إنشاؤها بواسطة قاعدة التنبيه هذه. "مرتفع"
"إعلامي"
"منخفض"
'متوسط' (مطلوب)
منعDuration المنع (بتنسيق مدة ISO 8601) للانتظار منذ آخر مرة تم فيها تشغيل قاعدة التنبيه هذه. سلسلة (مطلوبة)
suppressionEnabled تحديد ما إذا كان منع قاعدة التنبيه هذه ممكنا أو معطلا. bool (مطلوب)
التكتيكات تكتيكات قاعدة التنبيه صفيف سلسلة يحتوي على أي من:
"المجموعة"
'CommandAndControl'
'CredentialAccess'
"التهرب الدفاعي"
"الاكتشاف"
"التنفيذ"
"النقل غير المصرح به"
"التأثير"
'إعاقة العمليةالاختبار'
'InhibitResponseFunction'
'InitialAccess'
'LateralMovement'
"استمرارية"
"PreAttack"
'PrivilegeEscalation'
"الاستكشاف"
"تطوير الموارد"
تقنيات تقنيات قاعدة التنبيه سلسلة []
templateVersion إصدار قالب قاعدة التنبيه المستخدم لإنشاء هذه القاعدة - بالتنسيق {a.b.c}، حيث تكون جميع الأرقام، على سبيل المثال 0 {1.0.2} سلسلة

AlertDetailsOverride

الاسم الوصف القيمة
alertDescriptionFormat التنسيق الذي يحتوي على اسم (أسماء) الأعمدة لتجاوز وصف التنبيه سلسلة
alertDisplayNameFormat التنسيق الذي يحتوي على اسم (أسماء) الأعمدة لتجاوز اسم التنبيه سلسلة
alertDynamicProperties قائمة بالخصائص الديناميكية الإضافية التي يجب تجاوزها AlertPropertyMapping[]
alertSeverityColumnName اسم العمود الذي يجب أخذ خطورة التنبيه منه سلسلة
alertTacticsColumnName اسم العمود الذي يجب أخذ تكتيكات التنبيه منه سلسلة

AlertPropertyMapping

الاسم الوصف القيمة
alertProperty خاصية تنبيه V3 "ارتباط التنبيه"
"مستوى الثقة"
'ConfidenceScore'
"الارتباطات الموسعة"
"ProductComponentName"
"ProductName"
"اسم الموفر"
'RemediationSteps'
"التقنيات"
القيمة اسم العمود المراد استخدامه لتجاوز هذه الخاصية سلسلة

تعيين الكيان

الاسم الوصف القيمة
entityType نوع V3 للكيان المعين "الحساب"
"AzureResource"
'CloudApplication'
"DNS"
"ملف"
'FileHash'
"المضيف"
"IP"
"MailCluster"
"MailMessage"
"علبة البريد"
"البرامج الضارة"
"عملية"
'RegistryKey'
'RegistryValue'
"مجموعة الأمان"
'SubmissionMail'
'URL'
تعيينات الحقول صفيف تعيينات الحقول لتعيين الكيان المحدد FieldMapping[]

تعيين الحقل

الاسم الوصف القيمة
اسم العمود اسم العمود المراد تعيينه إلى المعرف سلسلة
‏‏محدد معرف V3 للكيان سلسلة

إعدادات تجميع الأحداث

الاسم الوصف القيمة
تجميعKind أنواع تجميع الأحداث "AlertPerResult"
"SingleAlert"

تكوين الحدث

الاسم الوصف القيمة
createIncident إنشاء حوادث من التنبيهات التي تم تشغيلها بواسطة قاعدة التحليلات هذه bool (مطلوب)
تكوين التجميع تعيين كيفية تجميع التنبيهات التي يتم تشغيلها بواسطة قاعدة التحليلات هذه في حوادث تكوين المجموعة

تكوين المجموعة

الاسم الوصف القيمة
ممكّن تمكين التجميع bool (مطلوب)
groupByAlertDetails قائمة بتفاصيل التنبيه المراد تجميعها حسب (عند تحديد matchingMethod) صفيف سلسلة يحتوي على أي من:
'DisplayName'
"الخطورة"
groupByCustomDetails قائمة بمفاتيح التفاصيل المخصصة لتجميعها حسب (عند تحديد matchingMethod). يمكن استخدام المفاتيح المحددة في قاعدة التنبيه الحالية فقط. سلسلة []
groupByEntities قائمة أنواع الكيانات المراد تجميعها حسب (عند تحديد matchingMethod). يمكن استخدام الكيانات المحددة في قاعدة التنبيه الحالية فقط. صفيف سلسلة يحتوي على أي من:
"الحساب"
"AzureResource"
'CloudApplication'
"DNS"
"ملف"
'FileHash'
"المضيف"
"IP"
"MailCluster"
"MailMessage"
"علبة البريد"
"البرامج الضارة"
"عملية"
'RegistryKey'
'RegistryValue'
"مجموعة الأمان"
'SubmissionMail'
'URL'
إعادة النظر عن المدة قصر المجموعة على التنبيهات التي تم إنشاؤها ضمن مدة البحث (بتنسيق مدة ISO 8601) سلسلة (مطلوبة)
مطابقة القياس طريقة مطابقة التجميع. عندما يتم تحديد أسلوب واحد على الأقل من groupByEntities، groupByAlertDetails، يجب توفير groupByCustomDetails وليس فارغا. "كافة الكيانات"
"AnyAlert"
"محدد" (مطلوب)
إعادة فتحClosedIncident إعادة فتح حوادث المطابقة المغلقة bool (مطلوب)

SentinelEntityMapping

الاسم الوصف القيمة
اسم العمود اسم العمود الذي سيتم تعيينه إلى SentinelEntities سلسلة

ScheduledAlertRule

الاسم الوصف القيمة
نوع نوع قاعدة التنبيه "مجدول" (مطلوب)
خصائص خصائص قاعدة التنبيه المجدولة ScheduledAlertRuleProperties

ScheduledAlertRuleProperties

الاسم الوصف القيمة
alertDetailsOverride تجاوز إعدادات تفاصيل التنبيه AlertDetailsOverride
alertRuleTemplateName اسم قالب قاعدة التنبيه المستخدم لإنشاء هذه القاعدة. سلسلة
علامات تعريف مخصصة قاموس أزواج قيم مفاتيح السلسلة من الأعمدة التي سيتم إرفاقها بالتنبيه عنصر
الوصف وصف قاعدة التنبيه. سلسلة
اسم المستخدم اسم العرض للتنبيهات التي تم إنشاؤها بواسطة قاعدة التنبيه هذه. سلسلة (مطلوبة)
ممكّن تحديد ما إذا كانت قاعدة التنبيه هذه ممكنة أو معطلة. bool (مطلوب)
تعيينات الكيان صفيف تعيينات الكيان لقاعدة التنبيه EntityMapping[]
eventGroupingSettings إعدادات تجميع الأحداث. إعدادات تجميع الأحداث
تكوين الحدث إعدادات الحوادث التي تم إنشاؤها من التنبيهات التي تم تشغيلها بواسطة قاعدة التحليلات هذه تكوين الحدث
استعلام الاستعلام الذي ينشئ تنبيهات لهذه القاعدة. سلسلة
عدد الاستعلامات التردد (بتنسيق مدة ISO 8601) لتشغيل قاعدة التنبيه هذه. سلسلة
queryPeriod الفترة (بتنسيق المدة ISO 8601) التي تبحث فيها قاعدة التنبيه هذه. سلسلة
sentinelEntitiesMappings صفيف تعيينات كيان sentinel لقاعدة التنبيه SentinelEntityMapping[]
الخطورة خطورة التنبيهات التي تم إنشاؤها بواسطة قاعدة التنبيه هذه. "مرتفع"
"إعلامي"
"منخفض"
"متوسط"
منعDuration المنع (بتنسيق مدة ISO 8601) للانتظار منذ آخر مرة تم فيها تشغيل قاعدة التنبيه هذه. سلسلة (مطلوبة)
suppressionEnabled تحديد ما إذا كان منع قاعدة التنبيه هذه ممكنا أو معطلا. bool (مطلوب)
التكتيكات تكتيكات قاعدة التنبيه صفيف سلسلة يحتوي على أي من:
"المجموعة"
'CommandAndControl'
'CredentialAccess'
"التهرب الدفاعي"
"الاكتشاف"
"التنفيذ"
"النقل غير المصرح به"
"التأثير"
'إعاقة العمليةالاختبار'
'InhibitResponseFunction'
'InitialAccess'
'LateralMovement'
"استمرارية"
"PreAttack"
'PrivilegeEscalation'
"الاستكشاف"
"تطوير الموارد"
تقنيات تقنيات قاعدة التنبيه سلسلة []
templateVersion إصدار قالب قاعدة التنبيه المستخدم لإنشاء هذه القاعدة - بالتنسيق {a.b.c}، حيث تكون جميع الأرقام، على سبيل المثال 0 {1.0.2} سلسلة
triggerOperator العملية مقابل الحد الذي يقوم بتشغيل قاعدة التنبيه. 'يساوي'
'أكبر ثان'
"أقل ثان"
'NotEqual'
triggerThreshold يؤدي الحد إلى تشغيل قاعدة التنبيه هذه. int

ThreatIntelligenceAlertRule

الاسم الوصف القيمة
نوع نوع قاعدة التنبيه 'ThreatIntelligence' (مطلوب)
خصائص خصائص قاعدة تنبيه التحليل الذكي للمخاطر ThreatIntelligenceAlertRuleProperties

ThreatIntelligenceAlertRuleProperties

الاسم الوصف القيمة
alertRuleTemplateName اسم قالب قاعدة التنبيه المستخدم لإنشاء هذه القاعدة. سلسلة (مطلوبة)
ممكّن تحديد ما إذا كانت قاعدة التنبيه هذه ممكنة أو معطلة. bool (مطلوب)

قوالب التشغيل السريع

تنشر قوالب التشغيل السريع التالية نوع المورد هذا.

قالب الوصف
إنشاء قاعدة تحليلات مجدولة جديدة ل Microsoft Sentinel

نشر في Azure		 يوضح هذا النموذج كيفية إنشاء قاعدة تحليلات مجدولة جديدة في Microsoft Sentinel

تعريف مورد Terraform (موفر AzAPI)

نوع مورد alertRules هو مورد ملحق، ما يعني أنه يمكنك تطبيقه على مورد آخر.

استخدم الخاصية على parent_id هذا المورد لتعيين نطاق هذا المورد.

للحصول على قائمة بالخصائص التي تم تغييرها في كل إصدار من إصدارات واجهة برمجة التطبيقات، راجع سجل التغيير.

تنسيق المورد

لإنشاء مورد Microsoft.SecurityInsights/alertRules، أضف Terraform التالي إلى القالب الخاص بك.

resource "azapi_resource" "symbolicname" {
  type = "Microsoft.SecurityInsights/alertRules@2023-02-01-preview"
  name = "string"
  parent_id = "string"
  // For remaining properties, see alertRules objects
  body = jsonencode({
    kind = "string"
    etag = "string"
  })
}

كائنات alertRules

قم بتعيين خاصية النوع لتحديد نوع العنصر.

بالنسبة إلى Fusion، استخدم:

  kind = "Fusion"
  properties = {
    alertRuleTemplateName = "string"
    enabled = bool
    scenarioExclusionPatterns = [
      {
        dateAddedInUTC = "string"
        exclusionPattern = "string"
      }
    ]
    sourceSettings = [
      {
        enabled = bool
        sourceName = "string"
        sourceSubTypes = [
          {
            enabled = bool
            severityFilters = {
              filters = [
                {
                  enabled = bool
                  severity = "string"
                }
              ]
            }
            sourceSubTypeName = "string"
          }
        ]
      }
    ]
  }

بالنسبة إلى MicrosoftSecurityIncidentCreation، استخدم:

  kind = "MicrosoftSecurityIncidentCreation"
  properties = {
    alertRuleTemplateName = "string"
    description = "string"
    displayName = "string"
    displayNamesExcludeFilter = [
      "string"
    ]
    displayNamesFilter = [
      "string"
    ]
    enabled = bool
    productFilter = "string"
    severitiesFilter = [
      "string"
    ]
  }

بالنسبة إلى MLBehaviorAnalytics، استخدم:

  kind = "MLBehaviorAnalytics"
  properties = {
    alertRuleTemplateName = "string"
    enabled = bool
  }

بالنسبة إلى NRT، استخدم:

  kind = "NRT"
  properties = {
    alertDetailsOverride = {
      alertDescriptionFormat = "string"
      alertDisplayNameFormat = "string"
      alertDynamicProperties = [
        {
          alertProperty = "string"
          value = "string"
        }
      ]
      alertSeverityColumnName = "string"
      alertTacticsColumnName = "string"
    }
    alertRuleTemplateName = "string"
    customDetails = {}
    description = "string"
    displayName = "string"
    enabled = bool
    entityMappings = [
      {
        entityType = "string"
        fieldMappings = [
          {
            columnName = "string"
            identifier = "string"
          }
        ]
      }
    ]
    eventGroupingSettings = {
      aggregationKind = "string"
    }
    incidentConfiguration = {
      createIncident = bool
      groupingConfiguration = {
        enabled = bool
        groupByAlertDetails = [
          "string"
        ]
        groupByCustomDetails = [
          "string"
        ]
        groupByEntities = [
          "string"
        ]
        lookbackDuration = "string"
        matchingMethod = "string"
        reopenClosedIncident = bool
      }
    }
    query = "string"
    sentinelEntitiesMappings = [
      {
        columnName = "string"
      }
    ]
    severity = "string"
    suppressionDuration = "string"
    suppressionEnabled = bool
    tactics = [
      "string"
    ]
    techniques = [
      "string"
    ]
    templateVersion = "string"
  }

بالنسبة للمجدول، استخدم:

  kind = "Scheduled"
  properties = {
    alertDetailsOverride = {
      alertDescriptionFormat = "string"
      alertDisplayNameFormat = "string"
      alertDynamicProperties = [
        {
          alertProperty = "string"
          value = "string"
        }
      ]
      alertSeverityColumnName = "string"
      alertTacticsColumnName = "string"
    }
    alertRuleTemplateName = "string"
    customDetails = {}
    description = "string"
    displayName = "string"
    enabled = bool
    entityMappings = [
      {
        entityType = "string"
        fieldMappings = [
          {
            columnName = "string"
            identifier = "string"
          }
        ]
      }
    ]
    eventGroupingSettings = {
      aggregationKind = "string"
    }
    incidentConfiguration = {
      createIncident = bool
      groupingConfiguration = {
        enabled = bool
        groupByAlertDetails = [
          "string"
        ]
        groupByCustomDetails = [
          "string"
        ]
        groupByEntities = [
          "string"
        ]
        lookbackDuration = "string"
        matchingMethod = "string"
        reopenClosedIncident = bool
      }
    }
    query = "string"
    queryFrequency = "string"
    queryPeriod = "string"
    sentinelEntitiesMappings = [
      {
        columnName = "string"
      }
    ]
    severity = "string"
    suppressionDuration = "string"
    suppressionEnabled = bool
    tactics = [
      "string"
    ]
    techniques = [
      "string"
    ]
    templateVersion = "string"
    triggerOperator = "string"
    triggerThreshold = int
  }

بالنسبة إلى ThreatIntelligence، استخدم:

  kind = "ThreatIntelligence"
  properties = {
    alertRuleTemplateName = "string"
    enabled = bool
  }

قيم Property

قواعد التنبيه

الاسم الوصف القيمة
النوع نوع المورد "Microsoft.SecurityInsights/alertRules@2023-02-01-preview"
الاسم اسم المورد سلسلة (مطلوبة)
parent_id معرف المورد لتطبيق مورد الملحق هذا عليه. سلسلة (مطلوبة)
نوع تعيين نوع الكائن اندماج
MicrosoftSecurityIncidentCreation
تحليلات MLBehavior
NRT
مجدولة
ThreatIntelligence (مطلوب)
etag Etag لمورد azure سلسلة

FusionAlertRule

الاسم الوصف القيمة
نوع نوع قاعدة التنبيه "Fusion" (مطلوب)
خصائص خصائص قاعدة تنبيه الاندماج FusionAlertRuleProperties

FusionAlertRuleProperties

الاسم الوصف القيمة
alertRuleTemplateName اسم قالب قاعدة التنبيه المستخدم لإنشاء هذه القاعدة. سلسلة (مطلوبة)
ممكّن تحديد ما إذا كانت قاعدة التنبيه هذه ممكنة أو معطلة. bool (مطلوب)
scenarioExclusionPatterns التكوين لاستبعاد السيناريوهات في الكشف عن الاندماج. FusionScenarioExclusionPattern[]
إعدادات المصدر تكوين لجميع إشارات المصدر المدعومة في الكشف عن الاندماج. FusionSourceSettings[]

FusionScenarioExclusionPattern

الاسم الوصف القيمة
التاريخ المضافInUTC DateTime عند إضافة نمط استبعاد السيناريو في التوقيت العالمي المتفق عليه. سلسلة (مطلوب)
exclusionPattern نمط استبعاد السيناريو. سلسلة (مطلوب)

FusionSourceSettings

الاسم الوصف القيمة
ممكّن تحديد ما إذا كانت هذه الإشارة المصدر ممكنة أو معطلة في الكشف عن الاندماج. bool (مطلوب)
sourceName اسم إشارة مصدر Fusion. راجع قالب قاعدة تنبيه Fusion للقيم المدعومة. سلسلة (مطلوب)
sourceSubTypes تكوين جميع الأنواع الفرعية المصدر ضمن إشارة المصدر هذه المستهلكة في الكشف عن الاندماج. FusionSourceSubTypeSetting[]

FusionSourceSubTypeSetting

الاسم الوصف القيمة
ممكّن تحديد ما إذا كان هذا النوع الفرعي المصدر ضمن إشارة المصدر ممكنا أو معطلا في الكشف عن الاندماج. bool (مطلوب)
عوامل الخطورة تكوين الخطورة للنوع الفرعي المصدر المستهلك في الكشف عن الاندماج. FusionSubTypeSeverityFilter (مطلوب)
sourceSubTypeName اسم النوع الفرعي المصدر ضمن إشارة مصدر معينة في Fusion detection. راجع قالب قاعدة تنبيه Fusion للقيم المدعومة. سلسلة (مطلوب)

FusionSubTypeSeverityFilter

الاسم الوصف القيمة
التصفيات إعدادات تكوين الخطورة الفردية للنوع الفرعي المصدر المحدد المستهلكة في الكشف عن الاندماج. FusionSubTypeSeverityFiltersItem[]

FusionSubTypeSeverityFiltersItem

الاسم الوصف القيمة
ممكّن يحدد ما إذا كانت هذه الخطورة ممكنة أو معطلة لهذا النوع الفرعي المصدر المستهلك في الكشف عن الاندماج. bool (مطلوب)
الخطورة الخطورة للنوع الفرعي لمصدر معين المستهلكة في الكشف عن الاندماج. "مرتفع"
"إعلامي"
"منخفض"
"متوسط" (مطلوب)

MicrosoftSecurityIncidentCreationAlertRule

الاسم الوصف القيمة
نوع نوع قاعدة التنبيه "MicrosoftSecurityIncidentCreation" (مطلوب)
خصائص خصائص قاعدة MicrosoftSecurityIncidentCreation MicrosoftSecurityIncidentCreationAlertRuleProperties

MicrosoftSecurityIncidentCreationAlertRuleProperties

الاسم الوصف القيمة
alertRuleTemplateName اسم قالب قاعدة التنبيه المستخدم لإنشاء هذه القاعدة. سلسلة
الوصف وصف قاعدة التنبيه. سلسلة
اسم المستخدم اسم العرض للتنبيهات التي تم إنشاؤها بواسطة قاعدة التنبيه هذه. سلسلة (مطلوب)
displayNamesExcludeFilter أسماء عرض التنبيهات التي لن يتم إنشاء الحالات عليها سلسلة []
displayNamesFilter أسماء عرض التنبيهات التي سيتم إنشاء الحالات عليها سلسلة []
ممكّن تحديد ما إذا كانت قاعدة التنبيه هذه ممكنة أو معطلة. bool (مطلوب)
productFilter اسم منتج التنبيهات الذي سيتم إنشاء الحالات عليه "Azure Active Directory Identity Protection"
"Azure Advanced Threat Protection"
"مركز أمان Azure ل IoT"
"مركز أمان Azure"
"Microsoft أمان التطبيقات على السحابة"
"Microsoft Defender الحماية المتقدمة من التهديدات"
"Office 365 الحماية المتقدمة من التهديدات" (مطلوب)
الخطورةFilter خطورة التنبيهات التي سيتم إنشاء الحالات عليها صفيف سلسلة يحتوي على أي من:
"مرتفع"
"إعلامي"
"منخفض"
"متوسط"

MLBehaviorAnalyticsAlertRule

الاسم الوصف القيمة
نوع نوع قاعدة التنبيه "MLBehaviorAnalytics" (مطلوب)
خصائص خصائص قاعدة تنبيه MLBehaviorAnalytics MLBehaviorAnalyticsAlertRuleProperties

MLBehaviorAnalyticsAlertRuleProperties

الاسم الوصف القيمة
alertRuleTemplateName اسم قالب قاعدة التنبيه المستخدم لإنشاء هذه القاعدة. سلسلة (مطلوب)
ممكّن تحديد ما إذا كانت قاعدة التنبيه هذه ممكنة أو معطلة. bool (مطلوب)

NrtAlertRule

الاسم الوصف القيمة
نوع نوع قاعدة التنبيه "NRT" (مطلوب)
خصائص خصائص قاعدة تنبيه NRT NrtAlertRuleProperties

NrtAlertRuleProperties

الاسم الوصف القيمة
alertDetailsOverride تتجاوز تفاصيل التنبيه الإعدادات AlertDetailsOverride
alertRuleTemplateName اسم قالب قاعدة التنبيه المستخدم لإنشاء هذه القاعدة. سلسلة
علامات تعريف مخصصة قاموس أزواج قيم مفاتيح السلسلة للأعمدة المراد إرفاقها بالتنبيه عنصر
الوصف وصف قاعدة التنبيه. سلسلة
اسم المستخدم اسم العرض للتنبيهات التي تم إنشاؤها بواسطة قاعدة التنبيه هذه. سلسلة (مطلوب)
ممكّن تحديد ما إذا كانت قاعدة التنبيه هذه ممكنة أو معطلة. bool (مطلوب)
entityMappings صفيف تعيينات الكيان لقاعدة التنبيه EntityMapping[]
eventGroupingSettings إعدادات تجميع الأحداث. إعدادات تجميع الأحداث
تكوين الحدث إعدادات الحوادث التي تم إنشاؤها من التنبيهات التي تم تشغيلها بواسطة قاعدة التحليلات هذه تكوين الحدث
استعلام الاستعلام الذي ينشئ تنبيهات لهذه القاعدة. سلسلة (مطلوب)
sentinelEntitiesMappings صفيف تعيينات كيان sentinel لقاعدة التنبيه SentinelEntityMapping[]
الخطورة خطورة التنبيهات التي تم إنشاؤها بواسطة قاعدة التنبيه هذه. "مرتفع"
"إعلامي"
"منخفض"
"متوسط" (مطلوب)
منعDuration المنع (بتنسيق مدة ISO 8601) للانتظار منذ آخر مرة تم فيها تشغيل قاعدة التنبيه هذه. سلسلة (مطلوب)
suppressionEnabled تحديد ما إذا كان منع قاعدة التنبيه هذه ممكنا أو معطلا. bool (مطلوب)
التكتيكات تكتيكات قاعدة التنبيه صفيف سلسلة يحتوي على أي من:
"مجموعة"
"CommandAndControl"
"CredentialAccess"
"التهرب الدفاعي"
"الاكتشاف"
"التنفيذ"
"النقل غير المصرح به"
"التأثير"
"الاختلال في المعالجة"
"InhibitResponseFunction"
"InitialAccess"
"الحركة الجانبية"
"استمرارية"
"PreAttack"
"PrivilegeEscalation"
"الاستطلاع"
"تطوير الموارد"
تقنيات تقنيات قاعدة التنبيه سلسلة []
templateVersion إصدار قالب قاعدة التنبيه المستخدم لإنشاء هذه القاعدة - بالتنسيق {a.b.c}، حيث تكون جميع الأرقام، على سبيل المثال 0 {1.0.2} سلسلة

AlertDetailsOverride

الاسم الوصف القيمة
alertDescriptionFormat التنسيق الذي يحتوي على اسم (أسماء) الأعمدة لتجاوز وصف التنبيه سلسلة
alertDisplayNameFormat التنسيق الذي يحتوي على اسم (أسماء) الأعمدة لتجاوز اسم التنبيه سلسلة
alertDynamicProperties قائمة الخصائص الديناميكية الإضافية لتجاوزها AlertPropertyMapping[]
alertSeverityColumnName اسم العمود الذي يجب أخذ خطورة التنبيه منه سلسلة
alertTacticsColumnName اسم العمود لأخذ تكتيكات التنبيه من سلسلة

AlertPropertyMapping

الاسم الوصف القيمة
alertProperty خاصية تنبيه V3 "رابط التنبيه"
"مستوى الثقة"
"الثقة"
"الارتباطات الموسعة"
"ProductComponentName"
"ProductName"
"اسم الموفر"
"RemediationSteps"
"التقنيات"
القيمة اسم العمود المراد استخدامه لتجاوز هذه الخاصية سلسلة

EntityMapping

الاسم الوصف القيمة
entityType نوع V3 للكيان المعين "حساب"
"AzureResource"
"CloudApplication"
"DNS"
"ملف"
"FileHash"
"المضيف"
"IP"
"MailCluster"
"MailMessage"
"علبة البريد"
"البرامج الضارة"
"عملية"
"RegistryKey"
"RegistryValue"
"SecurityGroup"
"البريد المرسل"
"URL"
تعيينات الحقل صفيف تعيينات الحقول لتعيين الكيان المحدد FieldMapping[]

تعيين الحقل

الاسم الوصف القيمة
اسم العمود اسم العمود الذي سيتم تعيينه إلى المعرف سلسلة
‏‏محدد معرف V3 للكيان سلسلة

إعدادات تجميع الأحداث

الاسم الوصف القيمة
تجميعKind أنواع تجميع الأحداث "AlertPerResult"
"SingleAlert"

تكوين الحدث

الاسم الوصف القيمة
createIncident إنشاء حوادث من التنبيهات التي تم تشغيلها بواسطة قاعدة التحليلات هذه bool (مطلوب)
تكوين المجموعة تعيين كيفية تجميع التنبيهات التي يتم تشغيلها بواسطة قاعدة التحليلات هذه في حوادث تكوين المجموعة

تكوين المجموعة

الاسم الوصف القيمة
ممكّن تمكين التجميع bool (مطلوب)
groupByAlertDetails قائمة بتفاصيل التنبيه المراد تجميعها حسب (عند تحديد matchingMethod) صفيف سلسلة يحتوي على أي من:
"DisplayName"
"الخطورة"
groupByCustomDetails قائمة بمفاتيح التفاصيل المخصصة لتجميعها حسب (عند تحديد matchingMethod). يمكن استخدام المفاتيح المحددة في قاعدة التنبيه الحالية فقط. سلسلة []
groupByEntities قائمة أنواع الكيانات المراد تجميعها حسب (عند تحديد matchingMethod). يمكن استخدام الكيانات المحددة في قاعدة التنبيه الحالية فقط. صفيف سلسلة يحتوي على أي من:
"حساب"
"AzureResource"
"CloudApplication"
"DNS"
"ملف"
"FileHash"
"المضيف"
"IP"
"MailCluster"
"MailMessage"
"علبة البريد"
"البرامج الضارة"
"عملية"
"RegistryKey"
"RegistryValue"
"SecurityGroup"
"البريد المرسل"
"URL"
إعادة النظر عن البيانات قصر المجموعة على التنبيهات التي تم إنشاؤها خلال مدة البحث (بتنسيق مدة ISO 8601) سلسلة (مطلوب)
matchingMethod أسلوب مطابقة التجميع. عندما يتم تحديد أسلوب واحد على الأقل من groupByEntities، groupByAlertDetails، يجب توفير groupByCustomDetails وليس فارغا. "AllEntities"
"AnyAlert"
"محدد" (مطلوب)
إعادة فتحClosedIncident إعادة فتح حوادث المطابقة المغلقة bool (مطلوب)

SentinelEntityMapping

الاسم الوصف القيمة
اسم العمود اسم العمود الذي سيتم تعيينه إلى SentinelEntities سلسلة

ScheduledAlertRule

الاسم الوصف القيمة
نوع نوع قاعدة التنبيه "مجدول" (مطلوب)
خصائص خصائص قاعدة التنبيه المجدولة ScheduledAlertRuleProperties

ScheduledAlertRuleProperties

الاسم الوصف القيمة
alertDetailsOverride تتجاوز تفاصيل التنبيه الإعدادات AlertDetailsOverride
alertRuleTemplateName اسم قالب قاعدة التنبيه المستخدم لإنشاء هذه القاعدة. سلسلة
علامات تعريف مخصصة قاموس أزواج قيم مفاتيح السلسلة للأعمدة المراد إرفاقها بالتنبيه عنصر
الوصف وصف قاعدة التنبيه. سلسلة
اسم المستخدم اسم العرض للتنبيهات التي تم إنشاؤها بواسطة قاعدة التنبيه هذه. سلسلة (مطلوب)
ممكّن تحديد ما إذا كانت قاعدة التنبيه هذه ممكنة أو معطلة. bool (مطلوب)
entityMappings صفيف تعيينات الكيان لقاعدة التنبيه EntityMapping[]
eventGroupingSettings إعدادات تجميع الأحداث. إعدادات تجميع الأحداث
تكوين الحدث إعدادات الحوادث التي تم إنشاؤها من التنبيهات التي تم تشغيلها بواسطة قاعدة التحليلات هذه تكوين الحدث
استعلام الاستعلام الذي ينشئ تنبيهات لهذه القاعدة. سلسلة
تسجيل الدخول إلى الاستعلام التكرار (بتنسيق مدة ISO 8601) لتشغيل قاعدة التنبيه هذه. سلسلة
queryPeriod الفترة (بتنسيق مدة ISO 8601) التي تبحث فيها قاعدة التنبيه هذه. سلسلة
sentinelEntitiesMappings صفيف تعيينات كيان sentinel لقاعدة التنبيه SentinelEntityMapping[]
الخطورة خطورة التنبيهات التي تم إنشاؤها بواسطة قاعدة التنبيه هذه. "مرتفع"
"إعلامي"
"منخفض"
"متوسط"
منعDuration المنع (بتنسيق مدة ISO 8601) للانتظار منذ آخر مرة تم فيها تشغيل قاعدة التنبيه هذه. سلسلة (مطلوب)
suppressionEnabled تحديد ما إذا كان منع قاعدة التنبيه هذه ممكنا أو معطلا. bool (مطلوب)
التكتيكات تكتيكات قاعدة التنبيه صفيف سلسلة يحتوي على أي من:
"مجموعة"
"CommandAndControl"
"CredentialAccess"
"التهرب الدفاعي"
"الاكتشاف"
"التنفيذ"
"النقل غير المصرح به"
"التأثير"
"الاختلال في المعالجة"
"InhibitResponseFunction"
"InitialAccess"
"الحركة الجانبية"
"استمرارية"
"PreAttack"
"PrivilegeEscalation"
"الاستطلاع"
"تطوير الموارد"
تقنيات تقنيات قاعدة التنبيه سلسلة []
templateVersion إصدار قالب قاعدة التنبيه المستخدم لإنشاء هذه القاعدة - بالتنسيق {a.b.c}، حيث تكون جميع الأرقام، على سبيل المثال 0 {1.0.2} سلسلة
triggerOperator العملية مقابل الحد الذي يقوم بتشغيل قاعدة التنبيه. "يساوي"
"أكبر ثان"
"أقل ثان"
"NotEqual"
triggerThreshold يؤدي الحد إلى تشغيل قاعدة التنبيه هذه. int

ThreatIntelligenceAlertRule

الاسم الوصف القيمة
نوع نوع قاعدة التنبيه "ThreatIntelligence" (مطلوب)
خصائص خصائص قاعدة تنبيه التحليل الذكي للمخاطر ThreatIntelligenceAlertRuleProperties

ThreatIntelligenceAlertRuleProperties

الاسم الوصف القيمة
alertRuleTemplateName اسم قالب قاعدة التنبيه المستخدم لإنشاء هذه القاعدة. سلسلة (مطلوب)
ممكّن تحديد ما إذا كانت قاعدة التنبيه هذه ممكنة أو معطلة. bool (مطلوب)