Freigeben über


Incidentressourcentyp

Namespace: microsoft.graph.security

Ein Incident in Microsoft 365 Defender ist eine Sammlung korrelierter Warnungsinstanzen und zugehöriger Metadaten, die die Geschichte eines Angriffs auf einen Mandanten widerspiegeln.

Microsoft 365-Dienste und -Anwendungen erstellen Warnungen, wenn sie ein verdächtiges oder bösartiges Ereignis oder eine Aktivität erkennen. Einzelne Warnungen bieten wertvolle Hinweise zu einem abgeschlossenen oder laufenden Angriff. Angriffe wenden jedoch in der Regel verschiedene Techniken gegen verschiedene Arten von Entitäten an, z. B. Geräte, Benutzer und Postfächer. Das Ergebnis sind mehrere Warnungen für mehrere Entitäten in Ihrem Mandanten. Da es schwierig und zeitaufwändig sein kann, die einzelnen Warnungen zusammenzufassen, um Erkenntnisse zu einem Angriff zu erhalten, fasst Microsoft 365 Defender die Warnungen und die damit verbundenen Informationen automatisch zu einem Vorfall zusammen.

Methoden

Methode Rückgabetyp Beschreibung
Auflisten von Vorfällen microsoft.graph.security.incident collection Rufen Sie eine Liste der Incidentobjekte ab, die Microsoft 365 Defender erstellt hat, um Angriffe in einer Organisation nachzuverfolgen.
Incident abrufen microsoft.graph.security.incident Lesen der Eigenschaften und Beziehungen eines Incidentobjekts .
Aktualisieren von Vorfällen microsoft.graph.security.incident Aktualisiert die Eigenschaften eines Incidentobjekts .
Erstellen eines Kommentars für incident AlertComment Erstellen Sie einen Kommentar für einen vorhandenen Incident basierend auf der angegebenen Incident-ID-Eigenschaft .

Eigenschaften

Eigenschaft Typ Beschreibung
assignedTo Zeichenfolge Besitzer des Incidents oder NULL, wenn kein Besitzer zugewiesen ist. Freier bearbeitbarer Text.
classification microsoft.graph.security.alertClassification Die Spezifikation für den Incident. Mögliche Werte: unknown, falsePositive, truePositive, informationalExpectedActivity, unknownFutureValue.
Kommentare microsoft.graph.security.alertComment-Sammlung Array von Kommentaren, die vom Security Operations -Team (SecOps) erstellt werden, wenn der Incident verwaltet wird.
createdDateTime DateTimeOffset Zeitpunkt, zu dem der Vorfall zum ersten Mal erstellt wurde.
customTags Zeichenfolgenauflistung Array von benutzerdefinierten Tags, die einem Incident zugeordnet sind.
description Zeichenfolge Beschreibung des Vorfalls.
Entschlossenheit microsoft.graph.security.alertDetermination Gibt die Ermittlung des Incidents an. Mögliche Werte sind: unknown, apt, malware, securityPersonnel, securityTesting, unwantedSoftware, other, multiStagedAttack, compromisedUser, phishing, maliciousUserActivity, clean, insufficientData, confirmedUserActivity, lineOfBusinessApplication, unknownFutureValue.
displayName Zeichenfolge Der Incidentname.
id Zeichenfolge Eindeutiger Bezeichner zur Darstellung des Incidents.
incidentWebUrl Zeichenfolge Die URL für die Incidentseite im Microsoft 365 Defender-Portal.
lastModifiedBy Zeichenfolge Die Identität, die den Incident zuletzt geändert hat.
lastUpdateDateTime DateTimeOffset Zeitpunkt, zu dem der Vorfall zuletzt aktualisiert wurde.
redirectIncidentId Zeichenfolge Wird nur für den Fall aufgefüllt, dass ein Incident mit einem anderen Incident gruppiert wird, als Teil der Logik, die Incidents verarbeitet. In einem solchen Fall ist redirecteddie Statuseigenschaft .
ResolvingComment Zeichenfolge Benutzereingabe, die die Lösung des Incidents und die Klassifizierungsauswahl erläutert. Diese Eigenschaft enthält frei bearbeitbaren Text.
Schweregrad alertSeverity Gibt die möglichen Auswirkungen auf Ressourcen an. Je höher der Schweregrad, desto größer ist die Auswirkung. Elemente mit höherem Schweregrad erfordern in der Regel die unmittelbarste Aufmerksamkeit. Mögliche Werte sind: unknown, informational, low, medium, high und unknownFutureValue.
status microsoft.graph.security.incidentStatus Der Status des Incidents. Mögliche Werte sind: active, resolved, inProgress, redirected, unknownFutureValueund awaitingAction.
Zusammenfassung Zeichenfolge Die Übersicht über einen Angriff. Falls zutreffend, enthält die Zusammenfassung Details dazu, was aufgetreten ist, die betroffenen Ressourcen und die Art des Angriffs.
systemTags String-Sammlung Die Systemtags, die dem Incident zugeordnet sind.
tenantId Zeichenfolge Der Microsoft Entra-Mandant, in dem die Warnung erstellt wurde.

incidentStatus-Werte

In der folgenden Tabelle sind die Elemente einer drehbaren Enumeration aufgeführt. Sie müssen den Anforderungsheader Prefer: include-unknown-enum-members verwenden, um die folgenden Werte in dieser verteilbaren Enumeration abzurufen: awaitingAction.

Member Beschreibung
aktiv Der Incident befindet sich im aktiven Zustand.
resolved Der Vorfall befindet sich im aufgelösten Zustand.
inProgress Der Vorfall wird gerade entschärft.
umadressiert Der Vorfall wurde mit einem anderen Vorfall zusammengeführt. Die Zielvorfall-ID wird in der redirectIncidentId-Eigenschaft angezeigt.
unknownFutureValue Wert des Sentinelwerts für die vervolvbare Enumeration. Nicht verwenden.
awaitingAction Dieser Vorfall erfordert Aktionen von Defender-Experten, die auf Ihre Aktion warten. Nur Microsoft 365 Defender-Experten können diesen Status festlegen.

Beziehungen

Beziehung Typ Beschreibung
Warnungen microsoft.graph.security.alert-Sammlung Die Liste der zugehörigen Warnungen. Unterstützt $expand.

JSON-Darstellung

Die folgende JSON-Darstellung zeigt den Ressourcentyp.

{
  "@odata.type": "#microsoft.graph.security.incident",
  "assignedTo": "String",
  "classification": "String",
  "comments": [{"@odata.type": "microsoft.graph.security.alertComment"}],
  "createdDateTime": "String (timestamp)",
  "customTags": ["String"],
  "description" : "String",
  "determination": "String",
  "displayName": "String",
  "id": "String (identifier)",
  "incidentWebUrl": "String",
  "lastModifiedBy": "String",
  "lastUpdateDateTime": "String (timestamp)",
  "redirectIncidentId": "String",
  "resolvingComment": "String",
  "severity": "String",
  "status": "String",
  "summary": "String",
  "systemTags" : ["String"],
  "tenantId": "String"
}