Partager via

Microsoft.SecurityInsights automationRules 2022-01-preview

  • Article

Définition de ressource Bicep

Le type de ressource automationRules est une ressource d’extension, ce qui signifie que vous pouvez l’appliquer à une autre ressource.

Utilisez la scope propriété sur cette ressource pour définir l’étendue de cette ressource. Consultez Définir l’étendue des ressources d’extension dans Bicep.

Pour obtenir la liste des propriétés modifiées dans chaque version de l’API, consultez journal des modifications.

Format des ressources

Pour créer une ressource Microsoft.SecurityInsights/automationRules, ajoutez le Bicep suivant à votre modèle.

resource symbolicname 'Microsoft.SecurityInsights/automationRules@2022-01-01-preview' = {
  name: 'string'
  scope: resourceSymbolicName
  etag: 'string'
  properties: {
    actions: [
      {
        order: int
        actionType: 'string'
        // For remaining properties, see AutomationRuleAction objects
      }
    ]
    displayName: 'string'
    order: int
    triggeringLogic: {
      conditions: [
        {
          conditionType: 'string'
          // For remaining properties, see AutomationRuleCondition objects
        }
      ]
      expirationTimeUtc: 'string'
      isEnabled: bool
      triggersOn: 'Incidents'
      triggersWhen: 'Created'
    }
  }
}

Objets AutomationRuleAction

Définissez la propriété actionType pour spécifier le type d’objet.

Pour ModifyProperties, utilisez :

  actionType: 'ModifyProperties'
  actionConfiguration: {
    classification: 'string'
    classificationComment: 'string'
    classificationReason: 'string'
    labels: [
      {
        labelName: 'string'
      }
    ]
    owner: {
      assignedTo: 'string'
      email: 'string'
      objectId: 'string'
      userPrincipalName: 'string'
    }
    severity: 'string'
    status: 'string'
  }

Pour RunPlaybook, utilisez :

  actionType: 'RunPlaybook'
  actionConfiguration: {
    logicAppResourceId: 'string'
    tenantId: 'string'
  }

Objets AutomationRuleCondition

Définissez la propriété conditionType pour spécifier le type d’objet.

Pour Propriété, utilisez :

  conditionType: 'Property'
  conditionProperties: {
    operator: 'string'
    propertyName: 'string'
    propertyValues: [
      'string'
    ]
  }

Valeurs de propriétés

automationRules

Nom Description Valeur
name Nom de la ressource chaîne (obligatoire)
scope Utilisez lors de la création d’une ressource d’extension dans une étendue différente de l’étendue du déploiement. Ressource cible

Pour Bicep, définissez cette propriété sur le nom symbolique de la ressource pour appliquer la ressource d’extension.
etag Etag de la ressource Azure string
properties Propriétés de règle Automation AutomationRuleProperties (obligatoire)

AutomationRuleProperties

Nom Description Valeur
actions Actions à exécuter lorsque la règle d’automatisation est déclenchée AutomationRuleAction[] (obligatoire)
displayName Nom d’affichage de la règle d’automatisation chaîne (obligatoire)
order Ordre d’exécution de la règle d’automatisation int (obligatoire)
triggeringLogic Décrit la logique de déclenchement de règles d’automatisation AutomationRuleTriggeringLogic (obligatoire)

AutomationRuleAction

Nom Description Valeur
order int (obligatoire)
actionType Définir le type d’objet ModifyProperties
RunPlaybook (obligatoire)

AutomationRuleModifyPropertiesAction

Nom Description Valeur
actionType Type de l’action de règle d’automatisation 'ModifyProperties' (obligatoire)
actionConfiguration IncidentPropertiesAction

IncidentPropertiesAction

Nom Description Valeur
classification ; La raison pour laquelle l’incident a été fermé 'BenignPositive'
'FalsePositive'
'TruePositive'
'Indéterminé'
classificationComment Décrit la raison pour laquelle l’incident a été fermé string
classificationReason La raison de classification pour laquelle l’incident a été fermé avec 'InaccurateData'
'IncorrectAlertLogic'
'SuspiciousActivity'
'SuspiciousButExpected'
étiquettes Liste des étiquettes à ajouter à l’incident IncidentLabel[]
propriétaire Informations sur l’utilisateur auquel un incident est attribué IncidentOwnerInfo
severity Gravité de l’incident 'High'
'Informational'
'Low'
'Medium'
status État de l’incident 'Active'
'Fermé'
'New'

IncidentLabel

Nom Description Valeur
labelName Nom de l’étiquette string (obligatoire)

IncidentOwnerInfo

Nom Description Valeur
Affectéà Nom de l’utilisateur auquel l’incident est affecté. string
email E-mail de l’utilisateur auquel l’incident est affecté. string
objectId ID d’objet de l’utilisateur auquel l’incident est affecté. string
userPrincipalName Nom d’utilisateur principal de l’utilisateur auquel l’incident est affecté. string

AutomationRuleRunPlaybookAction

Nom Description Valeur
actionType Type de l’action de règle d’automatisation 'RunPlaybook' (obligatoire)
actionConfiguration PlaybookActionProperties

PlaybookActionProperties

Nom Description Valeur
logicAppResourceId ID de ressource de la ressource playbook string
tenantId ID de locataire de la ressource playbook string

AutomationRuleTriggeringLogic

Nom Description Valeur
conditions Conditions à évaluer pour déterminer si la règle d’automatisation doit être déclenchée sur un objet donné AutomationRuleCondition[]
expirationTimeUtc Détermine quand la règle d’automatisation doit automatiquement expirer et être désactivée. string
isEnabled Détermine si la règle d’automatisation est activée ou désactivée bool (obligatoire)
triggersOn 'Incidents' (obligatoire)
triggersWhen 'Created' (obligatoire)

AutomationRuleCondition

Nom Description Valeur
conditionType Définir le type d’objet Propriété (obligatoire)

PropertyConditionProperties

Nom Description Valeur
conditionType 'Property' (obligatoire)
conditionProperties AutomationRulePropertyValuesCondition

AutomationRulePropertyValuesCondition

Nom Description Valeur
operator 'Contient'
'EndsWith'
'Equals'
'NotContains'
'NotEndsWith'
'NotEquals'
'NotStartsWith'
'StartsWith'
propertyName Propriété à évaluer dans une condition de propriété de règle d’automatisation 'AccountAadTenantId'
'AccountAadUserId'
'AccountNTDomain'
'AccountName'
'AccountObjectGuid'
'AccountPUID'
'AccountSid'
'AccountUPNSuffix'
'AlertProductNames'
'AzureResourceResourceId'
'AzureResourceSubscriptionId'
'CloudApplicationAppId'
'CloudApplicationAppName'
'DNSDomainName'
'FileDirectory'
'FileHashValue'
'FileName'
'HostAzureID'
'HostNTDomain'
'HostName'
'HostNetBiosName'
'HostOSVersion'
'IPAddress'
'IncidentDescription'
'IncidentLabel'
'IncidentProviderName'
'IncidentRelatedAnalyticRuleIds'
'IncidentSeverity'
'IncidentStatus'
'IncidentTactics'
'IncidentTitle'
'IoTDeviceId'
'IoTDeviceModel'
'IoTDeviceName'
'IoTDeviceOperatingSystem'
'IoTDeviceType'
'IoTDeviceVendor'
'MailMessageDeliveryAction'
'MailMessageDeliveryLocation'
'MailMessageP1Sender'
'MailMessageP2Sender'
'MailMessageRecipient'
'MailMessageSenderIP'
'MailMessageSubject'
'MailboxDisplayName'
'MailboxPrimaryAddress'
'MailboxUPN'
'MalwareCategory'
'MalwareName'
'ProcessCommandLine'
'ProcessId'
'RegistryKey'
'RegistryValueData'
'URL'
propertyValues string[]

Modèles de démarrage rapide

Les modèles de démarrage rapide suivants déploient ce type de ressource.

Modèle Description
Crée une règle d’automatisation Microsoft Sentinel

Déployer sur Azure		 Cet exemple montre comment créer une règle d’automatisation dans Microsoft Sentinel

Définition de ressources de modèle ARM

Le type de ressource automationRules est une ressource d’extension, ce qui signifie que vous pouvez l’appliquer à une autre ressource.

Utilisez la scope propriété sur cette ressource pour définir l’étendue de cette ressource. Consultez Définir l’étendue des ressources d’extension dans les modèles ARM.

Pour obtenir la liste des propriétés modifiées dans chaque version de l’API, consultez journal des modifications.

Format des ressources

Pour créer une ressource Microsoft.SecurityInsights/automationRules, ajoutez le CODE JSON suivant à votre modèle.

{
  "type": "Microsoft.SecurityInsights/automationRules",
  "apiVersion": "2022-01-01-preview",
  "name": "string",
  "scope": "string",
  "etag": "string",
  "properties": {
    "actions": [
      {
        "order": "int",
        "actionType": "string"
        // For remaining properties, see AutomationRuleAction objects
      }
    ],
    "displayName": "string",
    "order": "int",
    "triggeringLogic": {
      "conditions": [
        {
          "conditionType": "string"
          // For remaining properties, see AutomationRuleCondition objects
        }
      ],
      "expirationTimeUtc": "string",
      "isEnabled": "bool",
      "triggersOn": "Incidents",
      "triggersWhen": "Created"
    }
  }
}

Objets AutomationRuleAction

Définissez la propriété actionType pour spécifier le type d’objet.

Pour ModifyProperties, utilisez :

  "actionType": "ModifyProperties",
  "actionConfiguration": {
    "classification": "string",
    "classificationComment": "string",
    "classificationReason": "string",
    "labels": [
      {
        "labelName": "string"
      }
    ],
    "owner": {
      "assignedTo": "string",
      "email": "string",
      "objectId": "string",
      "userPrincipalName": "string"
    },
    "severity": "string",
    "status": "string"
  }

Pour RunPlaybook, utilisez :

  "actionType": "RunPlaybook",
  "actionConfiguration": {
    "logicAppResourceId": "string",
    "tenantId": "string"
  }

Objets AutomationRuleCondition

Définissez la propriété conditionType pour spécifier le type d’objet.

Pour Propriété, utilisez :

  "conditionType": "Property",
  "conditionProperties": {
    "operator": "string",
    "propertyName": "string",
    "propertyValues": [ "string" ]
  }

Valeurs de propriétés

automationRules

Nom Description Valeur
type Type de ressource « Microsoft.SecurityInsights/automationRules »
apiVersion Version de l’API de ressource « 2022-01-01-preview »
name Nom de la ressource chaîne (obligatoire)
scope Utilisez lors de la création d’une ressource d’extension dans une étendue différente de l’étendue du déploiement. Ressource cible

Pour JSON, définissez la valeur sur le nom complet de la ressource à laquelle appliquer la ressource d’extension .
etag Etag de la ressource Azure string
properties Propriétés de règle Automation AutomationRuleProperties (obligatoire)

AutomationRuleProperties

Nom Description Valeur
actions Actions à exécuter lorsque la règle d’automatisation est déclenchée AutomationRuleAction[] (obligatoire)
displayName Nom d’affichage de la règle d’automatisation chaîne (obligatoire)
order Ordre d’exécution de la règle d’automatisation int (obligatoire)
triggeringLogic Décrit la logique de déclenchement de règles d’automatisation AutomationRuleTriggeringLogic (obligatoire)

AutomationRuleAction

Nom Description Valeur
order int (obligatoire)
actionType Définir le type d’objet ModifyProperties
RunPlaybook (obligatoire)

AutomationRuleModifyPropertiesAction

Nom Description Valeur
actionType Type de l’action de règle d’automatisation 'ModifyProperties' (obligatoire)
actionConfiguration IncidentPropertiesAction

IncidentPropertiesAction

Nom Description Valeur
classification ; La raison pour laquelle l’incident a été fermé 'BenignPositive'
'FalsePositive'
'TruePositive'
'Indéterminé'
classificationComment Décrit la raison pour laquelle l’incident a été fermé string
classificationReason Classification de la raison pour laquelle l’incident a été fermé « IncorrectData »
'IncorrectAlertLogic'
« Activité suspecte »
'SuspectButExpected'
étiquettes Liste des étiquettes à ajouter à l’incident IncidentLabel[]
propriétaire Informations sur l’utilisateur auquel un incident est affecté IncidentOwnerInfo
severity Gravité de l’incident 'High'
« Informationnelle »
'Faible'
'Moyen'
status État de l’incident 'Active'
'Fermé'
'Nouveau'

IncidentLabel

Nom Description Valeur
labelName Nom de l’étiquette chaîne (obligatoire)

IncidentOwnerInfo

Nom Description Valeur
Affectéà Nom de l’utilisateur auquel l’incident est affecté. string
email E-mail de l’utilisateur auquel l’incident est affecté. string
objectId ID d’objet de l’utilisateur auquel l’incident est affecté. string
userPrincipalName Nom d’utilisateur principal de l’utilisateur auquel l’incident est affecté. string

AutomationRuleRunPlaybookAction

Nom Description Valeur
actionType Type de l’action de règle d’automatisation 'RunPlaybook' (obligatoire)
actionConfiguration PlaybookActionProperties

PlaybookActionProperties

Nom Description Valeur
logicAppResourceId ID de ressource de la ressource playbook string
tenantId ID de locataire de la ressource playbook string

AutomationRuleTriggeringLogic

Nom Description Valeur
conditions Conditions à évaluer pour déterminer si la règle d’automatisation doit être déclenchée sur un objet donné AutomationRuleCondition[]
expirationTimeUtc Détermine quand la règle d’automatisation doit automatiquement expirer et être désactivée. string
isEnabled Détermine si la règle d’automatisation est activée ou désactivée bool (obligatoire)
triggersOn 'Incidents' (obligatoire)
triggersWhen 'Created' (obligatoire)

AutomationRuleCondition

Nom Description Valeur
conditionType Définir le type d’objet Propriété (obligatoire)

PropertyConditionProperties

Nom Description Valeur
conditionType 'Property' (obligatoire)
conditionProperties AutomationRulePropertyValuesCondition

AutomationRulePropertyValuesCondition

Nom Description Valeur
operator 'Contains'
'EndsWith'
'Égal à'
'NotContains'
'NotEndsWith'
NotEquals
'NotStartsWith'
'StartsWith'
propertyName Propriété à évaluer dans une condition de propriété de règle d’automatisation 'AccountAadTenantId'
'AccountAadUserId'
'AccountNTDomain'
'AccountName'
'AccountObjectGuid'
'AccountPUID'
'AccountSid'
'AccountUPNSuffix'
'AlertProductNames'
'AzureResourceResourceId'
'AzureResourceSubscriptionId'
'CloudApplicationAppId'
'CloudApplicationAppName'
'DNSDomainName'
'FileDirectory'
'FileHashValue'
'FileName'
'HostAzureID'
'HostNTDomain'
'HostName'
'HostNetBiosName'
'HostOSVersion'
'IPAddress'
'IncidentDescription'
'IncidentLabel'
'IncidentProviderName'
'IncidentRelatedAnalyticRuleIds'
'IncidentSeverity'
'IncidentStatus'
'IncidentTactics'
'IncidentTitle'
'IoTDeviceId'
'IoTDeviceModel'
'IoTDeviceName'
'IoTDeviceOperatingSystem'
'IoTDeviceType'
'IoTDeviceVendor'
'MailMessageDeliveryAction'
'MailMessageDeliveryLocation'
'MailMessageP1Sender'
'MailMessageP2Sender'
'MailMessageRecipient'
'MailMessageSenderIP'
'MailMessageSubject'
'MailboxDisplayName'
'MailboxPrimaryAddress'
'MailboxUPN'
'MalwareCategory'
'MalwareName'
'ProcessCommandLine'
'ProcessId'
'RegistryKey'
'RegistryValueData'
'URL'
propertyValues string[]

Modèles de démarrage rapide

Les modèles de démarrage rapide suivants déploient ce type de ressource.

Modèle Description
Crée une règle d’automatisation Microsoft Sentinel

Déployer sur Azure		 Cet exemple montre comment créer une règle d’automatisation dans Microsoft Sentinel

Définition de ressource Terraform (fournisseur AzAPI)

Le type de ressource automationRules est une ressource d’extension, ce qui signifie que vous pouvez l’appliquer à une autre ressource.

Utilisez la parent_id propriété sur cette ressource pour définir l’étendue de cette ressource.

Pour obtenir la liste des propriétés modifiées dans chaque version de l’API, consultez journal des modifications.

Format des ressources

Pour créer une ressource Microsoft.SecurityInsights/automationRules, ajoutez le Terraform suivant à votre modèle.

resource "azapi_resource" "symbolicname" {
  type = "Microsoft.SecurityInsights/automationRules@2022-01-01-preview"
  name = "string"
  parent_id = "string"
  body = jsonencode({
    properties = {
      actions = [
        {
          order = int
          actionType = "string"
          // For remaining properties, see AutomationRuleAction objects
        }
      ]
      displayName = "string"
      order = int
      triggeringLogic = {
        conditions = [
          {
            conditionType = "string"
            // For remaining properties, see AutomationRuleCondition objects
          }
        ]
        expirationTimeUtc = "string"
        isEnabled = bool
        triggersOn = "Incidents"
        triggersWhen = "Created"
      }
    }
    etag = "string"
  })
}

Objets AutomationRuleAction

Définissez la propriété actionType pour spécifier le type d’objet.

Pour ModifyProperties, utilisez :

  actionType = "ModifyProperties"
  actionConfiguration = {
    classification = "string"
    classificationComment = "string"
    classificationReason = "string"
    labels = [
      {
        labelName = "string"
      }
    ]
    owner = {
      assignedTo = "string"
      email = "string"
      objectId = "string"
      userPrincipalName = "string"
    }
    severity = "string"
    status = "string"
  }

Pour RunPlaybook, utilisez :

  actionType = "RunPlaybook"
  actionConfiguration = {
    logicAppResourceId = "string"
    tenantId = "string"
  }

Objets AutomationRuleCondition

Définissez la propriété conditionType pour spécifier le type d’objet.

Pour Propriété, utilisez :

  conditionType = "Property"
  conditionProperties = {
    operator = "string"
    propertyName = "string"
    propertyValues = [
      "string"
    ]
  }

Valeurs de propriétés

automationRules

Nom Description Valeur
type Type de ressource « Microsoft.SecurityInsights/automationRules@2022-01-01-preview »
name Nom de la ressource chaîne (obligatoire)
parent_id ID de la ressource à laquelle appliquer cette ressource d’extension. chaîne (obligatoire)
etag Etag de la ressource Azure string
properties Propriétés de règle Automation AutomationRuleProperties (obligatoire)

AutomationRuleProperties

Nom Description Valeur
actions Actions à exécuter lorsque la règle d’automatisation est déclenchée AutomationRuleAction[] (obligatoire)
displayName Nom d’affichage de la règle d’automatisation chaîne (obligatoire)
order Ordre d’exécution de la règle d’automatisation int (obligatoire)
triggeringLogic Décrit la logique de déclenchement de règles d’automatisation AutomationRuleTriggeringLogic (obligatoire)

AutomationRuleAction

Nom Description Valeur
order int (obligatoire)
actionType Définir le type d’objet ModifyProperties
RunPlaybook (obligatoire)

AutomationRuleModifyPropertiesAction

Nom Description Valeur
actionType Type de l’action de règle d’automatisation « ModifyProperties » (obligatoire)
actionConfiguration IncidentPropertiesAction

IncidentPropertiesAction

Nom Description Valeur
classification ; La raison pour laquelle l’incident a été fermé « BenignPositive »
« FalsePositive »
« TruePositive »
« Indéterminé »
classificationComment Décrit la raison pour laquelle l’incident a été fermé string
classificationReason La raison de classification pour laquelle l’incident a été fermé avec « InaccurateData »
« IncorrectAlertLogic »
« SuspiciousActivity »
« SuspiciousButExpected »
étiquettes Liste des étiquettes à ajouter à l’incident IncidentLabel[]
propriétaire Informations sur l’utilisateur auquel un incident est attribué IncidentOwnerInfo
severity Gravité de l’incident "High"
« Informationnel »
"Low"
« Moyen »
status État de l’incident « Actif »
« Closed »
« Nouveau »

IncidentLabel

Nom Description Valeur
labelName Nom de l’étiquette string (obligatoire)

IncidentOwnerInfo

Nom Description Valeur
Affectéà Nom de l’utilisateur auquel l’incident est affecté. string
email E-mail de l’utilisateur auquel l’incident est affecté. string
objectId ID d’objet de l’utilisateur auquel l’incident est affecté. string
userPrincipalName Nom d’utilisateur principal de l’utilisateur auquel l’incident est affecté. string

AutomationRuleRunPlaybookAction

Nom Description Valeur
actionType Type de l’action de règle d’automatisation « RunPlaybook » (obligatoire)
actionConfiguration PlaybookActionProperties

PlaybookActionProperties

Nom Description Valeur
logicAppResourceId ID de ressource de la ressource playbook string
tenantId ID de locataire de la ressource playbook string

AutomationRuleTriggeringLogic

Nom Description Valeur
conditions Conditions à évaluer pour déterminer si la règle d’automatisation doit être déclenchée sur un objet donné AutomationRuleCondition[]
expirationTimeUtc Détermine quand la règle d’automatisation doit automatiquement expirer et être désactivée. string
isEnabled Détermine si la règle d’automatisation est activée ou désactivée bool (obligatoire)
triggersOn « Incidents » (obligatoire)
triggersWhen « Créé » (obligatoire)

AutomationRuleCondition

Nom Description Valeur
conditionType Définir le type d’objet Propriété (obligatoire)

PropertyConditionProperties

Nom Description Valeur
conditionType « Property » (obligatoire)
conditionProperties AutomationRulePropertyValuesCondition

AutomationRulePropertyValuesCondition

Nom Description Valeur
operator « Contient »
« EndsWith »
« Égal »
« NotContains »
« NotEndsWith »
« NotEquals »
« NotStartsWith »
« StartsWith »
propertyName Propriété à évaluer dans une condition de propriété de règle d’automatisation « AccountAadTenantId »
« AccountAadUserId »
« AccountNTDomain »
« AccountName »
« AccountObjectGuid »
« AccountPUID »
« AccountSid »
« AccountUPNSuffix »
« AlertProductNames »
« AzureResourceResourceId »
« AzureResourceSubscriptionId »
« CloudApplicationAppId »
« CloudApplicationAppName »
« DNSDomainName »
« FileDirectory »
« FileHashValue »
« FileName »
« HostAzureID »
« HostNTDomain »
« HostName »
« HostNetBiosName »
« HostOSVersion »
« ADRESSE IP »
« IncidentDescription »
« IncidentLabel »
« IncidentProviderName »
« IncidentRelatedAnalyticRuleIds »
« IncidentSeverity »
« IncidentStatus »
« IncidentTactics »
« IncidentTitle »
« IoTDeviceId »
« IoTDeviceModel »
« IoTDeviceName »
« IoTDeviceOperatingSystem »
« IoTDeviceType »
« IoTDeviceVendor »
« MailMessageDeliveryAction »
« MailMessageDeliveryLocation »
« MailMessageP1Sender »
« MailMessageP2Sender »
« MailMessageRecipient »
« MailMessageSenderIP »
« MailMessageSubject »
« MailboxDisplayName »
« MailboxPrimaryAddress »
« MailboxUPN »
« MalwareCategory »
« Nom du programme malveillant »
« ProcessCommandLine »
« ProcessId »
« RegistryKey »
« RegistryValueData »
« Url »
propertyValues string[]