Alert Rules - List

Layanan:

Sentinel

Versi API:

2024-03-01

Mendapatkan semua aturan pemberitahuan.

GET https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/providers/Microsoft.SecurityInsights/alertRules?api-version=2024-03-01

Parameter URI

Nama	Dalam	Diperlukan	Jenis	Deskripsi
resourceGroupName	path	True	string	Nama grup sumber daya. Nama tidak peka huruf besar/kecil.
subscriptionId	path	True	string	ID langganan target.
workspaceName	path	True	string	Nama ruang kerja. Pola regex: ^[A-Za-z0-9][A-Za-z0-9-]+[A-Za-z0-9]$
api-version	query	True	string	Versi API yang digunakan untuk operasi ini.

Respons

Nama	Jenis	Deskripsi
200 OK	AlertRulesList	OK, Operasi berhasil diselesaikan
Other Status Codes	CloudError	Respons kesalahan yang menjelaskan mengapa operasi gagal.

Keamanan

azure_auth

Alur OAuth2 Azure Active Directory

Jenis: oauth2
Alur: implicit
URL Otorisasi: https://login.microsoftonline.com/common/oauth2/authorize

Cakupan

Nama	Deskripsi
user_impersonation	meniru akun pengguna Anda

Contoh

Get all alert rules.

Permintaan sampel

HTTP

GET https://management.azure.com/subscriptions/d0cfe6b2-9ac0-4464-9919-dccaee2e48c0/resourceGroups/myRg/providers/Microsoft.OperationalInsights/workspaces/myWorkspace/providers/Microsoft.SecurityInsights/alertRules?api-version=2024-03-01

Respon sampel

Kode status:

200

{
  "value": [
    {
      "id": "/subscriptions/d0cfe6b2-9ac0-4464-9919-dccaee2e48c0/resourceGroups/myRg/providers/Microsoft.OperationalInsights/workspaces/myWorkspace/providers/Microsoft.SecurityInsights/alertRules/73e01a99-5cd7-4139-a149-9f2736ff2ab5",
      "name": "73e01a99-5cd7-4139-a149-9f2736ff2ab5",
      "type": "Microsoft.SecurityInsights/alertRules",
      "kind": "Scheduled",
      "etag": "\"0300bf09-0000-0000-0000-5c37296e0000\"",
      "properties": {
        "alertRuleTemplateName": null,
        "displayName": "My scheduled rule",
        "description": "An example for a scheduled rule",
        "severity": "High",
        "enabled": true,
        "tactics": [
          "Persistence",
          "LateralMovement"
        ],
        "query": "Heartbeat",
        "queryFrequency": "PT1H",
        "queryPeriod": "P2DT1H30M",
        "triggerOperator": "GreaterThan",
        "triggerThreshold": 0,
        "suppressionDuration": "PT1H",
        "suppressionEnabled": false,
        "lastModifiedUtc": "2021-03-01T13:17:30Z",
        "eventGroupingSettings": {
          "aggregationKind": "AlertPerResult"
        },
        "customDetails": {
          "OperatingSystemName": "OSName",
          "OperatingSystemType": "OSType"
        },
        "entityMappings": [
          {
            "entityType": "Host",
            "fieldMappings": [
              {
                "identifier": "FullName",
                "columnName": "Computer"
              }
            ]
          },
          {
            "entityType": "IP",
            "fieldMappings": [
              {
                "identifier": "Address",
                "columnName": "ComputerIP"
              }
            ]
          }
        ],
        "alertDetailsOverride": {
          "alertDisplayNameFormat": "Alert from {{Computer}}",
          "alertDescriptionFormat": "Suspicious activity was made by {{ComputerIP}}",
          "alertTacticsColumnName": null,
          "alertSeverityColumnName": null
        },
        "incidentConfiguration": {
          "createIncident": true,
          "groupingConfiguration": {
            "enabled": true,
            "reopenClosedIncident": false,
            "lookbackDuration": "PT5H",
            "matchingMethod": "Selected",
            "groupByEntities": [
              "Host"
            ],
            "groupByAlertDetails": [
              "DisplayName"
            ],
            "groupByCustomDetails": [
              "OperatingSystemType",
              "OperatingSystemName"
            ]
          }
        }
      }
    },
    {
      "id": "/subscriptions/d0cfe6b2-9ac0-4464-9919-dccaee2e48c0/resourceGroups/myRg/providers/Microsoft.OperationalInsights/workspaces/myWorkspace/providers/Microsoft.SecurityInsights/alertRules/microsoftSecurityIncidentCreationRuleExample",
      "name": "microsoftSecurityIncidentCreationRuleExample",
      "etag": "\"260097e0-0000-0d00-0000-5d6fa88f0000\"",
      "type": "Microsoft.SecurityInsights/alertRules",
      "kind": "MicrosoftSecurityIncidentCreation",
      "properties": {
        "productFilter": "Microsoft Cloud App Security",
        "severitiesFilter": null,
        "displayNamesFilter": null,
        "displayName": "testing displayname",
        "enabled": true,
        "description": null,
        "alertRuleTemplateName": null,
        "lastModifiedUtc": "2019-09-04T12:05:35.7296311Z"
      }
    },
    {
      "id": "/subscriptions/d0cfe6b2-9ac0-4464-9919-dccaee2e48c0/resourceGroups/myRg/providers/Microsoft.OperationalInsights/workspaces/myWorkspace/providers/Microsoft.SecurityInsights/alertRules/myFirstFusionRule",
      "name": "myFirstFusionRule",
      "etag": "\"25005c11-0000-0d00-0000-5d6cc0e20000\"",
      "type": "Microsoft.SecurityInsights/alertRules",
      "kind": "Fusion",
      "properties": {
        "displayName": "Advanced Multi-Stage Attack Detection",
        "description": "In this mode, Sentinel combines low fidelity alerts, which themselves may not be actionable, and events across multiple products, into high fidelity security interesting incidents. The system looks at multiple products to produce actionable incidents. Custom tailored to each tenant, Fusion not only reduces false positive rates but also can detect attacks with limited or missing information. \nIncidents generated by Fusion system will encase two or more alerts. By design, Fusion incidents are low volume, high fidelity and will be high severity, which is why Fusion is turned ON by default in Azure Sentinel.\n\nFor Fusion to work, please configure the following data sources in Data Connectors tab:\nRequired - Azure Active Directory Identity Protection\nRequired - Microsoft Cloud App Security\nIf Available - Palo Alto Network\n\nFor full list of scenarios covered by Fusion, and detail instructions on how to configure the required data sources, go to aka.ms/SentinelFusion",
        "alertRuleTemplateName": "f71aba3d-28fb-450b-b192-4e76a83015c8",
        "tactics": [
          "Persistence",
          "LateralMovement",
          "Exfiltration",
          "CommandAndControl"
        ],
        "severity": "High",
        "enabled": false,
        "lastModifiedUtc": "2019-09-02T07:12:34.9065092Z"
      }
    }
  ]
}

Definisi

Nama	Deskripsi
AlertDetail	Daftar detail pemberitahuan untuk dikelompokkan menurut (saat cocokMethod Dipilih)
AlertDetailsOverride	Pengaturan tentang cara mengambil alih detail statis pemberitahuan secara dinamis
AlertProperty	Properti pemberitahuan V3
AlertPropertyMapping	Pemetaan properti pemberitahuan tunggal untuk diambil alih
AlertRulesList	Mencantumkan semua aturan pemberitahuan.
AlertSeverity	Tingkat keparahan untuk pemberitahuan yang dibuat oleh aturan pemberitahuan ini.
AttackTactic	Tingkat keparahan untuk pemberitahuan yang dibuat oleh aturan pemberitahuan ini.
CloudError	Struktur respons kesalahan.
CloudErrorBody	Detail kesalahan.
createdByType	Jenis identitas yang membuat sumber daya.
EntityMapping	Pemetaan entitas tunggal untuk aturan pemberitahuan
EntityMappingType	Jenis V3 dari entitas yang dipetakan
EventGroupingAggregationKind	Jenis agregasi pengelompokan peristiwa
EventGroupingSettings	Tas properti pengaturan pengelompokan peristiwa.
FieldMapping	Pemetaan bidang tunggal dari entitas yang dipetakan
FusionAlertRule	Mewakili aturan pemberitahuan Fusion.
GroupingConfiguration	Mengelompokkan tas properti konfigurasi.
IncidentConfiguration	Tas properti Konfigurasi Insiden.
MatchingMethod	Metode pencocokan pengelompokan. Ketika metode Dipilih setidaknya salah satu groupByEntities, groupByAlertDetails, groupByCustomDetails harus disediakan dan tidak kosong.
MicrosoftSecurityIncidentCreationAlertRule	Mewakili aturan MicrosoftSecurityIncidentCreation.
MicrosoftSecurityProductName	productName pemberitahuan tempat kasus akan dibuat
ScheduledAlertRule	Mewakili aturan pemberitahuan terjadwal.
systemData	Metadata yang berkaitan dengan pembuatan dan modifikasi terakhir sumber daya.
TriggerOperator	Operasi terhadap ambang batas yang memicu aturan pemberitahuan.

AlertDetail

Daftar detail pemberitahuan untuk dikelompokkan menurut (saat cocokMethod Dipilih)

Nama	Jenis	Deskripsi
DisplayName	string	Nama tampilan pemberitahuan
Severity	string	Tingkat keparahan peringatan

AlertDetailsOverride

Pengaturan tentang cara mengambil alih detail statis pemberitahuan secara dinamis

Nama	Jenis	Deskripsi
alertDescriptionFormat	string	format yang berisi nama kolom untuk mengambil alih deskripsi pemberitahuan
alertDisplayNameFormat	string	format yang berisi nama kolom untuk mengambil alih nama pemberitahuan
alertDynamicProperties	AlertPropertyMapping[]	Daftar properti dinamis tambahan yang akan diambil alih
alertSeverityColumnName	string	nama kolom untuk mengambil tingkat keparahan pemberitahuan dari
alertTacticsColumnName	string	nama kolom untuk mengambil taktik pemberitahuan dari

AlertProperty

Properti pemberitahuan V3

Nama	Jenis	Deskripsi
AlertLink	string	Tautan pemberitahuan
ConfidenceLevel	string	Properti tingkat keyakinan
ConfidenceScore	string	Skor keyakinan
ExtendedLinks	string	Tautan yang diperluas ke pemberitahuan
ProductComponentName	string	Properti pemberitahuan nama komponen produk
ProductName	string	Properti pemberitahuan nama produk
ProviderName	string	Properti pemberitahuan nama penyedia
RemediationSteps	string	Properti pemberitahuan langkah remediasi
Techniques	string	Properti pemberitahuan teknik

AlertPropertyMapping

Pemetaan properti pemberitahuan tunggal untuk diambil alih

Nama	Jenis	Deskripsi
alertProperty	AlertProperty	Properti pemberitahuan V3
value	string	nama kolom yang akan digunakan untuk mengambil alih properti ini

AlertRulesList

Mencantumkan semua aturan pemberitahuan.

Nama	Jenis	Deskripsi
nextLink	string	URL untuk mengambil sekumpulan aturan pemberitahuan berikutnya.
value	AlertRule[]: FusionAlertRule[] MicrosoftSecurityIncidentCreationAlertRule[] ScheduledAlertRule[]	Array aturan pemberitahuan.

AlertSeverity

Tingkat keparahan untuk pemberitahuan yang dibuat oleh aturan pemberitahuan ini.

Nama	Jenis	Deskripsi
High	string	Keparahan Tinggi
Informational	string	Tingkat keparahan informasi
Low	string	Tingkat keparahan rendah
Medium	string	Keparahan Sedang

AttackTactic

Tingkat keparahan untuk pemberitahuan yang dibuat oleh aturan pemberitahuan ini.

Nama	Jenis	Deskripsi
Collection	string
CommandAndControl	string
CredentialAccess	string
DefenseEvasion	string
Discovery	string
Execution	string
Exfiltration	string
Impact	string
ImpairProcessControl	string
InhibitResponseFunction	string
InitialAccess	string
LateralMovement	string
Persistence	string
PreAttack	string
PrivilegeEscalation	string
Reconnaissance	string
ResourceDevelopment	string

CloudError

Struktur respons kesalahan.

Nama	Jenis	Deskripsi
error	CloudErrorBody	Data kesalahan

CloudErrorBody

Detail kesalahan.

Nama	Jenis	Deskripsi
code	string	Pengidentifikasi untuk kesalahan. Kode tidak berubah dan dimaksudkan untuk dikonsumsi secara terprogram.
message	string	Pesan yang menjelaskan kesalahan, dimaksudkan agar cocok untuk ditampilkan di antarmuka pengguna.

createdByType

Jenis identitas yang membuat sumber daya.

Nama	Jenis	Deskripsi
Application	string
Key	string
ManagedIdentity	string
User	string

EntityMapping

Pemetaan entitas tunggal untuk aturan pemberitahuan

Nama	Jenis	Deskripsi
entityType	EntityMappingType	Jenis V3 dari entitas yang dipetakan
fieldMappings	FieldMapping[]	array pemetaan bidang untuk pemetaan entitas yang diberikan

EntityMappingType

Jenis V3 dari entitas yang dipetakan

Nama	Jenis	Deskripsi
Account	string	Jenis entitas akun pengguna
AzureResource	string	Jenis entitas sumber daya Azure
CloudApplication	string	Jenis entitas aplikasi cloud
DNS	string	Jenis entitas DNS
File	string	Jenis entitas file sistem
FileHash	string	Jenis entitas hash file
Host	string	Jenis entitas host
IP	string	Jenis entitas alamat IP
MailCluster	string	Jenis entitas kluster email
MailMessage	string	Jenis entitas pesan surat
Mailbox	string	Jenis entitas kotak surat
Malware	string	Jenis entitas malware
Process	string	Jenis entitas proses
RegistryKey	string	Jenis entitas kunci registri
RegistryValue	string	Jenis entitas nilai registri
SecurityGroup	string	Jenis entitas grup keamanan
SubmissionMail	string	Jenis entitas surat pengiriman
URL	string	Jenis entitas URL

EventGroupingAggregationKind

Jenis agregasi pengelompokan peristiwa

Nama	Jenis	Deskripsi
AlertPerResult	string
SingleAlert	string

EventGroupingSettings

Tas properti pengaturan pengelompokan peristiwa.

Nama	Jenis	Deskripsi
aggregationKind	EventGroupingAggregationKind	Jenis agregasi pengelompokan peristiwa

FieldMapping

Pemetaan bidang tunggal dari entitas yang dipetakan

Nama	Jenis	Deskripsi
columnName	string	nama kolom yang akan dipetakan ke pengidentifikasi
identifier	string	pengidentifikasi V3 entitas

FusionAlertRule

Mewakili aturan pemberitahuan Fusion.

Nama	Jenis	Deskripsi
etag	string	Etag sumber daya azure
id	string	ID sumber daya yang sepenuhnya memenuhi syarat untuk sumber daya. Ex - /subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/{resourceProviderNamespace}/{resourceType}/{resourceName}
kind	string: Fusion	Jenis aturan pemberitahuan
name	string	Nama sumber daya.
properties.alertRuleTemplateName	string	Nama templat aturan pemberitahuan yang digunakan untuk membuat aturan ini.
properties.description	string	Deskripsi aturan pemberitahuan.
properties.displayName	string	Nama tampilan untuk pemberitahuan yang dibuat oleh aturan pemberitahuan ini.
properties.enabled	boolean	Menentukan apakah aturan pemberitahuan ini diaktifkan atau dinonaktifkan.
properties.lastModifiedUtc	string	Terakhir kali pemberitahuan ini dimodifikasi.
properties.severity	AlertSeverity	Tingkat keparahan untuk pemberitahuan yang dibuat oleh aturan pemberitahuan ini.
properties.tactics	AttackTactic[]	Taktik aturan pemberitahuan
properties.techniques	string[]	Teknik aturan pemberitahuan
systemData	systemData	Metadata Azure Resource Manager yang berisi informasi createdBy dan modifiedBy.
type	string	Jenis sumber daya. Misalnya, "Microsoft.Compute/virtualMachines" atau "Microsoft.Storage/storageAccounts"

GroupingConfiguration

Mengelompokkan tas properti konfigurasi.

Nama	Jenis	Deskripsi
enabled	boolean	Pengelompokan diaktifkan
groupByAlertDetails	AlertDetail[]	Daftar detail pemberitahuan untuk dikelompokkan menurut (saat cocokMethod Dipilih)
groupByCustomDetails	string[]	Daftar kunci detail kustom untuk dikelompokkan menurut (saat cocokMethod Dipilih). Hanya kunci yang ditentukan dalam aturan pemberitahuan saat ini yang dapat digunakan.
groupByEntities	EntityMappingType[]	Daftar jenis entitas untuk dikelompokkan menurut (saat cocokMethod Dipilih). Hanya entitas yang ditentukan dalam aturan pemberitahuan saat ini yang dapat digunakan.
lookbackDuration	string	Batasi grup ke pemberitahuan yang dibuat dalam durasi lookback (dalam format durasi ISO 8601)
matchingMethod	MatchingMethod	Metode pencocokan pengelompokan. Ketika metode Dipilih setidaknya salah satu groupByEntities, groupByAlertDetails, groupByCustomDetails harus disediakan dan tidak kosong.
reopenClosedIncident	boolean	Buka kembali insiden pencocokan tertutup

IncidentConfiguration

Tas properti Konfigurasi Insiden.

Nama	Jenis	Deskripsi
createIncident	boolean	Buat insiden dari pemberitahuan yang dipicu oleh aturan analitik ini
groupingConfiguration	GroupingConfiguration	Atur bagaimana pemberitahuan yang dipicu oleh aturan analitik ini, dikelompokkan ke dalam insiden

MatchingMethod

Metode pencocokan pengelompokan. Ketika metode Dipilih setidaknya salah satu groupByEntities, groupByAlertDetails, groupByCustomDetails harus disediakan dan tidak kosong.

Nama	Jenis	Deskripsi
AllEntities	string	Mengelompokkan pemberitahuan ke dalam satu insiden jika semua entitas cocok
AnyAlert	string	Mengelompokkan pemberitahuan apa pun yang dipicu oleh aturan ini ke dalam satu insiden
Selected	string	Mengelompokkan pemberitahuan ke dalam satu insiden jika entitas yang dipilih, detail kustom, dan detail pemberitahuan cocok

MicrosoftSecurityIncidentCreationAlertRule

Mewakili aturan MicrosoftSecurityIncidentCreation.

Nama	Jenis	Deskripsi
etag	string	Etag sumber daya azure
id	string	ID sumber daya yang sepenuhnya memenuhi syarat untuk sumber daya. Ex - /subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/{resourceProviderNamespace}/{resourceType}/{resourceName}
kind	string: MicrosoftSecurityIncidentCreation	Jenis aturan pemberitahuan
name	string	Nama sumber daya.
properties.alertRuleTemplateName	string	Nama templat aturan pemberitahuan yang digunakan untuk membuat aturan ini.
properties.description	string	Deskripsi aturan pemberitahuan.
properties.displayName	string	Nama tampilan untuk pemberitahuan yang dibuat oleh aturan pemberitahuan ini.
properties.displayNamesExcludeFilter	string[]	displayNames pemberitahuan tempat kasus tidak akan dibuat
properties.displayNamesFilter	string[]	displayNames pemberitahuan tempat kasus akan dibuat
properties.enabled	boolean	Menentukan apakah aturan pemberitahuan ini diaktifkan atau dinonaktifkan.
properties.lastModifiedUtc	string	Terakhir kali pemberitahuan ini dimodifikasi.
properties.productFilter	MicrosoftSecurityProductName	productName pemberitahuan tempat kasus akan dibuat
properties.severitiesFilter	AlertSeverity[]	tingkat keparahan pemberitahuan tempat kasus akan dihasilkan
systemData	systemData	Metadata Azure Resource Manager yang berisi informasi createdBy dan modifiedBy.
type	string	Jenis sumber daya. Misalnya, "Microsoft.Compute/virtualMachines" atau "Microsoft.Storage/storageAccounts"

MicrosoftSecurityProductName

productName pemberitahuan tempat kasus akan dibuat

Nama	Jenis	Deskripsi
Azure Active Directory Identity Protection	string
Azure Advanced Threat Protection	string
Azure Security Center	string
Azure Security Center for IoT	string
Microsoft Cloud App Security	string

ScheduledAlertRule

Mewakili aturan pemberitahuan terjadwal.

Nama	Jenis	Deskripsi
etag	string	Etag sumber daya azure
id	string	ID sumber daya yang sepenuhnya memenuhi syarat untuk sumber daya. Ex - /subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/{resourceProviderNamespace}/{resourceType}/{resourceName}
kind	string: Scheduled	Jenis aturan pemberitahuan
name	string	Nama sumber daya.
properties.alertDetailsOverride	AlertDetailsOverride	Detail pemberitahuan mengambil alih pengaturan
properties.alertRuleTemplateName	string	Nama templat aturan pemberitahuan yang digunakan untuk membuat aturan ini.
properties.customDetails	object	Kamus pasangan kunci-nilai string kolom yang akan dilampirkan ke pemberitahuan
properties.description	string	Deskripsi aturan pemberitahuan.
properties.displayName	string	Nama tampilan untuk pemberitahuan yang dibuat oleh aturan pemberitahuan ini.
properties.enabled	boolean	Menentukan apakah aturan pemberitahuan ini diaktifkan atau dinonaktifkan.
properties.entityMappings	EntityMapping[]	Array pemetaan entitas aturan pemberitahuan
properties.eventGroupingSettings	EventGroupingSettings	Pengaturan pengelompokan peristiwa.
properties.incidentConfiguration	IncidentConfiguration	Pengaturan insiden yang dibuat dari pemberitahuan yang dipicu oleh aturan analitik ini
properties.lastModifiedUtc	string	Terakhir kali aturan pemberitahuan ini dimodifikasi.
properties.query	string	Kueri yang membuat pemberitahuan untuk aturan ini.
properties.queryFrequency	string	Frekuensi (dalam format durasi ISO 8601) agar aturan pemberitahuan ini berjalan.
properties.queryPeriod	string	Periode (dalam format durasi ISO 8601) yang dilihat aturan pemberitahuan ini.
properties.severity	AlertSeverity	Tingkat keparahan untuk pemberitahuan yang dibuat oleh aturan pemberitahuan ini.
properties.suppressionDuration	string	Supresi (dalam format durasi ISO 8601) untuk menunggu sejak terakhir kali aturan pemberitahuan ini dipicu.
properties.suppressionEnabled	boolean	Menentukan apakah penekanan untuk aturan pemberitahuan ini diaktifkan atau dinonaktifkan.
properties.tactics	AttackTactic[]	Taktik aturan pemberitahuan
properties.techniques	string[]	Teknik aturan pemberitahuan
properties.templateVersion	string	Versi templat aturan pemberitahuan yang digunakan untuk membuat aturan ini - dalam format <a.b.c>, di mana semua adalah angka, misalnya 0 <1.0.2>
properties.triggerOperator	TriggerOperator	Operasi terhadap ambang batas yang memicu aturan pemberitahuan.
properties.triggerThreshold	integer	Ambang batas memicu aturan pemberitahuan ini.
systemData	systemData	Metadata Azure Resource Manager yang berisi informasi createdBy dan modifiedBy.
type	string	Jenis sumber daya. Misalnya, "Microsoft.Compute/virtualMachines" atau "Microsoft.Storage/storageAccounts"

systemData

Metadata yang berkaitan dengan pembuatan dan modifikasi terakhir sumber daya.

Nama	Jenis	Deskripsi
createdAt	string	Tanda waktu pembuatan sumber daya (UTC).
createdBy	string	Identitas yang membuat sumber daya.
createdByType	createdByType	Jenis identitas yang membuat sumber daya.
lastModifiedAt	string	Tanda waktu modifikasi terakhir sumber daya (UTC)
lastModifiedBy	string	Identitas yang terakhir memodifikasi sumber daya.
lastModifiedByType	createdByType	Jenis identitas yang terakhir mengubah sumber daya.

TriggerOperator

Operasi terhadap ambang batas yang memicu aturan pemberitahuan.

Nama	Jenis	Deskripsi
Equal	string
GreaterThan	string
LessThan	string
NotEqual	string