次の方法で共有

Alerts - List

サービス:
Defender for Cloud
API バージョン:
2022-01-01

サブスクリプションに関連付けられているすべてのアラートを一覧表示する

GET https://management.azure.com/subscriptions/{subscriptionId}/providers/Microsoft.Security/alerts?api-version=2022-01-01

URI パラメーター

名前 / 必須 型 説明
subscriptionId
 path True

string

pattern: ^[0-9A-Fa-f]{8}-([0-9A-Fa-f]{4}-){3}[0-9A-Fa-f]{12}$

Azure サブスクリプション ID
api-version
 query True

string

操作の API バージョン

応答

名前 型 説明
200 OK

AlertList

わかりました
Other Status Codes

CloudError

操作が失敗した理由を説明するエラー応答。

セキュリティ

azure_auth

Azure Active Directory OAuth2 フロー

型: oauth2
フロー: implicit
Authorization URL (承認 URL): https://login.microsoftonline.com/common/oauth2/authorize

スコープ

名前 説明
user_impersonation ユーザー アカウントを偽装する

例

Get security alerts on a subscription

要求のサンプル

GET https://management.azure.com/subscriptions/20ff7fc3-e762-44dd-bd96-b71116dcdc23/providers/Microsoft.Security/alerts?api-version=2022-01-01

応答のサンプル

状態コード:
200 
{
  "value": [
    {
      "id": "/subscriptions/20ff7fc3-e762-44dd-bd96-b71116dcdc23/resourceGroups/myRg1/providers/Microsoft.Security/locations/westeurope/alerts/2518770965529163669_F144EE95-A3E5-42DA-A279-967D115809AA",
      "name": "2518298467986649999_4d25bfef-2d77-4a08-adc0-3e35715cc92a",
      "type": "Microsoft.Security/Locations/alerts",
      "properties": {
        "version": "2022-01-01",
        "alertType": "VM_EICAR",
        "systemAlertId": "2518298467986649999_4d25bfef-2d77-4a08-adc0-3e35715cc92a",
        "productComponentName": "testName",
        "alertDisplayName": "Azure Security Center test alert (not a threat)",
        "description": "This is a test alert generated by Azure Security Center. No further action is needed.",
        "severity": "High",
        "intent": "Execution",
        "startTimeUtc": "2020-02-22T00:00:00.0000000Z",
        "endTimeUtc": "2020-02-22T00:00:00.0000000Z",
        "resourceIdentifiers": [
          {
            "azureResourceId": "/subscriptions/20ff7fc3-e762-44dd-bd96-b71116dcdc23/resourceGroups/myRg1/providers/Microsoft.Compute/virtualMachines/vm1",
            "type": "AzureResource"
          },
          {
            "workspaceId": "f419f624-acad-4d89-b86d-f62fa387f019",
            "workspaceSubscriptionId": "20ff7fc3-e762-44dd-bd96-b71116dcdc23",
            "workspaceResourceGroup": "myRg1",
            "agentId": "75724a01-f021-4aa8-9ec2-329792373e6e",
            "type": "LogAnalytics"
          }
        ],
        "remediationSteps": [
          "No further action is needed."
        ],
        "vendorName": "Microsoft",
        "status": "Active",
        "extendedLinks": [
          {
            "Category": "threat_reports",
            "Label": "Report: RDP Brute Forcing",
            "Href": "https://contoso.com/reports/DisplayReport",
            "Type": "webLink"
          }
        ],
        "alertUri": "https://portal.azure.com/#blade/Microsoft_Azure_Security/AlertBlade/alertId/2518298467986649999_4d25bfef-2d77-4a08-adc0-3e35715cc92a/subscriptionId/20ff7fc3-e762-44dd-bd96-b71116dcdc23/resourceGroup/myRg1/referencedFrom/alertDeepLink/location/westeurope",
        "timeGeneratedUtc": "2020-02-23T13:47:58.0000000Z",
        "productName": "Azure Security Center",
        "processingEndTimeUtc": "2020-02-23T13:47:58.9205584Z",
        "entities": [
          {
            "address": "192.0.2.1",
            "location": {
              "countryCode": "gb",
              "state": "wokingham",
              "city": "sonning",
              "longitude": -0.909,
              "latitude": 51.468,
              "asn": 6584
            },
            "type": "ip"
          }
        ],
        "isIncident": true,
        "correlationKey": "kso0LFWxzCll5tqrk5hmrBJ+MY1BX806W6q6+0s9Lk=",
        "extendedProperties": {
          "Property1": "Property1 information"
        },
        "compromisedEntity": "vm1",
        "techniques": [
          "T1059",
          "T1053",
          "T1072"
        ],
        "subTechniques": [
          "T1059.001",
          "T1059.006",
          "T1053.002"
        ],
        "supportingEvidence": {
          "type": "tabularEvidences",
          "title": "Investigate activity test",
          "columns": [
            "Date",
            "Activity",
            "User",
            "TestedText",
            "TestedValue"
          ],
          "rows": [
            [
              "2022-01-17T07:03:52.034Z",
              "Log on",
              "testUser",
              "false",
              false
            ],
            [
              "2022-01-17T07:03:52.034Z",
              "Log on",
              "testUser2",
              "false",
              false
            ],
            [
              "2022-01-17T07:03:52.034Z",
              "Log on",
              "testUser3",
              "true",
              true
            ]
          ]
        }
      }
    },
    {
      "id": "/subscriptions/20ff7fc3-e762-44dd-bd96-b71116dcdc23/resourceGroups/myRg2/providers/Microsoft.Security/locations/westeurope/alerts/2518765996949954086_2325cf9e-42a2-4f72-ae7f-9b863cba2d22",
      "name": "2518765996949954086_2325cf9e-42a2-4f72-ae7f-9b863cba2d22",
      "type": "Microsoft.Security/Locations/alerts",
      "properties": {
        "version": "2022-01-01",
        "alertType": "VM_SuspiciousScreenSaver",
        "systemAlertId": "2518298467986649999_4d25bfef-2d77-4a08-adc0-3e35715cc92a",
        "productComponentName": "testName2",
        "alertDisplayName": "Suspicious Screensaver process executed",
        "description": "The process ‘c:\\users\\contosoUser\\scrsave.scr’ was observed executing from an uncommon location. Files with the .scr extensions are screen saver files and are normally reside and execute from the Windows system directory.",
        "severity": "Medium",
        "intent": "Execution",
        "startTimeUtc": "2019-05-07T13:51:45.0045913Z",
        "endTimeUtc": "2019-05-07T13:51:45.0045913Z",
        "resourceIdentifiers": [
          {
            "azureResourceId": "/subscriptions/20ff7fc3-e762-44dd-bd96-b71116dcdc23/resourceGroups/myRg1/providers/Microsoft.Compute/virtualMachines/vm1",
            "type": "AzureResource"
          },
          {
            "workspaceId": "f419f624-acad-4d89-b86d-f62fa387f019",
            "workspaceSubscriptionId": "20ff7fc3-e762-44dd-bd96-b71116dcdc23",
            "workspaceResourceGroup": "myRg1",
            "agentId": "75724a01-f021-4aa8-9ec2-329792373e6e",
            "type": "LogAnalytics"
          }
        ],
        "remediationSteps": [
          "1. Run Process Explorer and try to identify unknown running processes (see https://technet.microsoft.com/en-us/sysinternals/bb896653.aspx)",
          "2. Make sure the machine is completely updated and has an updated anti-malware application installed",
          "3. Run a full anti-malware scan and verify that the threat was removed",
          "4. Install and run Microsoft’s Malicious Software Removal Tool (see https://www.microsoft.com/en-us/download/malicious-software-removal-tool-details.aspx)",
          "5. Run Microsoft’s Autoruns utility and try to identify unknown applications that are configured to run at login (see https://technet.microsoft.com/en-us/sysinternals/bb963902.aspx)",
          "6. Escalate the alert to the information security team"
        ],
        "vendorName": "Microsoft",
        "status": "Active",
        "extendedLinks": [
          {
            "Category": "threat_reports",
            "Label": "Report: RDP Brute Forcing",
            "Href": "https://contoso.com/reports/DisplayReport",
            "Type": "webLink"
          }
        ],
        "alertUri": "https://portal.azure.com/#blade/Microsoft_Azure_Security/AlertBlade/alertId/2518298467986649999_4d25bfef-2d77-4a08-adc0-3e35715cc92a/subscriptionId/20ff7fc3-e762-44dd-bd96-b71116dcdc23/resourceGroup/myRg1/referencedFrom/alertDeepLink/location/westeurope",
        "timeGeneratedUtc": "2019-05-07T13:51:48.3810457Z",
        "productName": "Azure Security Center",
        "processingEndTimeUtc": "2019-05-07T13:51:48.9810457Z",
        "entities": [
          {
            "dnsDomain": "",
            "ntDomain": "",
            "hostName": "vm2",
            "netBiosName": "vm2",
            "azureID": "/subscriptions/20ff7fc3-e762-44dd-bd96-b71116dcdc23/resourcegroups/myRg2/providers/microsoft.compute/virtualmachines/vm2",
            "omsAgentID": "45b44640-3b94-4892-a28c-4a5cae27065a",
            "operatingSystem": "Unknown",
            "type": "host",
            "OsVersion": null
          },
          {
            "name": "contosoUser",
            "ntDomain": "vm2",
            "logonId": "0x61450d87",
            "sid": "S-1-5-21-2144575486-8928446540-5163864319-500",
            "type": "account"
          },
          {
            "directory": "c:\\windows\\system32",
            "name": "cmd.exe",
            "type": "file"
          },
          {
            "processId": "0x3c44",
            "type": "process"
          },
          {
            "directory": "c:\\users\\contosoUser",
            "name": "scrsave.scr",
            "type": "file"
          },
          {
            "processId": "0x4aec",
            "commandLine": "c:\\users\\contosoUser\\scrsave.scr",
            "creationTimeUtc": "2018-05-07T13:51:45.0045913Z",
            "type": "process"
          }
        ],
        "isIncident": true,
        "correlationKey": "4hno6LF0xzCl5tqrk4nrBW+MY1BX816W6q6+0srk4",
        "compromisedEntity": "vm2",
        "extendedProperties": {
          "domain name": "vm2",
          "user name": "vm2\\contosoUser",
          "process name": "c:\\users\\contosoUser\\scrsave.scr",
          "command line": "c:\\users\\contosoUser\\scrsave.scr",
          "parent process": "cmd.exe",
          "process id": "0x4aec",
          "account logon id": "0x61450d87",
          "user SID": "S-1-5-21-2144575486-8928446540-5163864319-500",
          "parent process id": "0x3c44",
          "resourceType": "Virtual Machine"
        },
        "techniques": [
          "T1059",
          "T1053",
          "T1072"
        ],
        "subTechniques": [
          "T1059.001",
          "T1059.006",
          "T1053.002"
        ],
        "supportingEvidence": {
          "supportingEvidenceList": [
            {
              "evidenceElements": [
                {
                  "text": {
                    "arguments": {
                      "sensitiveEnumerationTypes": {
                        "type": "string[]",
                        "value": [
                          "UseDesKey"
                        ]
                      },
                      "domainName": {
                        "type": "string",
                        "value": "domainName"
                      }
                    },
                    "localizationKey": "AATP_ALERTS_LDAP_SENSITIVE_ATTRIBUTE_RECONNAISSANCE_SECURITY_ALERT_EVIDENCE_ENUMERATION_DETAIL_A7C00BD7",
                    "fallback": "Actor enumerated UseDesKey on domain1.test.local"
                  },
                  "type": "evidenceElement",
                  "innerElements": null
                }
              ],
              "type": "nestedList"
            },
            {
              "type": "tabularEvidences",
              "title": "Investigate activity test",
              "columns": [
                "Date",
                "Activity",
                "User",
                "TestedText",
                "TestedValue"
              ],
              "rows": [
                [
                  "2022-01-17T07:03:52.034Z",
                  "Log on",
                  "testUser",
                  "false",
                  false
                ],
                [
                  "2022-01-17T07:03:52.034Z",
                  "Log on",
                  "testUser2",
                  "false",
                  false
                ],
                [
                  "2022-01-17T07:03:52.034Z",
                  "Log on",
                  "testUser3",
                  "true",
                  true
                ]
              ]
            }
          ],
          "type": "supportingEvidenceList"
        }
      }
    }
  ]
}

定義

名前 説明
Alert

セキュリティ アラート
AlertEntity

エンティティの種類に応じてプロパティのセットを変更する。
AlertList

セキュリティ アラートの一覧
alertSeverity

検出された脅威のリスク レベル。 詳細については、https://docs.microsoft.com/en-us/azure/security-center/security-center-alerts-overview#how-are-alerts-classified を参照してください。
alertStatus

アラートのライフ サイクルの状態。
AzureResourceIdentifier

Azure リソース識別子。
CloudError

失敗した操作のエラーの詳細を返す、すべての Azure Resource Manager API の一般的なエラー応答。 (これは、OData エラー応答形式にも従います)。
CloudErrorBody

エラーの詳細。
ErrorAdditionalInfo

リソース管理エラーの追加情報。
intent

アラートの背後にあるキル チェーン関連の意図。 サポートされている値の一覧と、Azure Security Center でサポートされているキル チェーン意図の説明。
LogAnalyticsIdentifier

Log Analytics ワークスペース スコープ識別子を表します。
SupportingEvidence

supportingEvidence の種類に応じてプロパティのセットを変更する。

Alert

Object

セキュリティ アラート

名前 型 説明
id

string

リソース ID
name

string

リソース名
properties.alertDisplayName

string

アラートの表示名。
properties.alertType

string

検出ロジックの一意識別子 (同じ検出ロジックのすべてのアラート インスタンスに同じ alertType が含まれます)。
properties.alertUri

string

Azure Portal のアラート ページへの直接リンク。
properties.compromisedEntity

string

このアラートに最も関連するリソースの表示名。
properties.correlationKey

string

関連するアラートをコアレーションするためのキー。 関連付けられていると見なされる同じ関連付けキーを持つアラート。
properties.description

string

検出された疑わしいアクティビティの説明。
properties.endTimeUtc

string (date-time)

アラートに含まれる最後のイベントまたはアクティビティの UTC 時刻 (ISO8601形式)。
properties.entities

AlertEntity[]

アラートに関連するエンティティのリスト。
properties.extendedLinks

object[]

アラートに関連するリンク
properties.extendedProperties

object

アラートのカスタム プロパティ。
properties.intent

intent

アラートの背後にあるキル チェーン関連の意図。 サポートされている値の一覧と、Azure Security Center でサポートされているキル チェーン意図の説明。
properties.isIncident

boolean

このフィールドは、アラートがインシデント (複数のアラートの複合グループ) であるか、1 つのアラートであるかを決定します。
properties.processingEndTimeUtc

string (date-time)

アラートの UTC 処理終了時刻 (ISO8601形式)。
properties.productComponentName

string

このアラートを強化する Azure Security Center 価格レベルの名前。 詳細情報: https://docs.microsoft.com/en-us/azure/security-center/security-center-pricing
properties.productName

string

このアラートを発行した製品の名前 (Microsoft Sentinel、Microsoft Defender for Identity、Microsoft Defender for Endpoint、Microsoft Defender for Office、Microsoft Defender for Cloud Apps など)。
properties.remediationSteps

string[]

アラートを修復するために実行する手動アクション項目。
properties.resourceIdentifiers ResourceIdentifier[]:

適切な製品公開グループ (テナント、ワークスペース、サブスクリプションなど) にアラートを送信するために使用できるリソース識別子。 アラートごとに異なる種類の識別子が複数存在する場合があります。
properties.severity

alertSeverity

検出された脅威のリスク レベル。 詳細については、https://docs.microsoft.com/en-us/azure/security-center/security-center-alerts-overview#how-are-alerts-classified を参照してください。
properties.startTimeUtc

string (date-time)

アラートに含まれる最初のイベントまたはアクティビティの UTC 時刻 (ISO8601形式)。
properties.status

alertStatus

アラートのライフ サイクルの状態。
properties.subTechniques

string[]

アラートの背後にあるチェーン関連のサブテクニックを強制終了します。
properties.supportingEvidence

SupportingEvidence

supportingEvidence の種類に応じてプロパティのセットを変更する。
properties.systemAlertId

string

アラートの一意識別子。
properties.techniques

string[]

アラートの背後にあるキル チェーン関連の手法。
properties.timeGeneratedUtc

string (date-time)

アラートが生成された UTC 時刻をISO8601形式で指定します。
properties.vendorName

string

アラートを発生させるベンダーの名前。
properties.version

string

スキーマのバージョン。
type

string

リソースの種類

AlertEntity

Object

エンティティの種類に応じてプロパティのセットを変更する。

名前 型 説明
type

string

エンティティの種類

AlertList

Object

セキュリティ アラートの一覧

名前 型 説明
nextLink

string

次のページをフェッチする URI。
value

Alert[]

では、セキュリティ アラートのプロパティについて説明します。

alertSeverity

列挙

検出された脅威のリスク レベル。 詳細については、https://docs.microsoft.com/en-us/azure/security-center/security-center-alerts-overview#how-are-alerts-classified を参照してください。

値 説明
Informational

情報提供用
Low

低
Medium

中程度
High

高

alertStatus

列挙

アラートのライフ サイクルの状態。

値 説明
Active

値を指定しないアラートには、状態 'Active' が割り当てられます
InProgress

状態を処理しているアラート
Resolved

処理後に閉じたアラート
Dismissed

誤検知として無視されたアラート

AzureResourceIdentifier

Object

Azure リソース識別子。

名前 型 説明
azureResourceId

string

アラートが送信されるクラウド リソースの ARM リソース識別子
type string:

AzureResource

アラートごとに異なる種類の識別子が複数存在する場合があります。このフィールドは識別子の種類を指定します。

CloudError

Object

失敗した操作のエラーの詳細を返す、すべての Azure Resource Manager API の一般的なエラー応答。 (これは、OData エラー応答形式にも従います)。

名前 型 説明
error.additionalInfo

ErrorAdditionalInfo[]

エラーの追加情報。
error.code

string

エラー コード。
error.details

CloudErrorBody[]

エラーの詳細。
error.message

string

エラー メッセージ。
error.target

string

エラーターゲット。

CloudErrorBody

Object

エラーの詳細。

名前 型 説明
additionalInfo

ErrorAdditionalInfo[]

エラーの追加情報。
code

string

エラー コード。
details

CloudErrorBody[]

エラーの詳細。
message

string

エラー メッセージ。
target

string

エラーターゲット。

ErrorAdditionalInfo

Object

リソース管理エラーの追加情報。

名前 型 説明
info

object

追加情報。
type

string

追加情報の種類。

intent

列挙

アラートの背後にあるキル チェーン関連の意図。 サポートされている値の一覧と、Azure Security Center でサポートされているキル チェーン意図の説明。

値 説明
Unknown

不明
PreAttack

PreAttack は、悪意のある意図に関係なく特定のリソースにアクセスしようとしたり、悪用前にターゲット システムにアクセスして情報を収集しようとして失敗したりする可能性があります。 通常、この手順は、ターゲット システムをスキャンして方法を見つけるための、ネットワークの外部からの試行として検出されます。 プレアタッチ ステージの詳細については、MITRE Pre-Att&ck マトリックス で確認できます。
InitialAccess

InitialAccess は、攻撃者が攻撃されたリソースの足掛かりを得るために管理する段階です。
Persistence

永続化とは、脅威アクターにそのシステム上の永続的なプレゼンスを提供するシステムへのアクセス、アクション、または構成の変更です。
PrivilegeEscalation

特権エスカレーションは、敵対者がシステムまたはネットワークに対するより高いレベルのアクセス許可を取得できるようにするアクションの結果です。
DefenseEvasion

防御回避は、敵対者が検出を回避したり、他の防御を回避したりするために使用できる手法で構成されます。
CredentialAccess

資格情報アクセスは、エンタープライズ環境内で使用されるシステム、ドメイン、またはサービスの資格情報にアクセスしたり制御したりする手法を表します。
Discovery

検出は、敵対者がシステムと内部ネットワークに関する知識を得ることを可能にする手法で構成されています。
LateralMovement

横移動は、敵対者がネットワーク上のリモート システムにアクセスして制御できるようにする手法で構成され、リモート システムでのツールの実行を含めることができますが、必ずしも含まれるとは限りません。
Execution

実行戦術は、ローカルまたはリモート システムで敵対者が制御するコードを実行する手法を表します。
Collection

収集は、流出の前にターゲット ネットワークから機密性の高いファイルなどの情報を識別して収集するために使用される手法で構成されます。
Exfiltration

流出とは、敵対者がターゲット ネットワークからファイルや情報を削除する場合に役立つ手法と属性を指します。
CommandAndControl

コマンドとコントロールの戦術は、敵対者がターゲット ネットワーク内で制御下にあるシステムと通信する方法を表します。
Impact

影響イベントは、主にシステム、サービス、またはネットワークの可用性または整合性を直接削減しようとします。ビジネスまたは運用プロセスに影響を与えるデータの操作を含む。
Probing

プローブは、悪意のある意図に関係なく特定のリソースにアクセスしようとしたり、悪用前にターゲット システムにアクセスして情報を収集しようとして失敗したりする可能性があります。
Exploitation

悪用とは、攻撃者が攻撃されたリソースの足掛かりを得るために管理する段階です。 このステージは、コンピューティング ホストと、ユーザー アカウント、証明書などのリソースに関連します。

LogAnalyticsIdentifier

Object

Log Analytics ワークスペース スコープ識別子を表します。

名前 型 説明
agentId

string

(省略可能)このアラートの基になっているイベントを報告する LogAnalytics エージェント ID。
type string:

LogAnalytics

アラートごとに異なる種類の識別子が複数存在する場合があります。このフィールドは識別子の種類を指定します。
workspaceId

string

このアラートを格納する LogAnalytics ワークスペース ID。
workspaceResourceGroup

string

このアラートを格納している LogAnalytics ワークスペースの Azure リソース グループ
workspaceSubscriptionId

string

pattern: ^[0-9A-Fa-f]{8}-([0-9A-Fa-f]{4}-){3}[0-9A-Fa-f]{12}$

このアラートを格納している LogAnalytics ワークスペースの Azure サブスクリプション ID。

SupportingEvidence

Object

supportingEvidence の種類に応じてプロパティのセットを変更する。

名前 型 説明
type

string

supportingEvidence の種類