Alert Rules - List

サービス:: Sentinel

API バージョン:: 2025-06-01

すべてのアラートルールを取得します。

GET https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/providers/Microsoft.SecurityInsights/alertRules?api-version=2025-06-01

URI パラメーター

名前	/	必須	型	説明
resourceGroupName	path	True	string minLength: 1 maxLength: 90	リソースグループの名前。名前は大文字と小文字が区別されます。
subscriptionId	path	True	string (uuid)	ターゲットサブスクリプションの ID。値は UUID である必要があります。
workspaceName	path	True	string minLength: 1 maxLength: 90 pattern: ^[A-Za-z0-9][A-Za-z0-9-]+[A-Za-z0-9]$	ワークスペースの名前。
api-version	query	True	string minLength: 1	この操作に使用する API バージョン。

応答

名前	型	説明
200 OK	AlertRulesList	OK、操作が正常に完了しました
Other Status Codes	CloudError	操作が失敗した理由を説明するエラー応答。

セキュリティ

azure_auth

Azure Active Directory OAuth2 フロー

型: oauth2
フロー: implicit
Authorization URL (承認 URL): https://login.microsoftonline.com/common/oauth2/authorize

スコープ

名前	説明
user_impersonation	ユーザーアカウントの借用

例

Get all alert rules.

要求のサンプル

HTTP

GET https://management.azure.com/subscriptions/d0cfe6b2-9ac0-4464-9919-dccaee2e48c0/resourceGroups/myRg/providers/Microsoft.OperationalInsights/workspaces/myWorkspace/providers/Microsoft.SecurityInsights/alertRules?api-version=2025-06-01

応答のサンプル

状態コード:: 200

{
  "value": [
    {
      "id": "/subscriptions/d0cfe6b2-9ac0-4464-9919-dccaee2e48c0/resourceGroups/myRg/providers/Microsoft.OperationalInsights/workspaces/myWorkspace/providers/Microsoft.SecurityInsights/alertRules/73e01a99-5cd7-4139-a149-9f2736ff2ab5",
      "name": "73e01a99-5cd7-4139-a149-9f2736ff2ab5",
      "type": "Microsoft.SecurityInsights/alertRules",
      "kind": "Scheduled",
      "etag": "\"0300bf09-0000-0000-0000-5c37296e0000\"",
      "properties": {
        "alertRuleTemplateName": null,
        "displayName": "My scheduled rule",
        "description": "An example for a scheduled rule",
        "severity": "High",
        "enabled": true,
        "tactics": [
          "Persistence",
          "LateralMovement"
        ],
        "query": "Heartbeat",
        "queryFrequency": "PT1H",
        "queryPeriod": "P2DT1H30M",
        "triggerOperator": "GreaterThan",
        "triggerThreshold": 0,
        "suppressionDuration": "PT1H",
        "suppressionEnabled": false,
        "lastModifiedUtc": "2021-03-01T13:17:30Z",
        "eventGroupingSettings": {
          "aggregationKind": "AlertPerResult"
        },
        "customDetails": {
          "OperatingSystemName": "OSName",
          "OperatingSystemType": "OSType"
        },
        "entityMappings": [
          {
            "entityType": "Host",
            "fieldMappings": [
              {
                "identifier": "FullName",
                "columnName": "Computer"
              }
            ]
          },
          {
            "entityType": "IP",
            "fieldMappings": [
              {
                "identifier": "Address",
                "columnName": "ComputerIP"
              }
            ]
          }
        ],
        "alertDetailsOverride": {
          "alertDisplayNameFormat": "Alert from {{Computer}}",
          "alertDescriptionFormat": "Suspicious activity was made by {{ComputerIP}}",
          "alertTacticsColumnName": null,
          "alertSeverityColumnName": null
        },
        "incidentConfiguration": {
          "createIncident": true,
          "groupingConfiguration": {
            "enabled": true,
            "reopenClosedIncident": false,
            "lookbackDuration": "PT5H",
            "matchingMethod": "Selected",
            "groupByEntities": [
              "Host"
            ],
            "groupByAlertDetails": [
              "DisplayName"
            ],
            "groupByCustomDetails": [
              "OperatingSystemType",
              "OperatingSystemName"
            ]
          }
        }
      }
    },
    {
      "id": "/subscriptions/d0cfe6b2-9ac0-4464-9919-dccaee2e48c0/resourceGroups/myRg/providers/Microsoft.OperationalInsights/workspaces/myWorkspace/providers/Microsoft.SecurityInsights/alertRules/microsoftSecurityIncidentCreationRuleExample",
      "name": "microsoftSecurityIncidentCreationRuleExample",
      "etag": "\"260097e0-0000-0d00-0000-5d6fa88f0000\"",
      "type": "Microsoft.SecurityInsights/alertRules",
      "kind": "MicrosoftSecurityIncidentCreation",
      "properties": {
        "productFilter": "Microsoft Cloud App Security",
        "severitiesFilter": null,
        "displayNamesFilter": null,
        "displayName": "testing displayname",
        "enabled": true,
        "description": null,
        "alertRuleTemplateName": null,
        "lastModifiedUtc": "2019-09-04T12:05:35.7296311Z"
      }
    },
    {
      "id": "/subscriptions/d0cfe6b2-9ac0-4464-9919-dccaee2e48c0/resourceGroups/myRg/providers/Microsoft.OperationalInsights/workspaces/myWorkspace/providers/Microsoft.SecurityInsights/alertRules/myFirstFusionRule",
      "name": "myFirstFusionRule",
      "etag": "\"25005c11-0000-0d00-0000-5d6cc0e20000\"",
      "type": "Microsoft.SecurityInsights/alertRules",
      "kind": "Fusion",
      "properties": {
        "displayName": "Advanced Multi-Stage Attack Detection",
        "description": "In this mode, Sentinel combines low fidelity alerts, which themselves may not be actionable, and events across multiple products, into high fidelity security interesting incidents. The system looks at multiple products to produce actionable incidents. Custom tailored to each tenant, Fusion not only reduces false positive rates but also can detect attacks with limited or missing information. \nIncidents generated by Fusion system will encase two or more alerts. By design, Fusion incidents are low volume, high fidelity and will be high severity, which is why Fusion is turned ON by default in Azure Sentinel.\n\nFor Fusion to work, please configure the following data sources in Data Connectors tab:\nRequired - Azure Active Directory Identity Protection\nRequired - Microsoft Cloud App Security\nIf Available - Palo Alto Network\n\nFor full list of scenarios covered by Fusion, and detail instructions on how to configure the required data sources, go to aka.ms/SentinelFusion",
        "alertRuleTemplateName": "f71aba3d-28fb-450b-b192-4e76a83015c8",
        "tactics": [
          "Persistence",
          "LateralMovement",
          "Exfiltration",
          "CommandAndControl"
        ],
        "severity": "High",
        "enabled": false,
        "lastModifiedUtc": "2019-09-02T07:12:34.9065092Z"
      }
    }
  ]
}

定義

名前	説明
AlertDetail	グループ化するアラートの詳細の一覧 (matchingMethod が選択されている場合)
AlertDetailsOverride	アラートの静的な詳細を動的にオーバーライドする方法の設定
AlertProperty	V3 アラートプロパティ
AlertPropertyMapping	オーバーライドする単一のアラートプロパティマッピング
AlertRulesList	すべてのアラートルールを一覧表示します。
AlertSeverity	このアラートルールによって作成されたアラートの重大度。
AttackTactic	このアラートルールによって作成されたアラートの重大度。
CloudError	エラー応答の構造。
CloudErrorBody	エラーの詳細。
createdByType	リソースを作成した ID の種類。
EntityMapping	アラートルールの単一エンティティマッピング
EntityMappingType	マップされたエンティティの V3 型
EventGroupingAggregationKind	イベントグループの集計の種類
EventGroupingSettings	イベントグループ化設定プロパティバッグ。
FieldMapping	マップされたエンティティの 1 つのフィールドマッピング
FusionAlertRule	Fusion アラートルールを表します。
GroupingConfiguration	グループ化構成プロパティバッグ。
IncidentConfiguration	インシデント構成プロパティバッグ。
MatchingMethod	グループ化照合メソッド。メソッドが GroupByEntities の少なくとも 1 つを選択した場合、groupByAlertDetails、groupByCustomDetails を指定する必要があり、空ではありません。
MicrosoftSecurityIncidentCreationAlertRule	MicrosoftSecurityIncidentCreation ルールを表します。
MicrosoftSecurityProductName	ケースが生成されるアラートの productName
ScheduledAlertRule	スケジュールされたアラートルールを表します。
systemData	リソースの作成と最後の変更に関連するメタデータ。
TriggerOperator	アラートルールをトリガーするしきい値に対する操作。

AlertDetail

列挙

グループ化するアラートの詳細の一覧 (matchingMethod が選択されている場合)

値	説明
DisplayName	アラートの表示名
Severity	アラートの重大度

AlertDetailsOverride

Object

アラートの静的な詳細を動的にオーバーライドする方法の設定

名前	型	説明
alertDescriptionFormat	string	アラートの説明をオーバーライドする列名を含む形式
alertDisplayNameFormat	string	アラート名をオーバーライドする列名を含む形式
alertDynamicProperties	AlertPropertyMapping[]	オーバーライドする追加の動的プロパティの一覧
alertSeverityColumnName	string	アラートの重大度を取得する列名
alertTacticsColumnName	string	アラートの戦術を取得する列名

AlertProperty

列挙

V3 アラートプロパティ

値	説明
AlertLink	アラートのリンク
ConfidenceLevel	信頼度レベルプロパティ
ConfidenceScore	信頼度スコア
ExtendedLinks	アラートへの拡張リンク
ProductComponentName	製品コンポーネント名の警告プロパティ
ProductName	製品名の警告プロパティ
ProviderName	プロバイダー名の警告プロパティ
RemediationSteps	修復手順のアラートプロパティ
Techniques	Techniques alert プロパティ

AlertPropertyMapping

Object

オーバーライドする単一のアラートプロパティマッピング

名前	型	説明
alertProperty	AlertProperty	V3 アラートプロパティ
value	string	このプロパティをオーバーライドするために使用する列名

AlertRulesList

Object

すべてのアラートルールを一覧表示します。

名前	型	説明
nextLink	string	アラートルールの次のセットをフェッチする URL。
value	AlertRule[]: FusionAlertRule[] MicrosoftSecurityIncidentCreationAlertRule[] ScheduledAlertRule[]	アラートルールの配列。

AlertSeverity

列挙

このアラートルールによって作成されたアラートの重大度。

値	説明
High	重大度が高い
Informational	情報の重大度
Low	重大度が低い
Medium	中程度の重大性

AttackTactic

列挙

このアラートルールによって作成されたアラートの重大度。

値	説明
Collection
CommandAndControl
CredentialAccess
DefenseEvasion
Discovery
Execution
Exfiltration
Impact
ImpairProcessControl
InhibitResponseFunction
InitialAccess
LateralMovement
Persistence
PreAttack
PrivilegeEscalation
Reconnaissance
ResourceDevelopment

CloudError

Object

エラー応答の構造。

名前	型	説明
error	CloudErrorBody	エラーデータ

CloudErrorBody

Object

エラーの詳細。

名前	型	説明
code	string	エラーの識別子。コードは不変であり、プログラムで使用することを目的としています。
message	string	ユーザーインターフェイスでの表示に適したエラーを説明するメッセージ。

createdByType

列挙

リソースを作成した ID の種類。

値	説明
Application
Key
ManagedIdentity
User

EntityMapping

Object

アラートルールの単一エンティティマッピング

名前	型	説明
entityType	EntityMappingType	マップされたエンティティの V3 型
fieldMappings	FieldMapping[]	指定されたエンティティマッピングのフィールドマッピングの配列

EntityMappingType

列挙

マップされたエンティティの V3 型

値	説明
Account	ユーザーアカウントエンティティの種類
AzureResource	Azure リソースエンティティの種類
CloudApplication	クラウドアプリエンティティの種類
DNS	DNS エンティティの種類
File	システムファイルエンティティの種類
FileHash	ファイルハッシュエンティティ型
Host	ホストエンティティの種類
IP	IP アドレスエンティティの種類
MailCluster	メールクラスターエンティティの種類
MailMessage	メールメッセージエンティティの種類
Mailbox	メールボックスエンティティの種類
Malware	マルウェアエンティティの種類
Process	プロセスエンティティの種類
RegistryKey	レジストリキーエンティティの種類
RegistryValue	レジストリ値エンティティ型
SecurityGroup	セキュリティグループエンティティの種類
SubmissionMail	送信メールエンティティの種類
URL	URL エンティティ型

EventGroupingAggregationKind

列挙

イベントグループの集計の種類

値	説明
AlertPerResult
SingleAlert

EventGroupingSettings

Object

イベントグループ化設定プロパティバッグ。

名前	型	説明
aggregationKind	EventGroupingAggregationKind	イベントグループの集計の種類

FieldMapping

Object

マップされたエンティティの 1 つのフィールドマッピング

名前	型	説明
columnName	string	識別子にマップする列名
identifier	string	エンティティの V3 識別子

FusionAlertRule

Object

Fusion アラートルールを表します。

名前	型	説明
etag	string	Azure リソースの Etag
id	string (arm-id)	リソースの完全修飾リソース ID。例: "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/{resourceProviderNamespace}/{resourceType}/{resourceName}"
kind	string: Fusion	アラートルールの種類
name	string	リソースの名前
properties.alertRuleTemplateName	string	このルールの作成に使用するアラートルールテンプレートの名前。
properties.description	string	アラートルールの説明。
properties.displayName	string	このアラートルールによって作成されたアラートの表示名。
properties.enabled	boolean	このアラートルールが有効か無効かを決定します。
properties.lastModifiedUtc	string (date-time)	このアラートが最後に変更された時刻。
properties.severity	AlertSeverity	このアラートルールによって作成されたアラートの重大度。
properties.tactics	AttackTactic[]	アラートルールの戦術
properties.techniques	string[]	アラートルールの手法
systemData	systemData	createdBy および modifiedBy 情報を含む Azure Resource Manager メタデータ。
type	string	リソースの型。例: "Microsoft.Compute/virtualMachines" または "Microsoft.Storage/storageAccounts"

GroupingConfiguration

Object

グループ化構成プロパティバッグ。

名前	型	説明
enabled	boolean	グループ化が有効
groupByAlertDetails	AlertDetail[]	グループ化するアラートの詳細の一覧 (matchingMethod が選択されている場合)
groupByCustomDetails	string[]	グループ化するカスタム詳細キーの一覧 (matchingMethod が選択されている場合)。現在のアラートルールで定義されているキーのみを使用できます。
groupByEntities	EntityMappingType[]	グループ化するエンティティ型の一覧 (matchingMethod が選択されている場合)。現在のアラートルールで定義されているエンティティのみを使用できます。
lookbackDuration	string (duration)	ルックバック期間内に作成されたアラートにグループを制限する (ISO 8601 期間形式)
matchingMethod	MatchingMethod	グループ化照合メソッド。メソッドが GroupByEntities の少なくとも 1 つを選択した場合、groupByAlertDetails、groupByCustomDetails を指定する必要があり、空ではありません。
reopenClosedIncident	boolean	閉じた一致するインシデントを再度開く

IncidentConfiguration

Object

インシデント構成プロパティバッグ。

名前	型	説明
createIncident	boolean	この分析ルールによってトリガーされるアラートからインシデントを作成する
groupingConfiguration	GroupingConfiguration	この分析ルールによってトリガーされるアラートをインシデントにグループ化する方法を設定する

MatchingMethod

列挙

グループ化照合メソッド。メソッドが GroupByEntities の少なくとも 1 つを選択した場合、groupByAlertDetails、groupByCustomDetails を指定する必要があり、空ではありません。

値	説明
AllEntities	すべてのエンティティが一致する場合にアラートを 1 つのインシデントにグループ化する
AnyAlert	このルールによってトリガーされるアラートを 1 つのインシデントにグループ化する
Selected	選択したエンティティ、カスタムの詳細、アラートの詳細が一致する場合にアラートを 1 つのインシデントにグループ化する

MicrosoftSecurityIncidentCreationAlertRule

Object

MicrosoftSecurityIncidentCreation ルールを表します。

名前	型	説明
etag	string	Azure リソースの Etag
id	string (arm-id)	リソースの完全修飾リソース ID。例: "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/{resourceProviderNamespace}/{resourceType}/{resourceName}"
kind	string: MicrosoftSecurityIncidentCreation	アラートルールの種類
name	string	リソースの名前
properties.alertRuleTemplateName	string	このルールの作成に使用するアラートルールテンプレートの名前。
properties.description	string	アラートルールの説明。
properties.displayName	string	このアラートルールによって作成されたアラートの表示名。
properties.displayNamesExcludeFilter	string[]	ケースが生成されないアラートの displayNames
properties.displayNamesFilter	string[]	ケースが生成されるアラートの displayNames
properties.enabled	boolean	このアラートルールが有効か無効かを決定します。
properties.lastModifiedUtc	string (date-time)	このアラートが最後に変更された時刻。
properties.productFilter	MicrosoftSecurityProductName	ケースが生成されるアラートの productName
properties.severitiesFilter	AlertSeverity[]	ケースが生成されるアラートの重大度
systemData	systemData	createdBy および modifiedBy 情報を含む Azure Resource Manager メタデータ。
type	string	リソースの型。例: "Microsoft.Compute/virtualMachines" または "Microsoft.Storage/storageAccounts"

MicrosoftSecurityProductName

列挙

ケースが生成されるアラートの productName

値	説明
Azure Active Directory Identity Protection
Azure Advanced Threat Protection
Azure Security Center
Azure Security Center for IoT
Microsoft Cloud App Security

ScheduledAlertRule

Object

スケジュールされたアラートルールを表します。

名前	型	説明
etag	string	Azure リソースの Etag
id	string (arm-id)	リソースの完全修飾リソース ID。例: "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/{resourceProviderNamespace}/{resourceType}/{resourceName}"
kind	string: Scheduled	アラートルールの種類
name	string	リソースの名前
properties.alertDetailsOverride	AlertDetailsOverride	アラートの詳細が設定をオーバーライドする
properties.alertRuleTemplateName	string	このルールの作成に使用するアラートルールテンプレートの名前。
properties.customDetails	object	アラートにアタッチする列の文字列キーと値のペアのディクショナリ
properties.description	string	アラートルールの説明。
properties.displayName	string	このアラートルールによって作成されたアラートの表示名。
properties.enabled	boolean	このアラートルールが有効か無効かを決定します。
properties.entityMappings	EntityMapping[]	アラートルールのエンティティマッピングの配列
properties.eventGroupingSettings	EventGroupingSettings	イベントグループ化の設定。
properties.incidentConfiguration	IncidentConfiguration	この分析ルールによってトリガーされるアラートから作成されたインシデントの設定
properties.lastModifiedUtc	string (date-time)	このアラートルールが最後に変更された時刻。
properties.query	string	このルールのアラートを作成するクエリ。
properties.queryFrequency	string (duration)	このアラートルールを実行する頻度 (ISO 8601 期間形式)。
properties.queryPeriod	string (duration)	このアラートルールが表示する期間 (ISO 8601 期間形式)。
properties.severity	AlertSeverity	このアラートルールによって作成されたアラートの重大度。
properties.suppressionDuration	string (duration)	このアラートルールが最後にトリガーされてから待機する抑制 (ISO 8601 期間形式)。
properties.suppressionEnabled	boolean	このアラートルールの抑制が有効か無効かを決定します。
properties.tactics	AttackTactic[]	アラートルールの戦術
properties.techniques	string[]	アラートルールの手法
properties.templateVersion	string	このルールの作成に使用されるアラートルールテンプレートのバージョン (a.b.c<>形式)、すべての数値 (例: 0 <1.0.2>
properties.triggerOperator	TriggerOperator	アラートルールをトリガーするしきい値に対する操作。
properties.triggerThreshold	integer (int32)	しきい値によって、このアラートルールがトリガーされます。
systemData	systemData	createdBy および modifiedBy 情報を含む Azure Resource Manager メタデータ。
type	string	リソースの型。例: "Microsoft.Compute/virtualMachines" または "Microsoft.Storage/storageAccounts"

systemData

Object

リソースの作成と最後の変更に関連するメタデータ。

名前	型	説明
createdAt	string (date-time)	リソース作成のタイムスタンプ (UTC)。
createdBy	string	リソースを作成した ID。
createdByType	createdByType	リソースを作成した ID の種類。
lastModifiedAt	string (date-time)	リソースの最終変更のタイムスタンプ (UTC)
lastModifiedBy	string	リソースを最後に変更した ID。
lastModifiedByType	createdByType	リソースを最後に変更した ID の種類。

TriggerOperator

列挙

アラートルールをトリガーするしきい値に対する操作。

値	説明
Equal
GreaterThan
LessThan
NotEqual

次の方法で共有

Alert Rules - List

URI パラメーター

応答

セキュリティ

azure_auth

スコープ

例

Get all alert rules.

要求のサンプル

応答のサンプル

定義

AlertDetail

AlertDetailsOverride

AlertProperty

AlertPropertyMapping

AlertRulesList

AlertSeverity

AttackTactic

CloudError

CloudErrorBody

createdByType

EntityMapping

EntityMappingType

EventGroupingAggregationKind

EventGroupingSettings

FieldMapping

FusionAlertRule

GroupingConfiguration

IncidentConfiguration

MatchingMethod

MicrosoftSecurityIncidentCreationAlertRule

MicrosoftSecurityProductName

ScheduledAlertRule

systemData

TriggerOperator