New-ProtectionAlert

Модуль:: Exchange PowerShell

Этот командлет доступен только в PowerShell безопасности и соответствия требованиям. Дополнительные сведения см. в статье PowerShell безопасности и соответствия требованиям.

Используйте командлет New-ProtectionAlert для создания политик оповещений в Портал соответствия требованиям Microsoft Purview и на портале Microsoft Defender. Политики оповещений содержат условия, определяющие действия отслеживаемых пользователей, а также параметры уведомлений и записей по электронной почте.

Примечание.

Хотя командлет доступен, при отсутствии корпоративной лицензии возникает следующая ошибка:

Для создания расширенных политик оповещений требуется подписка на Office 365 E5 или Office 365 E3 с подпиской на надстройку Office 365 Threat Intelligence или Office 365 EquivioAnalytics для вашей организации. С текущей подпиской можно создавать оповещения только об отдельных событиях.

Вы можете избежать этой ошибки, указав -AggregationType None в командной строке слово "и ".-Operation

Дополнительные сведения см. в статье Политики оповещений в Microsoft 365.

Сведения о наборах параметров в разделе Синтаксис ниже см. В разделе Синтаксис командлета Exchange.

Синтаксис

Default (По умолчанию)

New-ProtectionAlert
    -Category <AlertRuleCategory>
    -Name <String>
    -NotifyUser <MultiValuedProperty>
    -ThreatType <ThreatAlertType>
    [-AggregationType <AlertAggregationType>]
    [-AlertBy <MultiValuedProperty>]
    [-AlertFor <MultiValuedProperty>]
    [-Comment <String>]
    [-Confirm]
    [-CorrelationPolicyId <System.Guid>]
    [-Description <String>]
    [-Disabled <Boolean>]
    [-Filter <String>]
    [-LogicalOperationName <String>]
    [-NotificationCulture <CultureInfo>]
    [-NotificationEnabled <Boolean>]
    [-NotifyUserOnFilterMatch <Boolean>]
    [-NotifyUserSuppressionExpiryDate <DateTime>]
    [-NotifyUserThrottleThreshold <Int32>]
    [-NotifyUserThrottleWindow <Int32>]
    [-Operation <MultiValuedProperty>]
    [-PrivacyManagementScopedSensitiveInformationTypes <MultiValuedProperty>]
    [-PrivacyManagementScopedSensitiveInformationTypesForCounting <MultiValuedProperty>]
    [-PrivacyManagementScopedSensitiveInformationTypesThreshold <System.UInt64>]
    [-CustomProperties <PswsHashtable>]
    [-Severity <RuleSeverity>]
    [-Threshold <Int32>]
    [-TimeWindow <Int32>]
    [-UseCreatedDateTime <System.Boolean>]
    [-VolumeThreshold <System.UInt64>]
    [-WhatIf]
    [<CommonParameters>]

Описание

Чтобы использовать этот командлет в PowerShell безопасности и соответствия требованиям, вам должны быть назначены соответствующие разрешения. Дополнительные сведения см. в статье Разрешения на портале соответствия требованиям Microsoft Purview.

Примеры

Пример 1

New-ProtectionAlert -Name "Content search deleted" -Category Others -NotifyUser admin@contoso.com -ThreatType Activity -Operation SearchRemoved -Description "Custom alert policy to track when content searches are deleted" -AggregationType None

В этом примере создается политика оповещений, которая активирует оповещение, когда кто-либо в организации удаляет поиск контента на Портале соответствия требованиям Microsoft Purview.

Параметры

-AggregationType

Параметр AggregationType указывает, как политика предупреждений отправляет предупреждения при возникновении нескольких случаев отслеживаемой активности. Допустимые значения:

Нет: оповещения срабатывают при каждом повторении действия.
SimpleAggregation: Оповещения срабатывают на основе объема активности в заданном временном интервале (значения параметров Threshold и TimeWindow). Это значение используется по умолчанию.
AnomalousAggregation: оповещения срабатывают, когда объем активности достигает необычного уровня (значительно превышает нормальный базовый уровень, установленный для активности). Microsoft 365 может потребоваться до 7 дней для определения базового уровня. В период расчета базового уровня не создаются предупреждения об активности.

Свойства параметров

Тип:	AlertAggregationType
Значение по умолчанию:	None
Поддерживаются подстановочные знаки:	False
DontShow:	False

Наборы параметров

(All)

Position:	Named
Обязательно:	False
Значение из конвейера:	False
Значение из конвейера по имени свойства:	False
Значение из оставшихся аргументов:	False

-AlertBy

Параметр AlertBy определяет области для агрегированных политик оповещений. Допустимые значения определяются значением параметра ThreatType:

Действие: допустимые значения: "Пользователь" или "$null" (пустое значение, используемое по умолчанию). Если вы не используете значение User, политика предупреждений распространяется на всю организацию.
Вредоносные программы: допустимые значения: Mail.Recipient или Mail.ThreatName.

Этот параметр невозможно использовать, когда параметру AggregationType задано значение None (предупреждения отправляются о каждом случае активности).

Примечание. Этот параметр необходим для отображения сущностей в оповещениях. Без него оповещения срабатывают, не показывая объекты. Настоятельно рекомендуем указывать значение для этого параметра.

Свойства параметров

Тип:	MultiValuedProperty
Значение по умолчанию:	None
Поддерживаются подстановочные знаки:	False
DontShow:	False

Наборы параметров

(All)

Position:	Named
Обязательно:	False
Значение из конвейера:	False
Значение из конвейера по имени свойства:	False
Значение из оставшихся аргументов:	False

-AlertFor

Этот параметр зарезервирован для внутреннего использования корпорацией Майкрософт.

Свойства параметров

Тип:	MultiValuedProperty
Значение по умолчанию:	None
Поддерживаются подстановочные знаки:	False
DontShow:	False

Наборы параметров

(All)

Position:	Named
Обязательно:	False
Значение из конвейера:	False
Значение из конвейера по имени свойства:	False
Значение из оставшихся аргументов:	False

-Category

Параметр Category указывает категорию для политики оповещений. Допустимые значения:

AccessGovernance
Диспетчер соответствия требованиям
DataGovernance
MailFlow
Другие
Управление конфиденциальностью
Контроль
ThreatManagement

Когда происходит активность, которая соответствует условиям политики предупреждений, категория создаваемого предупреждения определяется этим параметром. Это позволяет отслеживать предупреждения, которые относятся к одной категории, и управлять ими.

Свойства параметров

Тип:	AlertRuleCategory
Значение по умолчанию:	None
Поддерживаются подстановочные знаки:	False
DontShow:	False

Наборы параметров

(All)

Position:	Named
Обязательно:	True
Значение из конвейера:	False
Значение из конвейера по имени свойства:	False
Значение из оставшихся аргументов:	False

-Comment

Параметр Comment указывает необязательный комментарий. Если вы указываете значение, содержащее пробелы, заключите его в кавычки ("), например:" Это примечание администратора ".

Свойства параметров

Тип:	String
Значение по умолчанию:	None
Поддерживаются подстановочные знаки:	False
DontShow:	False

Наборы параметров

(All)

Position:	Named
Обязательно:	False
Значение из конвейера:	False
Значение из конвейера по имени свойства:	False
Значение из оставшихся аргументов:	False

-Confirm

Переключатель подтверждения указывает, показывать или скрывать запрос подтверждения. То, как этот переключатель влияет на командлет, зависит от того, требует ли командлет подтверждения перед продолжением.

Деструктивные командлеты (например, командлеты Remove-) имеют встроенную паузу, которая заставляет вас подтвердить команду перед продолжением. Можно пропускать запросы на подтверждение этих командлетов, используя следующий синтаксис: -Confirm:$false.
Большинство других командлетов (например, командлеты New- и Set-) не имеют встроенной паузы. Для этих командлетов указание параметра Confirm без значения приводит к паузе, которая вынуждает вас подтвердить команду перед продолжением.

Свойства параметров

Тип:	SwitchParameter
Значение по умолчанию:	None
Поддерживаются подстановочные знаки:	False
DontShow:	False
Aliases:	cf

Наборы параметров

(All)

Position:	Named
Обязательно:	False
Значение из конвейера:	False
Значение из конвейера по имени свойства:	False
Значение из оставшихся аргументов:	False

-CorrelationPolicyId

Свойства параметров

Тип:	System.Guid
Значение по умолчанию:	None
Поддерживаются подстановочные знаки:	False
DontShow:	False

Наборы параметров

(All)

Position:	Named
Обязательно:	False
Значение из конвейера:	False
Значение из конвейера по имени свойства:	False
Значение из оставшихся аргументов:	False

-CustomProperties

Свойства параметров

Тип:	PswsHashtable
Значение по умолчанию:	None
Поддерживаются подстановочные знаки:	False
DontShow:	False

Наборы параметров

(All)

Position:	Named
Обязательно:	False
Значение из конвейера:	False
Значение из конвейера по имени свойства:	False
Значение из оставшихся аргументов:	False

-Description

Параметр Description задает описание политики предупреждений. Если значение содержит пробелы, его необходимо заключить в кавычки (").

Свойства параметров

Тип:	String
Значение по умолчанию:	None
Поддерживаются подстановочные знаки:	False
DontShow:	False

Наборы параметров

(All)

Position:	Named
Обязательно:	False
Значение из конвейера:	False
Значение из конвейера по имени свойства:	False
Значение из оставшихся аргументов:	False

-Disabled

Параметр Disabled включает или выключает политику предупреждений. Допустимые значения:

$true: политика оповещений отключена.
$false: политика оповещений включена. Это значение используется по умолчанию.

Свойства параметров

Тип:	Boolean
Значение по умолчанию:	None
Поддерживаются подстановочные знаки:	False
DontShow:	False

Наборы параметров

(All)

Position:	Named
Обязательно:	False
Значение из конвейера:	False
Значение из конвейера по имени свойства:	False
Значение из оставшихся аргументов:	False

-Filter

Параметр Filter использует синтаксис OPATH для фильтрации результатов по указанным свойствам и значениям. Для критериев поиска используется следующий синтаксис: "Property -ComparisonOperator 'Value'".

Заключите весь фильтр OPATH в двойные кавычки " ". Если фильтр содержит системные значения (например, $true, $false или $null), используйте одиночные кавычки ' '. Хотя этот параметр является строкой (а не системным блоком), вы также можете использовать фигурные скобки { }, но только если фильтр не содержит переменные.
Property — это свойство с поддержкой фильтрации.
ComparisonOperator — это оператор сравнения OPATH (например -eq , для равенства и -like для строкового сравнения). Подробнее об операторах сравнения см. в статье about_Comparison_Operators.
Value — это значение свойства для поиска. Заключите текстовые значения и переменные в одиночные кавычки ('Value' или '$Variable'). Если значение переменной содержит одиночные кавычки, необходимо определить (избежать) одиночные кавычки, чтобы правильно развернуть переменную. Например, вместо '$User' используйте '$($User -Replace "'","''")'. Не заключайте целые числа или системные значения в кавычки (например, используйте 500, $true, $false, или $null вместо них).

Вы можете связать несколько критериев поиска вместе с помощью логического -and оператора (например, "Criteria1 -and Criteria2").

Подробные сведения о фильтрах OPATH в Exchange см. в статье "Дополнительные сведения о синтаксисе OPATH".

Фильтруемые свойства:

Действие

Activity.ClientIp
Activity.CreationTime
Activity.Item
Activity.ItemType
Activity.Operation
Activity.ResultStatus
Activity.Scope
Activity.SiteUrl
Activity.SourceFileExtension
Activity.SourceFileName
Activity.TargetUserOrGroupType
Activity.UserAgent
Activity.UserId
Activity.UserType
Activity.Workload

Вредоносная программа

Почта:AttachmentExtensions
Почта:ВложенияИмена
Почта:CreationTime
Почта:DeliveryStatus
Почта:Направление
Почта:От
Почта:FromDomain
Почта:InternetMessageId
Почта:IsIntraOrgSpoof
Почта:IsMalware
Почта:IsSpam
Mail:IsThreat
Почта:Язык
Почта:Получатель
Почта:Scl
Почта:SenderCountry
Почта:SenderIpAddress
Почта:Тема
Mail:TenantId
Mail:ThreatName

Свойства параметров

Тип:	String
Значение по умолчанию:	None
Поддерживаются подстановочные знаки:	False
DontShow:	False

Наборы параметров

(All)

Position:	Named
Обязательно:	False
Значение из конвейера:	False
Значение из конвейера по имени свойства:	False
Значение из оставшихся аргументов:	False

-LogicalOperationName

Свойства параметров

Тип:	String
Значение по умолчанию:	None
Поддерживаются подстановочные знаки:	False
DontShow:	False

Наборы параметров

(All)

Position:	Named
Обязательно:	False
Значение из конвейера:	False
Значение из конвейера по имени свойства:	False
Значение из оставшихся аргументов:	False

-Name

Параметр Name определяет уникальное имя политики предупреждений. Если значение содержит пробелы, его необходимо заключить в кавычки (").

Свойства параметров

Тип:	String
Значение по умолчанию:	None
Поддерживаются подстановочные знаки:	False
DontShow:	False

Наборы параметров

(All)

Position:	Named
Обязательно:	True
Значение из конвейера:	False
Значение из конвейера по имени свойства:	False
Значение из оставшихся аргументов:	False

-NotificationCulture

Параметр NotificationCulture определяет язык или языковой стандарт уведомлений.

Допустимыми входными данными для этого параметра является поддерживаемое значение кода языка и региональных параметров из класса CultureInfo Microsoft платформа .NET Framework. Например, da-DK для датского языка или ja-JP для японского. Подробнее см. в разделе Класс CultureInfo.

Свойства параметров

Тип:	CultureInfo
Значение по умолчанию:	None
Поддерживаются подстановочные знаки:	False
DontShow:	False

Наборы параметров

(All)

Position:	Named
Обязательно:	False
Значение из конвейера:	False
Значение из конвейера по имени свойства:	False
Значение из оставшихся аргументов:	False

-NotificationEnabled

Свойства параметров

Тип:	Boolean
Значение по умолчанию:	None
Поддерживаются подстановочные знаки:	False
DontShow:	False

Наборы параметров

(All)

Position:	Named
Обязательно:	False
Значение из конвейера:	False
Значение из конвейера по имени свойства:	False
Значение из оставшихся аргументов:	False

-NotifyUser

Параметр NotifyUser задает SMTP-адрес пользователя, который получает уведомления о действиях, отслеживаемых политикой предупреждений. Вы можете указать несколько значений, разделив их запятыми.

Свойства параметров

Тип:	MultiValuedProperty
Значение по умолчанию:	None
Поддерживаются подстановочные знаки:	False
DontShow:	False

Наборы параметров

(All)

Position:	Named
Обязательно:	True
Значение из конвейера:	False
Значение из конвейера по имени свойства:	False
Значение из оставшихся аргументов:	False

-NotifyUserOnFilterMatch

Параметр NotifyUserOnFilterMatch указывает, следует ли активировать оповещение для одного события, если политика оповещений настроена для агрегированных действий. Допустимые значения:

$true. Даже если оповещение настроено на агрегированное действие, уведомление срабатывает во время сопоставления действия (по сути, раннее предупреждение).
$false: оповещения активируются в соответствии с указанным типом агрегирования. Это значение используется по умолчанию.

Свойства параметров

Тип:	Boolean
Значение по умолчанию:	None
Поддерживаются подстановочные знаки:	False
DontShow:	False

Наборы параметров

(All)

Position:	Named
Обязательно:	False
Значение из конвейера:	False
Значение из конвейера по имени свойства:	False
Значение из оставшихся аргументов:	False

-NotifyUserSuppressionExpiryDate

Параметр NotifyUserSuppressionExpiryDate указывает, следует ли временно приостановить отправку уведомлений согласно политике предупреждений. До указанного времени приостанавливается отправка уведомлений об обнаруженных действий.

Используйте формат короткой даты, определенный в настройках региональных параметров на компьютере, на котором выполняется команда. Например, если компьютер настроен на использование короткого формата даты ММ/ДД/ГГГГ, введите 01.09.2018, чтобы указать 1 сентября 2018 года. Допускается ввод только даты или даты и времени. Если вы вводите дату и время дня, заключите это значение в кавычки ("), например," 09/01/2018 5:00 PM ".

Свойства параметров

Тип:	DateTime
Значение по умолчанию:	None
Поддерживаются подстановочные знаки:	False
DontShow:	False

Наборы параметров

(All)

Position:	Named
Обязательно:	False
Значение из конвейера:	False
Значение из конвейера по имени свойства:	False
Значение из оставшихся аргументов:	False

-NotifyUserThrottleThreshold

Параметр NotifyUserThrottleThreshold задает максимальное количество уведомлений для политики предупреждений за период, указанный параметром NotifyUserThrottleWindow. После достижения максимального количества уведомлений за период времени уведомления больше не будут отправляться. Допустимые значения:

Параметр SyncSchedule указывает ???. Допустимые значения этого параметра:
Значение $null. Это значение используется по умолчанию (максимальное количество уведомлений для оповещения не ограничено).

Свойства параметров

Тип:	Int32
Значение по умолчанию:	None
Поддерживаются подстановочные знаки:	False
DontShow:	False

Наборы параметров

(All)

Position:	Named
Обязательно:	False
Значение из конвейера:	False
Значение из конвейера по имени свойства:	False
Значение из оставшихся аргументов:	False

-NotifyUserThrottleWindow

Параметр NotifyUserThrottleWindow указывает интервал времени в минутах, который используется параметром NotifyUserThrottleThreshold. Допустимые значения:

Параметр SyncSchedule указывает ???. Допустимые значения этого параметра:
Значение $null. Это значение используется по умолчанию (интервал для регулирования уведомлений отсутствует).

Свойства параметров

Тип:	Int32
Значение по умолчанию:	None
Поддерживаются подстановочные знаки:	False
DontShow:	False

Наборы параметров

(All)

Position:	Named
Обязательно:	False
Значение из конвейера:	False
Значение из конвейера по имени свойства:	False
Значение из оставшихся аргументов:	False

-Operation

Параметр Operation указывает действия, отслеживаемые политикой оповещений. Список доступных действий см. на вкладке "Действия, для которых выполняется аудит".

Хотя этот параметр технически способен принимать несколько значений, разделенных запятыми, несколько значений не работают.

Этот параметр можно использовать, только когда параметру ThreatType задано значение Activity.

Свойства параметров

Тип:	MultiValuedProperty
Значение по умолчанию:	None
Поддерживаются подстановочные знаки:	False
DontShow:	False

Наборы параметров

(All)

Position:	Named
Обязательно:	False
Значение из конвейера:	False
Значение из конвейера по имени свойства:	False
Значение из оставшихся аргументов:	False

-PrivacyManagementScopedSensitiveInformationTypes

{{ Fill PrivacyManagementScopedSensitiveInformationTypes Description }}

Свойства параметров

Тип:	MultiValuedProperty
Значение по умолчанию:	None
Поддерживаются подстановочные знаки:	False
DontShow:	False

Наборы параметров

(All)

Position:	Named
Обязательно:	False
Значение из конвейера:	False
Значение из конвейера по имени свойства:	False
Значение из оставшихся аргументов:	False

-PrivacyManagementScopedSensitiveInformationTypesForCounting

{{ Fill PrivacyManagementScopedSensitiveInformationTypesForCounting Description }}

Свойства параметров

Тип:	MultiValuedProperty
Значение по умолчанию:	None
Поддерживаются подстановочные знаки:	False
DontShow:	False

Наборы параметров

(All)

Position:	Named
Обязательно:	False
Значение из конвейера:	False
Значение из конвейера по имени свойства:	False
Значение из оставшихся аргументов:	False

-PrivacyManagementScopedSensitiveInformationTypesThreshold

{{ Fill PrivacyManagementScopedSensitiveInformationTypesThreshold Description }}

Свойства параметров

Тип:	System.UInt64
Значение по умолчанию:	None
Поддерживаются подстановочные знаки:	False
DontShow:	False

Наборы параметров

(All)

Position:	Named
Обязательно:	False
Значение из конвейера:	False
Значение из конвейера по имени свойства:	False
Значение из оставшихся аргументов:	False

-Severity

Параметр Severity задает серьезность обнаруженного действия. Допустимые значения:

Низкий (значение по умолчанию)
Средняя
Высокая

Свойства параметров

Тип:	RuleSeverity
Значение по умолчанию:	None
Поддерживаются подстановочные знаки:	False
DontShow:	False

Наборы параметров

(All)

Position:	Named
Обязательно:	False
Значение из конвейера:	False
Значение из конвейера по имени свойства:	False
Значение из оставшихся аргументов:	False

-ThreatType

Параметр ThreatType задает тип действий, которые отслеживаются политикой предупреждений. Допустимые значения:

Действие
Вредоносная программа

Значение, выбираемое для этого параметра, определяет значения, которые вы можете задавать параметрам AlertBy, Filter и Operation.

Это значение невозможно изменить после создания политики предупреждений.

Свойства параметров

Тип:	ThreatAlertType
Значение по умолчанию:	None
Поддерживаются подстановочные знаки:	False
DontShow:	False

Наборы параметров

(All)

Position:	Named
Обязательно:	True
Значение из конвейера:	False
Значение из конвейера по имени свойства:	False
Значение из оставшихся аргументов:	False

-Threshold

Параметр Threshold указывает количество обнаружений, которые должны быть превышены в течение периода времени, определенного параметром TimeWindow, чтобы активировать политику оповещений. Значение должно быть целым числом не менее 3.

Этот параметр можно использовать, только когда параметру AggregationType задано значение SimpleAggregation.

Свойства параметров

Тип:	Int32
Значение по умолчанию:	None
Поддерживаются подстановочные знаки:	False
DontShow:	False

Наборы параметров

(All)

Position:	Named
Обязательно:	False
Значение из конвейера:	False
Значение из конвейера по имени свойства:	False
Значение из оставшихся аргументов:	False

-TimeWindow

Параметр TimeWindow задает период в минутах для количества обнаруженных действий, указанного параметром Threshold. Значение должно быть целым числом больше 60 (один час).

Этот параметр можно использовать, только когда параметру AggregationType задано значение SimpleAggregation.

Свойства параметров

Тип:	Int32
Значение по умолчанию:	None
Поддерживаются подстановочные знаки:	False
DontShow:	False

Наборы параметров

(All)

Position:	Named
Обязательно:	False
Значение из конвейера:	False
Значение из конвейера по имени свойства:	False
Значение из оставшихся аргументов:	False

-UseCreatedDateTime

Свойства параметров

Тип:	System.Boolean
Значение по умолчанию:	None
Поддерживаются подстановочные знаки:	False
DontShow:	False

Наборы параметров

(All)

Position:	Named
Обязательно:	False
Значение из конвейера:	False
Значение из конвейера по имени свойства:	False
Значение из оставшихся аргументов:	False

-VolumeThreshold

Свойства параметров

Тип:	System.UInt64
Значение по умолчанию:	None
Поддерживаются подстановочные знаки:	False
DontShow:	False

Наборы параметров

(All)

Position:	Named
Обязательно:	False
Значение из конвейера:	False
Значение из конвейера по имени свойства:	False
Значение из оставшихся аргументов:	False

-WhatIf

Параметр WhatIf не поддерживается в PowerShell безопасности и соответствия требованиям.

Свойства параметров

Тип:	SwitchParameter
Значение по умолчанию:	None
Поддерживаются подстановочные знаки:	False
DontShow:	False
Aliases:	wi

Наборы параметров

(All)

Position:	Named
Обязательно:	False
Значение из конвейера:	False
Значение из конвейера по имени свойства:	False
Значение из оставшихся аргументов:	False

CommonParameters

Этот командлет поддерживает общие параметры: -Debug, -ErrorAction, -ErrorVariable, -InformationAction, -InformationVariable, -OutBuffer, -OutVariable, -PipelineVariable, -ProgressAction, -Verbose, -WarningAction и -WarningVariable. Дополнительные сведения см. в статье about_CommonParameters.

Обратная связь

Были ли сведения на этой странице полезными?