Incidents - Get

Ссылка

Служба:: Sentinel

Версия API:: 2024-03-01

Возвращает заданный инцидент.

GET https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/providers/Microsoft.SecurityInsights/incidents/{incidentId}?api-version=2024-03-01

Параметры URI

Имя	В	Обязательно	Тип	Описание
incidentId	path	True	string	ИД инцидента
resourceGroupName	path	True	string	Имя группы ресурсов. Регистр букв в имени не учитывается.
subscriptionId	path	True	string uuid	Идентификатор целевой подписки. Значение должно быть UUID.
workspaceName	path	True	string	имя рабочей области; Шаблон регулярного выражения: `^[A-Za-z0-9][A-Za-z0-9-]+[A-Za-z0-9]$`
api-version	query	True	string	Версия API, используемая для данной операции.

Ответы

Имя	Тип	Описание
200 OK	Incident	ОК, операция успешно завершена
Other Status Codes	CloudError	Ответ об ошибке, описывающий причину сбоя операции.

Безопасность

azure_auth

Поток OAuth2 в Azure Active Directory

Тип: oauth2
Flow: implicit
URL-адрес авторизации: https://login.microsoftonline.com/common/oauth2/authorize

Области

Имя	Описание
user_impersonation	олицетворения учетной записи пользователя

Примеры

Get an incident.

Образец запроса

HTTP

GET https://management.azure.com/subscriptions/d0cfe6b2-9ac0-4464-9919-dccaee2e48c0/resourceGroups/myRg/providers/Microsoft.OperationalInsights/workspaces/myWorkspace/providers/Microsoft.SecurityInsights/incidents/73e01a99-5cd7-4139-a149-9f2736ff2ab5?api-version=2024-03-01

Пример ответа

Код состояния:: 200

{
  "id": "/subscriptions/d0cfe6b2-9ac0-4464-9919-dccaee2e48c0/resourceGroups/myRg/providers/Microsoft.OperationalInsights/workspaces/myWorkspace/providers/Microsoft.SecurityInsights/incidents/73e01a99-5cd7-4139-a149-9f2736ff2ab5",
  "name": "73e01a99-5cd7-4139-a149-9f2736ff2ab5",
  "type": "Microsoft.SecurityInsights/incidents",
  "etag": "\"0300bf09-0000-0000-0000-5c37296e0000\"",
  "properties": {
    "lastModifiedTimeUtc": "2019-01-01T13:15:30Z",
    "createdTimeUtc": "2019-01-01T13:15:30Z",
    "lastActivityTimeUtc": "2019-01-01T13:05:30Z",
    "firstActivityTimeUtc": "2019-01-01T13:00:30Z",
    "description": "This is a demo incident",
    "title": "My incident",
    "owner": {
      "objectId": "2046feea-040d-4a46-9e2b-91c2941bfa70",
      "email": "john.doe@contoso.com",
      "userPrincipalName": "john@contoso.com",
      "assignedTo": "john doe"
    },
    "severity": "High",
    "classification": "FalsePositive",
    "classificationComment": "Not a malicious activity",
    "classificationReason": "InaccurateData",
    "status": "Closed",
    "incidentUrl": "https://portal.azure.com/#asset/Microsoft_Azure_Security_Insights/Incident/subscriptions/d0cfe6b2-9ac0-4464-9919-dccaee2e48c0/resourceGroups/myRg/providers/Microsoft.OperationalInsights/workspaces/myWorkspace/providers/Microsoft.SecurityInsights/incidents/73e01a99-5cd7-4139-a149-9f2736ff2ab5",
    "incidentNumber": 3177,
    "labels": [],
    "providerName": "Azure Sentinel",
    "providerIncidentId": "3177",
    "relatedAnalyticRuleIds": [
      "/subscriptions/d0cfe6b2-9ac0-4464-9919-dccaee2e48c0/resourceGroups/myRg/providers/Microsoft.OperationalInsights/workspaces/myWorkspace/providers/Microsoft.SecurityInsights/alertRules/fab3d2d4-747f-46a7-8ef0-9c0be8112bf7"
    ],
    "additionalData": {
      "alertsCount": 0,
      "bookmarksCount": 0,
      "commentsCount": 3,
      "alertProductNames": [],
      "tactics": [
        "InitialAccess",
        "Persistence"
      ]
    }
  }
}

Определения

Имя	Описание
AttackTactic	Серьезность для оповещений, созданных этим правилом генерации оповещений.
CloudError	Структура ответа на ошибку.
CloudErrorBody	Сведения об ошибке.
createdByType	Тип удостоверения, создавшего ресурс.
Incident	Представляет инцидент в Azure Security Insights.
IncidentAdditionalData	Контейнер дополнительных свойств данных инцидента.
IncidentClassification	Причина инцидента была закрыта
IncidentClassificationReason	Причина классификации инцидента была закрыта
IncidentLabel	Представляет метку инцидента
IncidentLabelType	Тип метки
IncidentOwnerInfo	Сведения о пользователе, которому назначен инцидент
IncidentSeverity	Серьезность инцидента
IncidentStatus	Состояние инцидента
OwnerType	Тип владельца, которому назначен инцидент.
systemData	Метаданные, относящиеся к созданию и последнему изменению ресурса.

AttackTactic

Серьезность для оповещений, созданных этим правилом генерации оповещений.

Имя	Тип	Описание
Collection	string
CommandAndControl	string
CredentialAccess	string
DefenseEvasion	string
Discovery	string
Execution	string
Exfiltration	string
Impact	string
ImpairProcessControl	string
InhibitResponseFunction	string
InitialAccess	string
LateralMovement	string
Persistence	string
PreAttack	string
PrivilegeEscalation	string
Reconnaissance	string
ResourceDevelopment	string

CloudError

Структура ответа на ошибку.

Имя	Тип	Описание
error	CloudErrorBody	Данные об ошибках

CloudErrorBody

Сведения об ошибке.

Имя	Тип	Описание
code	string	Идентификатор ошибки. Коды инвариантны и предназначены для программного использования.
message	string	Сообщение, описывающее ошибку, предназначенное для отображения в пользовательском интерфейсе.

createdByType

Тип удостоверения, создавшего ресурс.

Имя	Тип	Описание
Application	string
Key	string
ManagedIdentity	string
User	string

Incident

Представляет инцидент в Azure Security Insights.

Имя	Тип	Описание
etag	string	Etag ресурса Azure
id	string	Полный идентификатор ресурса. Например: /subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/{resourceProviderNamespace}/{resourceType}/{resourceName}
name	string	Имя ресурса.
properties.additionalData	IncidentAdditionalData	Дополнительные данные об инциденте
properties.classification	IncidentClassification	Причина инцидента была закрыта
properties.classificationComment	string	Описывает причину закрытия инцидента
properties.classificationReason	IncidentClassificationReason	Причина классификации инцидента была закрыта
properties.createdTimeUtc	string	Время создания инцидента
properties.description	string	Описание инцидента
properties.firstActivityTimeUtc	string	Время первого действия в инциденте
properties.incidentNumber	integer	Последовательный номер
properties.incidentUrl	string	URL-адрес прямой ссылки на инцидент в портал Azure
properties.labels	IncidentLabel[]	Список меток, относящихся к этому инциденту
properties.lastActivityTimeUtc	string	Время последнего действия в инциденте
properties.lastModifiedTimeUtc	string	Время последнего обновления инцидента
properties.owner	IncidentOwnerInfo	Описывает пользователя, которому назначен инцидент
properties.providerIncidentId	string	Идентификатор инцидента, назначенный поставщиком инцидентов
properties.providerName	string	Имя поставщика источника, создавшего инцидент.
properties.relatedAnalyticRuleIds	string[]	Список идентификаторов ресурсов правил аналитики, связанных с инцидентом
properties.severity	IncidentSeverity	Серьезность инцидента
properties.status	IncidentStatus	Состояние инцидента
properties.title	string	Название инцидента
systemData	systemData	Azure Resource Manager метаданные, содержащие сведения createdBy и modifiedBy.
type	string	Тип ресурса. Например, Microsoft.Compute/virtualMachines или Microsoft.Storage/storageAccounts.

IncidentAdditionalData

Контейнер дополнительных свойств данных инцидента.

Имя	Тип	Описание
alertProductNames	string[]	Список названий продуктов оповещений в инциденте
alertsCount	integer	Количество оповещений в инциденте
bookmarksCount	integer	Количество закладок в инциденте
commentsCount	integer	Количество комментариев в инциденте
providerIncidentUrl	string	URL-адрес инцидента поставщика для инцидента на портале Microsoft 365 Defender
tactics	AttackTactic[]	Тактика, связанная с инцидентом

IncidentClassification

Причина инцидента была закрыта

Имя	Тип	Описание
BenignPositive	string	Инцидент был неопасным положительным
FalsePositive	string	Инцидент был ложноположительным
TruePositive	string	Инцидент был истинно положительным
Undetermined	string	Классификация инцидентов не определена

IncidentClassificationReason

Причина классификации инцидента была закрыта

Имя	Тип	Описание
InaccurateData	string	Причина классификации — неточные данные
IncorrectAlertLogic	string	Причина классификации — неправильная логика оповещения
SuspiciousActivity	string	Причиной классификации было подозрительное действие
SuspiciousButExpected	string	Причина классификации была подозрительной, но ожидаемой

IncidentLabel

Представляет метку инцидента

Имя	Тип	Описание
labelName	string	Имя метки
labelType	IncidentLabelType	Тип метки

IncidentLabelType

Тип метки

Имя	Тип	Описание
AutoAssigned	string	Метка, автоматически созданная системой
User	string	Метка, созданная пользователем вручную

IncidentOwnerInfo

Сведения о пользователе, которому назначен инцидент

Имя	Тип	Описание
assignedTo	string	Имя пользователя, которому назначен инцидент.
email	string	Адрес электронной почты пользователя, которому назначен инцидент.
objectId	string	Идентификатор объекта пользователя, которому назначен инцидент.
ownerType	OwnerType	Тип владельца, которому назначен инцидент.
userPrincipalName	string	Имя участника-пользователя, которому назначен инцидент.

IncidentSeverity

Серьезность инцидента

Имя	Тип	Описание
High	string	Высокая серьезность
Informational	string	Информационная серьезность
Low	string	Низкая серьезность
Medium	string	Средняя серьезность

IncidentStatus

Состояние инцидента

Имя	Тип	Описание
Active	string	Активный инцидент, который обрабатывается
Closed	string	Неактивный инцидент
New	string	Активный инцидент, который в настоящее время не обрабатывается

OwnerType

Тип владельца, которому назначен инцидент.

Имя	Тип	Описание
Group	string	Тип владельца инцидента — это группа AAD.
Unknown	string	Неизвестный тип владельца инцидента
User	string	Тип владельца инцидента — пользователь AAD.

systemData

Метаданные, относящиеся к созданию и последнему изменению ресурса.

Имя	Тип	Описание
createdAt	string	Метка времени создания ресурса (UTC).
createdBy	string	Удостоверение, создающее ресурс.
createdByType	createdByType	Тип удостоверения, создавшего ресурс.
lastModifiedAt	string	Метка времени последнего изменения ресурса (UTC)
lastModifiedBy	string	Удостоверение, которое последним изменял ресурс.
lastModifiedByType	createdByType	Тип удостоверения, которое последним изменял ресурс.

Поделиться через