你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

az sentinel threat-indicator

注意

此参考是 Azure CLI（版本 2.37.0 或更高版本）的 sentinel 扩展的一部分。 该扩展将在首次运行 az sentinel threat-indicator 命令时自动安装。 详细了解扩展。

使用 sentinel 管理威胁情报指示器。

命令

名称	说明	类型	状态
az sentinel threat-indicator append-tag	将标记追加到威胁情报指示器。	扩展	实验
az sentinel threat-indicator create	创建新的威胁情报指示器。	分机	实验
az sentinel threat-indicator delete	删除威胁情报指示器。	扩展	实验
az sentinel threat-indicator list	获取所有威胁情报指示器。	分机	实验
az sentinel threat-indicator metric	使用 sentinel 管理威胁情报指标指标。	分机	GA
az sentinel threat-indicator metric list	获取威胁情报指示器指标（指标按类型、威胁类型、源计数）。	分机	GA
az sentinel threat-indicator query	根据筛选条件查询威胁情报指示器。	分机	实验
az sentinel threat-indicator replace-tag	替换添加到威胁情报指示器的标记。	分机	实验
az sentinel threat-indicator show	按名称查看威胁情报指示器。	扩展	实验
az sentinel threat-indicator update	更新威胁情报指示器。	分机	实验

az sentinel threat-indicator append-tag

实验

此命令是实验性的，正在开发中。 参考和支持级别： https://aka.ms/CLI_refstatus

将标记追加到威胁情报指示器。

az sentinel threat-indicator append-tag --name
                                        --resource-group
                                        --workspace-name
                                        [--intelligence-tags]

必需参数

--name

威胁智能指示器名称字段。

--resource-group -g

资源组的名称。 可以使用 az configure --defaults group=<name> 配置默认组。

--workspace-name -w

实验

工作区的名称。

可选参数

--intelligence-tags

要追加的标记列表。 支持速记语法、json-file 和 yaml-file。 请尝试“？？” 以显示更多内容。

全局参数

--debug

提高日志记录详细程度以显示所有调试日志。

--help -h

显示此帮助消息并退出。

--only-show-errors

只显示错误，取消显示警告。

--output -o

输出格式。

接受的值: json, jsonc, none, table, tsv, yaml, yamlc

默认值: json

--query

JMESPath 查询字符串。 有关更多信息和示例，请参阅 http://jmespath.org/。

--subscription

订阅的名称或 ID。 可以使用 az account set -s NAME_OR_ID 配置默认订阅。

--verbose

提高日志记录详细程度。 使用 --debug 获取完整的调试日志。

az sentinel threat-indicator create

实验

此命令是实验性的，正在开发中。 参考和支持级别： https://aka.ms/CLI_refstatus

创建新的威胁情报指示器。

az sentinel threat-indicator create --resource-group
                                    --workspace-name
                                    [--confidence]
                                    [--created]
                                    [--created-by-ref]
                                    [--defanged {0, 1, f, false, n, no, t, true, y, yes}]
                                    [--description]
                                    [--display-name]
                                    [--etag]
                                    [--external-id]
                                    [--external-references]
                                    [--external-updated-time]
                                    [--granular-markings]
                                    [--indicator-types]
                                    [--kill-chain-phases]
                                    [--labels]
                                    [--language]
                                    [--last-updated-time]
                                    [--modified]
                                    [--object-marking-refs]
                                    [--parsed-pattern]
                                    [--pattern]
                                    [--pattern-type]
                                    [--pattern-version]
                                    [--revoked {0, 1, f, false, n, no, t, true, y, yes}]
                                    [--source]
                                    [--threat-tags]
                                    [--threat-types]
                                    [--valid-from]
                                    [--valid-until]

必需参数

--resource-group -g

资源组的名称。 可以使用 az configure --defaults group=<name> 配置默认组。

--workspace-name -w

工作区的名称。

可选参数

--confidence

威胁情报实体的信心。

--created

创建者。

--created-by-ref

通过引用威胁情报实体创建。

--defanged

威胁情报实体已解除。

接受的值: 0, 1, f, false, n, no, t, true, y, yes

--description

威胁情报实体的说明。

--display-name

威胁情报实体的显示名称。

--etag

Azure 资源的 Etag。

--external-id

威胁情报实体的外部 ID。

--external-references

外部引用支持速记语法、json-file 和 yaml-file。 请尝试“？？” 以显示更多内容。

--external-updated-time

UTC 格式的外部上次更新时间。

--granular-markings

精细标记支持速记语法、json-file 和 yaml-file。 请尝试“？？” 以显示更多内容。

--indicator-types

威胁情报实体的指示器类型支持速记语法、json-file 和 yaml-file。 请尝试“？？” 以显示更多内容。

--kill-chain-phases

终止链阶段支持速记语法、json-file 和 yaml-file。 请尝试“？？” 以显示更多内容。

--labels

威胁情报实体的标签支持速记语法、json-file 和 yaml-file。 请尝试“？？” 以显示更多内容。

--language

威胁情报实体的语言。

--last-updated-time

UTC 的上次更新时间。

--modified

修改者。

--object-marking-refs

威胁智能实体对象标记引用支持速记语法、json-file 和 yaml-file。 请尝试“？？” 以显示更多内容。

--parsed-pattern

分析模式支持速记语法、json-file 和 yaml-file。 请尝试“？？” 以显示更多内容。

--pattern

威胁情报实体的模式。

--pattern-type

威胁情报实体的模式类型。

--pattern-version

威胁情报实体的模式版本。

--revoked

威胁情报实体是否已撤销。

接受的值: 0, 1, f, false, n, no, t, true, y, yes

--source

威胁情报实体的来源。

--threat-tags

标记列表支持速记语法、json-file 和 yaml-file。 请尝试“？？” 以显示更多内容。

--threat-types

威胁类型支持速记语法、json-file 和 yaml-file。 请尝试“？？” 以显示更多内容。

--valid-from

有效发件人。

--valid-until

有效期至此为止。

全局参数

--debug

提高日志记录详细程度以显示所有调试日志。

--help -h

显示此帮助消息并退出。

--only-show-errors

只显示错误，取消显示警告。

--output -o

输出格式。

接受的值: json, jsonc, none, table, tsv, yaml, yamlc

默认值: json

--query

JMESPath 查询字符串。 有关更多信息和示例，请参阅 http://jmespath.org/。

--subscription

订阅的名称或 ID。 可以使用 az account set -s NAME_OR_ID 配置默认订阅。

--verbose

提高日志记录详细程度。 使用 --debug 获取完整的调试日志。

az sentinel threat-indicator delete

实验

此命令是实验性的，正在开发中。 参考和支持级别： https://aka.ms/CLI_refstatus

删除威胁情报指示器。

az sentinel threat-indicator delete [--ids]
                                    [--name]
                                    [--resource-group]
                                    [--subscription]
                                    [--workspace-name]
                                    [--yes]

可选参数

--ids

一个或多个资源 ID（空格分隔）。 它应该是包含“资源 ID”参数的所有信息的完整资源 ID。 应提供 --id 或其他“资源 ID”参数。

--name -n

威胁智能指示器名称字段。

--resource-group -g

资源组的名称。 可以使用 az configure --defaults group=<name> 配置默认组。

--subscription

订阅的名称或 ID。 可以使用 az account set -s NAME_OR_ID 配置默认订阅。

--workspace-name -w

工作区的名称。

--yes -y

不提示确认。

默认值: False

全局参数

--debug

提高日志记录详细程度以显示所有调试日志。

--help -h

显示此帮助消息并退出。

--only-show-errors

只显示错误，取消显示警告。

--output -o

输出格式。

接受的值: json, jsonc, none, table, tsv, yaml, yamlc

默认值: json

--query

JMESPath 查询字符串。 有关更多信息和示例，请参阅 http://jmespath.org/。

--subscription

订阅的名称或 ID。 可以使用 az account set -s NAME_OR_ID 配置默认订阅。

--verbose

提高日志记录详细程度。 使用 --debug 获取完整的调试日志。

az sentinel threat-indicator list

实验

此命令是实验性的，正在开发中。 参考和支持级别： https://aka.ms/CLI_refstatus

获取所有威胁情报指示器。

az sentinel threat-indicator list --resource-group
                                  --workspace-name
                                  [--filter]
                                  [--orderby]
                                  [--skip-token]
                                  [--top]

必需参数

--resource-group -g

资源组的名称。 可以使用 az configure --defaults group=<name> 配置默认组。

--workspace-name -w

实验

工作区的名称。

可选参数

--filter

根据布尔条件筛选结果。 可选。

--orderby

对结果进行排序。 可选。

--skip-token

仅当以前的操作返回了部分结果时，才使用 Skiptoken。 如果以前的响应包含 nextLink 元素，则 nextLink 元素的值将包含一个 skiptoken 参数，该参数指定用于后续调用的起点。 可选。

--top

仅返回前 n 个结果。 可选。

全局参数

--debug

提高日志记录详细程度以显示所有调试日志。

--help -h

显示此帮助消息并退出。

--only-show-errors

只显示错误，取消显示警告。

--output -o

输出格式。

接受的值: json, jsonc, none, table, tsv, yaml, yamlc

默认值: json

--query

JMESPath 查询字符串。 有关更多信息和示例，请参阅 http://jmespath.org/。

--subscription

订阅的名称或 ID。 可以使用 az account set -s NAME_OR_ID 配置默认订阅。

--verbose

提高日志记录详细程度。 使用 --debug 获取完整的调试日志。

az sentinel threat-indicator query

实验

此命令是实验性的，正在开发中。 参考和支持级别： https://aka.ms/CLI_refstatus

根据筛选条件查询威胁情报指示器。

az sentinel threat-indicator query --resource-group
                                   --workspace-name
                                   [--ids]
                                   [--include-disabled {0, 1, f, false, n, no, t, true, y, yes}]
                                   [--keywords]
                                   [--max-confidence]
                                   [--max-valid-until]
                                   [--min-confidence]
                                   [--min-valid-until]
                                   [--page-size]
                                   [--pattern-types]
                                   [--skip-token]
                                   [--sort-by]
                                   [--sources]
                                   [--threat-types]

必需参数

--resource-group -g

资源组的名称。 可以使用 az configure --defaults group=<name> 配置默认组。

--workspace-name -w

实验

工作区的名称。

可选参数

--ids

威胁情报指示器的 ID 支持速记语法、json-file 和 yaml-file。 请尝试“？？” 以显示更多内容。

--include-disabled

要包含/排除已禁用指示器的参数。

接受的值: 0, 1, f, false, n, no, t, true, y, yes

--keywords

用于搜索威胁情报指示器的关键字支持速记语法、json-file 和 yaml-file。 请尝试“？？” 以显示更多内容。

--max-confidence

最大置信度。

--max-valid-until

ValidUntil 筛选器的结束时间。

--min-confidence

最小置信度。

--min-valid-until

ValidUntil 筛选器的开始时间。

--page-size

页面大小。

--pattern-types

模式类型支持速记语法、json-file 和 yaml-file。 请尝试“？？” 以显示更多内容。

--skip-token

跳过令牌。

--sort-by

排序依据和排序顺序的列支持速记语法、json-file 和 yaml-file。 请尝试“？？” 以显示更多内容。

--sources

威胁情报指标的来源支持速记语法、json-file 和 yaml-file。 请尝试“？？” 以显示更多内容。

--threat-types

威胁情报指标的威胁类型支持速记语法、json-file 和 yaml-file。 请尝试“？？” 以显示更多内容。

全局参数

--debug

提高日志记录详细程度以显示所有调试日志。

--help -h

显示此帮助消息并退出。

--only-show-errors

只显示错误，取消显示警告。

--output -o

输出格式。

接受的值: json, jsonc, none, table, tsv, yaml, yamlc

默认值: json

--query

JMESPath 查询字符串。 有关更多信息和示例，请参阅 http://jmespath.org/。

--subscription

订阅的名称或 ID。 可以使用 az account set -s NAME_OR_ID 配置默认订阅。

--verbose

提高日志记录详细程度。 使用 --debug 获取完整的调试日志。

az sentinel threat-indicator replace-tag

实验

此命令是实验性的，正在开发中。 参考和支持级别： https://aka.ms/CLI_refstatus

替换添加到威胁情报指示器的标记。

az sentinel threat-indicator replace-tag --name
                                         --resource-group
                                         --workspace-name
                                         [--confidence]
                                         [--created]
                                         [--created-by-ref]
                                         [--defanged {0, 1, f, false, n, no, t, true, y, yes}]
                                         [--description]
                                         [--display-name]
                                         [--etag]
                                         [--external-id]
                                         [--external-references]
                                         [--external-updated-time]
                                         [--granular-markings]
                                         [--indicator-types]
                                         [--intelligence-tags]
                                         [--kill-chain-phases]
                                         [--labels]
                                         [--language]
                                         [--last-updated-time]
                                         [--modified]
                                         [--object-marking-refs]
                                         [--parsed-pattern]
                                         [--pattern]
                                         [--pattern-type]
                                         [--pattern-version]
                                         [--revoked {0, 1, f, false, n, no, t, true, y, yes}]
                                         [--source]
                                         [--threat-types]
                                         [--valid-from]
                                         [--valid-until]

必需参数

--name

威胁智能指示器名称字段。

--resource-group -g

资源组的名称。 可以使用 az configure --defaults group=<name> 配置默认组。

--workspace-name -w

实验

工作区的名称。

可选参数

--confidence

威胁情报实体的信心。

--created

创建者。

--created-by-ref

通过引用威胁情报实体创建。

--defanged

威胁情报实体已解除。

接受的值: 0, 1, f, false, n, no, t, true, y, yes

--description

威胁情报实体的说明。

--display-name

威胁情报实体的显示名称。

--etag

Azure 资源的 Etag。

--external-id

威胁情报实体的外部 ID。

--external-references

外部引用支持速记语法、json-file 和 yaml-file。 请尝试“？？” 以显示更多内容。

--external-updated-time

UTC 格式的外部上次更新时间。

--granular-markings

精细标记支持速记语法、json-file 和 yaml-file。 请尝试“？？” 以显示更多内容。

--indicator-types

威胁情报实体的指示器类型支持速记语法、json-file 和 yaml-file。 请尝试“？？” 以显示更多内容。

--intelligence-tags

标记列表支持速记语法、json-file 和 yaml-file。 请尝试“？？” 以显示更多内容。

--kill-chain-phases

终止链阶段支持速记语法、json-file 和 yaml-file。 请尝试“？？” 以显示更多内容。

--labels

威胁情报实体的标签支持速记语法、json-file 和 yaml-file。 请尝试“？？” 以显示更多内容。

--language

威胁情报实体的语言。

--last-updated-time

UTC 的上次更新时间。

--modified

修改者。

--object-marking-refs

威胁智能实体对象标记引用支持速记语法、json-file 和 yaml-file。 请尝试“？？” 以显示更多内容。

--parsed-pattern

分析模式支持速记语法、json-file 和 yaml-file。 请尝试“？？” 以显示更多内容。

--pattern

威胁情报实体的模式。

--pattern-type

威胁情报实体的模式类型。

--pattern-version

威胁情报实体的模式版本。

--revoked

威胁情报实体是否已撤销。

接受的值: 0, 1, f, false, n, no, t, true, y, yes

--source

威胁情报实体的来源。

--threat-types

威胁类型支持速记语法、json-file 和 yaml-file。 请尝试“？？” 以显示更多内容。

--valid-from

有效发件人。

--valid-until

有效期至此为止。

全局参数

--debug

提高日志记录详细程度以显示所有调试日志。

--help -h

显示此帮助消息并退出。

--only-show-errors

只显示错误，取消显示警告。

--output -o

输出格式。

接受的值: json, jsonc, none, table, tsv, yaml, yamlc

默认值: json

--query

JMESPath 查询字符串。 有关更多信息和示例，请参阅 http://jmespath.org/。

--subscription

订阅的名称或 ID。 可以使用 az account set -s NAME_OR_ID 配置默认订阅。

--verbose

提高日志记录详细程度。 使用 --debug 获取完整的调试日志。

az sentinel threat-indicator show

实验

此命令是实验性的，正在开发中。 参考和支持级别： https://aka.ms/CLI_refstatus

按名称查看威胁情报指示器。

az sentinel threat-indicator show [--ids]
                                  [--name]
                                  [--resource-group]
                                  [--subscription]
                                  [--workspace-name]

可选参数

--ids

一个或多个资源 ID（空格分隔）。 它应该是包含“资源 ID”参数的所有信息的完整资源 ID。 应提供 --id 或其他“资源 ID”参数。

--name -n

威胁智能指示器名称字段。

--resource-group -g

资源组的名称。 可以使用 az configure --defaults group=<name> 配置默认组。

--subscription

订阅的名称或 ID。 可以使用 az account set -s NAME_OR_ID 配置默认订阅。

--workspace-name -w

工作区的名称。

全局参数

--debug

提高日志记录详细程度以显示所有调试日志。

--help -h

显示此帮助消息并退出。

--only-show-errors

只显示错误，取消显示警告。

--output -o

输出格式。

接受的值: json, jsonc, none, table, tsv, yaml, yamlc

默认值: json

--query

JMESPath 查询字符串。 有关更多信息和示例，请参阅 http://jmespath.org/。

--subscription

订阅的名称或 ID。 可以使用 az account set -s NAME_OR_ID 配置默认订阅。

--verbose

提高日志记录详细程度。 使用 --debug 获取完整的调试日志。

az sentinel threat-indicator update

实验

此命令是实验性的，正在开发中。 参考和支持级别： https://aka.ms/CLI_refstatus

更新威胁情报指示器。

az sentinel threat-indicator update [--confidence]
                                    [--created]
                                    [--created-by-ref]
                                    [--defanged {0, 1, f, false, n, no, t, true, y, yes}]
                                    [--description]
                                    [--display-name]
                                    [--etag]
                                    [--external-id]
                                    [--external-references]
                                    [--external-updated-time]
                                    [--granular-markings]
                                    [--ids]
                                    [--indicator-types]
                                    [--kill-chain-phases]
                                    [--labels]
                                    [--language]
                                    [--last-updated-time]
                                    [--modified]
                                    [--name]
                                    [--object-marking-refs]
                                    [--parsed-pattern]
                                    [--pattern]
                                    [--pattern-type]
                                    [--pattern-version]
                                    [--resource-group]
                                    [--revoked {0, 1, f, false, n, no, t, true, y, yes}]
                                    [--source]
                                    [--subscription]
                                    [--threat-tags]
                                    [--threat-types]
                                    [--valid-from]
                                    [--valid-until]
                                    [--workspace-name]

可选参数

--confidence

威胁情报实体的信心。

--created

创建者。

--created-by-ref

通过引用威胁情报实体创建。

--defanged

威胁情报实体已解除。

接受的值: 0, 1, f, false, n, no, t, true, y, yes

--description

威胁情报实体的说明。

--display-name

威胁情报实体的显示名称。

--etag

Azure 资源的 Etag。

--external-id

威胁情报实体的外部 ID。

--external-references

外部引用支持速记语法、json-file 和 yaml-file。 请尝试“？？” 以显示更多内容。

--external-updated-time

UTC 格式的外部上次更新时间。

--granular-markings

精细标记支持速记语法、json-file 和 yaml-file。 请尝试“？？” 以显示更多内容。

--ids

一个或多个资源 ID（空格分隔）。 它应该是包含“资源 ID”参数的所有信息的完整资源 ID。 应提供 --id 或其他“资源 ID”参数。

--indicator-types

威胁情报实体的指示器类型支持速记语法、json-file 和 yaml-file。 请尝试“？？” 以显示更多内容。

--kill-chain-phases

终止链阶段支持速记语法、json-file 和 yaml-file。 请尝试“？？” 以显示更多内容。

--labels

威胁情报实体的标签支持速记语法、json-file 和 yaml-file。 请尝试“？？” 以显示更多内容。

--language

威胁情报实体的语言。

--last-updated-time

UTC 的上次更新时间。

--modified

修改者。

--name -n

威胁智能指示器名称字段。

--object-marking-refs

威胁智能实体对象标记引用支持速记语法、json-file 和 yaml-file。 请尝试“？？” 以显示更多内容。

--parsed-pattern

分析模式支持速记语法、json-file 和 yaml-file。 请尝试“？？” 以显示更多内容。

--pattern

威胁情报实体的模式。

--pattern-type

威胁情报实体的模式类型。

--pattern-version

威胁情报实体的模式版本。

--resource-group -g

资源组的名称。 可以使用 az configure --defaults group=<name> 配置默认组。

--revoked

威胁情报实体是否已撤销。

接受的值: 0, 1, f, false, n, no, t, true, y, yes

--source

威胁情报实体的来源。

--subscription

订阅的名称或 ID。 可以使用 az account set -s NAME_OR_ID 配置默认订阅。

--threat-tags

标记列表支持速记语法、json-file 和 yaml-file。 请尝试“？？” 以显示更多内容。

--threat-types

威胁类型支持速记语法、json-file 和 yaml-file。 请尝试“？？” 以显示更多内容。

--valid-from

有效发件人。

--valid-until

有效期至此为止。

--workspace-name -w

工作区的名称。

全局参数

--debug

提高日志记录详细程度以显示所有调试日志。

--help -h

显示此帮助消息并退出。

--only-show-errors

只显示错误，取消显示警告。

--output -o

输出格式。

接受的值: json, jsonc, none, table, tsv, yaml, yamlc

默认值: json

--query

JMESPath 查询字符串。 有关更多信息和示例，请参阅 http://jmespath.org/。

--subscription

订阅的名称或 ID。 可以使用 az account set -s NAME_OR_ID 配置默认订阅。

--verbose

提高日志记录详细程度。 使用 --debug 获取完整的调试日志。