Get-AzSentinelEntityInsight

模块:

Az.SecurityInsights Module

对实体执行见解。

语法

Default (默认值)

Get-AzSentinelEntityInsight
    -EntityId <String>
    -ResourceGroupName <String>
    -WorkspaceName <String>
    [-SubscriptionId <String[]>]
    -EndTime <DateTime>
    -StartTime <DateTime>
    [-AddDefaultExtendedTimeRange]
    [-InsightQueryId <String[]>]
    [-DefaultProfile <PSObject>]
    [-WhatIf]
    [-Confirm]
    [<CommonParameters>]

说明

对实体执行见解。

示例

示例 1：获取给定时间范围的实体的见解

$startTime = (Get-Date).AddDays(-7).ToUniversalTime() | Get-Date -Format "yyyy-MM-ddThh:00:00.000Z"
 $endTime = (Get-Date).ToUniversalTime() | Get-Date -Format "yyyy-MM-ddThh:00:00.000Z"
 Get-AzSentinelEntityInsight -ResourceGroupName "myResourceGroupName" -workspaceName "myWorkspaceName" -EntityId "myEntityId" -EndTime $endTime -StartTime $startTime

QueryId                    : 4191a4d7-e72b-4564-b2fb-25580630384b
QueryTimeIntervalEndTime   : 12/21/2021 10:00:00 AM
QueryTimeIntervalStartTime : 12/14/2021 10:00:00 AM
TableQueryResultColumn     : {Activity, expectedCount, actualCount, anomalyScore…}
TableQueryResultRow        : {4663 - An attempt was made to access an object. 0 3901 713.91 1 0}

此命令获取给定时间范围的实体的见解。

示例 2：按给定时间范围的实体 ID 获取实体的见解

$startTime = (Get-Date).AddDays(-7).ToUniversalTime() | Get-Date -Format "yyyy-MM-ddThh:00:00.000Z"
 $endTime = (Get-Date).ToUniversalTime() | Get-Date -Format "yyyy-MM-ddThh:00:00.000Z"
 $Entity = Get-AzSentinelEntity -ResourceGroupName "myResourceGroupName" -workspaceName "myWorkspaceName" -EntityId "00001111-aaaa-2222-bbbb-3333cccc4444"
 $Entity | Get-AzSentinelEntityInsight -EndTime $endTime -StartTime $startTime

QueryId                    : 4191a4d7-e72b-4564-b2fb-25580630384b
QueryTimeIntervalEndTime   : 12/21/2021 10:00:00 AM
QueryTimeIntervalStartTime : 12/14/2021 10:00:00 AM
TableQueryResultColumn     : {Activity, expectedCount, actualCount, anomalyScore…}
TableQueryResultRow        : {4663 - An attempt was made to access an object. 0 3901 713.91 1 0}

此命令获取给定时间范围的 Entity by 对象的见解。

参数

-AddDefaultExtendedTimeRange

指示是否应使用查询的默认时间范围来扩展查询时间范围。 默认值为 false

参数属性

类型:	SwitchParameter
默认值:	None
支持通配符:	False
不显示:	False

参数集

(All)

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

-Confirm

在运行 cmdlet 之前，提示你进行确认。

参数属性

类型:	SwitchParameter
默认值:	None
支持通配符:	False
不显示:	False
别名:	cf

参数集

(All)

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

-DefaultProfile

DefaultProfile 参数不起作用。 如果对其他订阅执行 cmdlet，请使用 SubscriptionId 参数。

参数属性

类型:	PSObject
默认值:	None
支持通配符:	False
不显示:	False
别名:	AzureRMContext, AzureCredential

参数集

(All)

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

-EndTime

结束时间线日期，因此返回的结果在此日期之前。

参数属性

类型:	DateTime
默认值:	None
支持通配符:	False
不显示:	False

参数集

(All)

Position:	Named
必需:	True
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

-EntityId

实体 ID

参数属性

类型:	String
默认值:	None
支持通配符:	False
不显示:	False

参数集

(All)

Position:	Named
必需:	True
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

-InsightQueryId

见解查询 ID 列表。如果为空，则默认值为此实体的所有见解

参数属性

类型:	String[]
默认值:	None
支持通配符:	False
不显示:	False

参数集

(All)

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

-ResourceGroupName

资源组的名称。 此名称不区分大小写。

参数属性

类型:	String
默认值:	None
支持通配符:	False
不显示:	False

参数集

(All)

Position:	Named
必需:	True
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

-StartTime

开始日期，因此返回的结果在此日期之后。

参数属性

类型:	DateTime
默认值:	None
支持通配符:	False
不显示:	False

参数集

(All)

Position:	Named
必需:	True
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

-SubscriptionId

目标订阅的 ID。

参数属性

类型:	String[]
默认值:	(Get-AzContext).Subscription.Id
支持通配符:	False
不显示:	False

参数集

(All)

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

-WhatIf

显示 cmdlet 运行时会发生什么情况。 命令脚本未运行。

参数属性

类型:	SwitchParameter
默认值:	None
支持通配符:	False
不显示:	False
别名:	无线

参数集

(All)

Position:	Named
必需:	False
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

-WorkspaceName

工作区的名称。

参数属性

类型:	String
默认值:	None
支持通配符:	False
不显示:	False

参数集

(All)

Position:	Named
必需:	True
来自管道的值:	False
来自管道的值（按属性名称）:	False
来自剩余参数的值:	False

CommonParameters

此 cmdlet 支持通用参数：-Debug、-ErrorAction、-ErrorVariable、-InformationAction、-InformationVariable、-OutBuffer、-OutVariable、-PipelineVariable、-ProgressAction、-Verbose、-WarningAction 和 -WarningVariable。 有关详细信息，请参阅 about_CommonParameters。

输出

IEntityGetInsightsResponse