你当前正在访问 Microsoft Azure Global Edition 技术文档网站。如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

Threat Intelligence Indicator - Create Indicator

参考

Service:: Sentinel

API Version:: 2024-03-01

创建新的威胁智能指示器。

POST https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/providers/Microsoft.SecurityInsights/threatIntelligence/main/createIndicator?api-version=2024-03-01

URI 参数

名称	在	必需	类型	说明
resourceGroupName	path	True	string	资源组的名称。此名称不区分大小写。
subscriptionId	path	True	string	目标订阅的 ID。
workspaceName	path	True	string	工作区的名称。 Regex pattern: `^[A-Za-z0-9][A-Za-z0-9-]+[A-Za-z0-9]$`
api-version	query	True	string	要用于此操作的 API 版本。

请求正文

名称	必需	类型	说明
kind	True	string: indicator	实体的类型。
etag		string	Azure 资源的 Etag
properties.confidence		integer	威胁情报实体的置信度
properties.created		string	创建者
properties.createdByRef		string	由威胁情报实体的引用创建
properties.defanged		boolean	威胁情报实体是否已解除方位
properties.description		string	威胁情报实体的说明
properties.displayName		string	威胁情报实体的显示名称
properties.extensions			扩展映射
properties.externalId		string	威胁情报实体的外部 ID
properties.externalLastUpdatedTimeUtc		string	外部上次更新时间（UTC）
properties.externalReferences		ThreatIntelligenceExternalReference[]	外部引用
properties.granularMarkings		ThreatIntelligenceGranularMarkingModel[]	精细标记
properties.indicatorTypes		string[]	威胁情报实体的指示器类型
properties.killChainPhases		ThreatIntelligenceKillChainPhase[]	终止链阶段
properties.labels		string[]	威胁情报实体的标签
properties.language		string	威胁情报实体的语言
properties.lastUpdatedTimeUtc		string	上次更新时间（UTC）
properties.modified		string	修改者
properties.objectMarkingRefs		string[]	标记引用的威胁情报实体对象
properties.parsedPattern		ThreatIntelligenceParsedPattern[]	分析的模式
properties.pattern		string	威胁情报实体的模式
properties.patternType		string	威胁情报实体的模式类型
properties.patternVersion		string	威胁情报实体的模式版本
properties.revoked		boolean	是否撤销威胁情报实体
properties.source		string	威胁情报实体的源
properties.threatIntelligenceTags		string[]	标记列表
properties.threatTypes		string[]	威胁类型
properties.validFrom		string	有效期起始日期
properties.validUntil		string	有效期截止时间

响应

名称	类型	说明
200 OK	ThreatIntelligenceInformation: ThreatIntelligenceIndicatorModel	确定
201 Created	ThreatIntelligenceInformation: ThreatIntelligenceIndicatorModel	创建
Other Status Codes	CloudError	描述操作未能创建指示器的原因的错误响应。

安全性

azure_auth

Azure Active Directory OAuth2 流

Type: oauth2
Flow: implicit
Authorization URL: https://login.microsoftonline.com/common/oauth2/authorize

Scopes

名称	说明
user_impersonation	模拟用户帐户

示例

Create a new Threat Intelligence

Sample Request

HTTP

POST https://management.azure.com/subscriptions/bd794837-4d29-4647-9105-6339bfdb4e6a/resourceGroups/myRg/providers/Microsoft.OperationalInsights/workspaces/myWorkspace/providers/Microsoft.SecurityInsights/threatIntelligence/main/createIndicator?api-version=2024-03-01

{
  "kind": "indicator",
  "properties": {
    "source": "Azure Sentinel",
    "threatIntelligenceTags": [
      "new schema"
    ],
    "displayName": "new schema",
    "confidence": 78,
    "createdByRef": "contoso@contoso.com",
    "description": "debugging indicators",
    "externalReferences": [],
    "granularMarkings": [],
    "threatTypes": [
      "compromised"
    ],
    "killChainPhases": [],
    "labels": [],
    "modified": "",
    "pattern": "[url:value = 'https://www.contoso.com']",
    "patternType": "url",
    "revoked": false,
    "validFrom": "2020-04-15T17:44:00.114052Z",
    "validUntil": ""
  }
}

Sample Response

Status code:: 200

{
  "id": "/subscriptions/bd794837-4d29-4647-9105-6339bfdb4e6a/resourceGroups/myRg/providers/Microsoft.OperationalInsights/workspaces/myWorkspace/providers/Microsoft.SecurityInsights/ThreatIntelligence/180105c7-a28d-b1a2-4a78-234f6ec80fd6",
  "name": "180105c7-a28d-b1a2-4a78-234f6ec80fd6",
  "etag": "\"0000322c-0000-0800-0000-5e976c960000\"",
  "type": "Microsoft.SecurityInsights/ThreatIntelligence",
  "kind": "indicator",
  "properties": {
    "confidence": 78,
    "created": "2020-04-15T20:20:38.6160949Z",
    "createdByRef": "contoso@contoso.com",
    "externalId": "indicator--a2b6a95e-2108-4a38-bd49-ef95811bbcd7",
    "externalReferences": [],
    "granularMarkings": [],
    "lastUpdatedTimeUtc": "2020-04-15T20:20:38.6161887Z",
    "revoked": false,
    "source": "Azure Sentinel",
    "threatIntelligenceTags": [
      "new schema"
    ],
    "displayName": "new schema",
    "description": "debugging indicators",
    "threatTypes": [
      "compromised"
    ],
    "killChainPhases": [],
    "pattern": "[url:value = 'https://www.contoso.com']",
    "patternType": "url",
    "validFrom": "2020-04-15T17:44:00.114052Z"
  }
}

Status code:: 201

{
  "id": "/subscriptions/bd794837-4d29-4647-9105-6339bfdb4e6a/resourceGroups/myRg/providers/Microsoft.OperationalInsights/workspaces/myWorkspace/providers/Microsoft.SecurityInsights/ThreatIntelligence/180105c7-a28d-b1a2-4a78-234f6ec80fd6",
  "name": "180105c7-a28d-b1a2-4a78-234f6ec80fd6",
  "etag": "\"0000322c-0000-0800-0000-5e976c960000\"",
  "type": "Microsoft.SecurityInsights/ThreatIntelligence",
  "kind": "indicator",
  "properties": {
    "confidence": 78,
    "created": "2020-04-15T20:20:38.6160949Z",
    "createdByRef": "aztestConnectors@contoso.com",
    "externalId": "indicator--a2b6a95e-2108-4a38-bd49-ef95811bbcd7",
    "externalReferences": [],
    "granularMarkings": [],
    "lastUpdatedTimeUtc": "2020-04-15T20:20:38.6161887Z",
    "revoked": false,
    "source": "Azure Sentinel",
    "threatIntelligenceTags": [
      "new schema"
    ],
    "displayName": "new schema",
    "description": "debugging indicators",
    "threatTypes": [
      "compromised"
    ],
    "killChainPhases": [],
    "pattern": "[url:value = 'https://www.contoso.com']",
    "patternType": "url",
    "validFrom": "2020-04-15T17:44:00.114052Z"
  }
}

定义

名称	说明
CloudError	错误响应结构。
CloudErrorBody	错误详细信息。
createdByType	创建资源的标识类型。
systemData	与资源的创建和上次修改相关的元数据。
ThreatIntelligenceExternalReference	描述外部引用
ThreatIntelligenceGranularMarkingModel	描述威胁粒度标记模型实体
ThreatIntelligenceIndicatorModel	威胁情报指示器实体。
ThreatIntelligenceKillChainPhase	描述威胁杀伤链阶段实体
ThreatIntelligenceParsedPattern	描述分析的模式实体
ThreatIntelligenceParsedPatternTypeValue	描述威胁杀伤链阶段实体
ThreatIntelligenceResourceInnerKind	威胁情报实体的类型

CloudError

错误响应结构。

名称	类型	说明
error	CloudErrorBody	错误数据

CloudErrorBody

错误详细信息。

名称	类型	说明
code	string	错误的标识符。代码是固定的，旨在以编程方式使用。
message	string	描述错误的消息，该消息适用于在用户界面中显示。

createdByType

创建资源的标识类型。

名称	类型	说明
Application	string
Key	string
ManagedIdentity	string
User	string

systemData

与资源的创建和上次修改相关的元数据。

名称	类型	说明
createdAt	string	资源创建时间戳 (UTC) 。
createdBy	string	创建资源的标识。
createdByType	createdByType	创建资源的标识类型。
lastModifiedAt	string	资源上次修改的时间戳 (UTC)
lastModifiedBy	string	上次修改资源的标识。
lastModifiedByType	createdByType	上次修改资源的标识类型。

ThreatIntelligenceExternalReference

描述外部引用

名称	类型	说明
description	string	外部引用说明
externalId	string	外部引用 ID
hashes	object	外部引用哈希
sourceName	string	外部引用源名称
url	string	外部引用 URL

ThreatIntelligenceGranularMarkingModel

描述威胁粒度标记模型实体

名称	类型	说明
language	string	语言精细标记模型
markingRef	integer	标记引用粒度标记模型
selectors	string[]	精细标记模型选择器

ThreatIntelligenceIndicatorModel

威胁情报指示器实体。

名称	类型	说明
etag	string	Azure 资源的 Etag
id	string	资源的完全限定的资源 ID。例如 - /subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/{resourceProviderNamespace}/{resourceType}/{resourceName}
kind	string: indicator	实体的类型。
name	string	资源的名称
properties.additionalData	object	一个自定义字段包，该字段应是实体的一部分，并将呈现给用户。
properties.confidence	integer	威胁情报实体的置信度
properties.created	string	创建者
properties.createdByRef	string	由威胁情报实体的引用创建
properties.defanged	boolean	威胁情报实体是否已解除方位
properties.description	string	威胁情报实体的说明
properties.displayName	string	威胁情报实体的显示名称
properties.extensions		扩展映射
properties.externalId	string	威胁情报实体的外部 ID
properties.externalLastUpdatedTimeUtc	string	外部上次更新时间（UTC）
properties.externalReferences	ThreatIntelligenceExternalReference[]	外部引用
properties.friendlyName	string	图形项显示名称，它是图形项实例的简短可读说明。此属性是可选的，可能是系统生成的。
properties.granularMarkings	ThreatIntelligenceGranularMarkingModel[]	精细标记
properties.indicatorTypes	string[]	威胁情报实体的指示器类型
properties.killChainPhases	ThreatIntelligenceKillChainPhase[]	终止链阶段
properties.labels	string[]	威胁情报实体的标签
properties.language	string	威胁情报实体的语言
properties.lastUpdatedTimeUtc	string	上次更新时间（UTC）
properties.modified	string	修改者
properties.objectMarkingRefs	string[]	标记引用的威胁情报实体对象
properties.parsedPattern	ThreatIntelligenceParsedPattern[]	分析的模式
properties.pattern	string	威胁情报实体的模式
properties.patternType	string	威胁情报实体的模式类型
properties.patternVersion	string	威胁情报实体的模式版本
properties.revoked	boolean	是否撤销威胁情报实体
properties.source	string	威胁情报实体的源
properties.threatIntelligenceTags	string[]	标记列表
properties.threatTypes	string[]	威胁类型
properties.validFrom	string	有效期起始日期
properties.validUntil	string	有效期截止时间
systemData	systemData	包含 createdBy 和 modifiedBy 信息的 Azure 资源管理器元数据。
type	string	资源类型。例如“Microsoft.Compute/virtualMachines”或“Microsoft.Storage/storageAccounts”

ThreatIntelligenceKillChainPhase

描述威胁杀伤链阶段实体

名称	类型	说明
killChainName	string	Kill chainName name
phaseName	string	阶段名称

ThreatIntelligenceParsedPattern

描述分析的模式实体

名称	类型	说明
patternTypeKey	string	模式类型键
patternTypeValues	ThreatIntelligenceParsedPatternTypeValue[]	模式类型键

ThreatIntelligenceParsedPatternTypeValue