Delen via

Alerts - Get Resource Group Level

  • Referentie
Service:
Defender for Cloud
API-versie:
2022-01-01

Een waarschuwing ontvangen die is gekoppeld aan een resourcegroep of een resource in een resourcegroep

GET https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Security/locations/{ascLocation}/alerts/{alertName}?api-version=2022-01-01

URI-parameters

Name In Vereist Type Description
alertName
 path True

string

Naam van het waarschuwingsobject
ascLocation
 path True

string

De locatie waar ASC de gegevens van het abonnement opslaat. kan worden opgehaald uit Get-locaties
resourceGroupName
 path True

string

De naam van de resourcegroep binnen het abonnement van de gebruiker. De naam is niet hoofdlettergevoelig.

Regex-patroon: ^[-\w\._\(\)]+$
subscriptionId
 path True

string

Azure-abonnements-id

Regex-patroon: ^[0-9A-Fa-f]{8}-([0-9A-Fa-f]{4}-){3}[0-9A-Fa-f]{12}$
api-version
 query True

string

API-versie voor de bewerking

Antwoorden

Name Type Description
200 OK

Alert

OK
Other Status Codes

CloudError

Foutreactie waarin wordt beschreven waarom de bewerking is mislukt.

Beveiliging

azure_auth

Azure Active Directory OAuth2-stroom

Type: oauth2
Stroom: implicit
Autorisatie-URL: https://login.microsoftonline.com/common/oauth2/authorize

Bereiken

Name Description
user_impersonation Uw gebruikersaccount imiteren

Voorbeelden

Get security alert on a resource group from a security data location

Voorbeeldaanvraag

GET https://management.azure.com/subscriptions/20ff7fc3-e762-44dd-bd96-b71116dcdc23/resourceGroups/myRg1/providers/Microsoft.Security/locations/westeurope/alerts/2518298467986649999_4d25bfef-2d77-4a08-adc0-3e35715cc92a?api-version=2022-01-01

Voorbeeldrespons

Statuscode:
200 
{
  "id": "/subscriptions/20ff7fc3-e762-44dd-bd96-b71116dcdc23/resourceGroups/myRg1/providers/Microsoft.Security/locations/westeurope/alerts/2518770965529163669_F144EE95-A3E5-42DA-A279-967D115809AA",
  "name": "2518298467986649999_4d25bfef-2d77-4a08-adc0-3e35715cc92a",
  "type": "Microsoft.Security/Locations/alerts",
  "properties": {
    "version": "2022-01-01",
    "alertType": "VM_EICAR",
    "systemAlertId": "2518298467986649999_4d25bfef-2d77-4a08-adc0-3e35715cc92a",
    "productComponentName": "testName",
    "alertDisplayName": "Azure Security Center test alert (not a threat)",
    "description": "This is a test alert generated by Azure Security Center. No further action is needed.",
    "severity": "High",
    "intent": "Execution",
    "startTimeUtc": "2020-02-22T00:00:00.0000000Z",
    "endTimeUtc": "2020-02-22T00:00:00.0000000Z",
    "resourceIdentifiers": [
      {
        "azureResourceId": "/subscriptions/20ff7fc3-e762-44dd-bd96-b71116dcdc23/resourceGroups/myRg1/providers/Microsoft.Compute/virtualMachines/vm1",
        "type": "AzureResource"
      },
      {
        "workspaceId": "f419f624-acad-4d89-b86d-f62fa387f019",
        "workspaceSubscriptionId": "20ff7fc3-e762-44dd-bd96-b71116dcdc23",
        "workspaceResourceGroup": "myRg1",
        "agentId": "75724a01-f021-4aa8-9ec2-329792373e6e",
        "type": "LogAnalytics"
      }
    ],
    "remediationSteps": [
      "No further action is needed."
    ],
    "vendorName": "Microsoft",
    "status": "Active",
    "extendedLinks": [
      {
        "Category": "threat_reports",
        "Label": "Report: RDP Brute Forcing",
        "Href": "https://contoso.com/reports/DisplayReport",
        "Type": "webLink"
      }
    ],
    "alertUri": "https://portal.azure.com/#blade/Microsoft_Azure_Security/AlertBlade/alertId/2518298467986649999_4d25bfef-2d77-4a08-adc0-3e35715cc92a/subscriptionId/20ff7fc3-e762-44dd-bd96-b71116dcdc23/resourceGroup/myRg1/referencedFrom/alertDeepLink/location/westeurope",
    "timeGeneratedUtc": "2020-02-23T13:47:58.0000000Z",
    "productName": "Azure Security Center",
    "processingEndTimeUtc": "2020-02-23T13:47:58.9205584Z",
    "entities": [
      {
        "address": "192.0.2.1",
        "location": {
          "countryCode": "gb",
          "state": "wokingham",
          "city": "sonning",
          "longitude": -0.909,
          "latitude": 51.468,
          "asn": 6584
        },
        "type": "ip"
      }
    ],
    "isIncident": true,
    "correlationKey": "kso0LFWxzCll5tqrk5hmrBJ+MY1BX806W6q6+0s9Lk=",
    "extendedProperties": {
      "Property1": "Property1 information"
    },
    "compromisedEntity": "vm1",
    "techniques": [
      "T1059",
      "T1053",
      "T1072"
    ],
    "subTechniques": [
      "T1059.001",
      "T1059.006",
      "T1053.002"
    ],
    "supportingEvidence": {
      "supportingEvidenceList": [
        {
          "evidenceElements": [
            {
              "text": {
                "arguments": {
                  "sensitiveEnumerationTypes": {
                    "type": "string[]",
                    "value": [
                      "UseDesKey"
                    ]
                  },
                  "domainName": {
                    "type": "string",
                    "value": "domainName"
                  }
                },
                "localizationKey": "AATP_ALERTS_LDAP_SENSITIVE_ATTRIBUTE_RECONNAISSANCE_SECURITY_ALERT_EVIDENCE_ENUMERATION_DETAIL_A7C00BD7",
                "fallback": "Actor enumerated UseDesKey on domain1.test.local"
              },
              "type": "evidenceElement",
              "innerElements": null
            }
          ],
          "type": "nestedList"
        },
        {
          "type": "tabularEvidences",
          "title": "Investigate activity test",
          "columns": [
            "Date",
            "Activity",
            "User",
            "TestedText",
            "TestedValue"
          ],
          "rows": [
            [
              "2022-01-17T07:03:52.034Z",
              "Log on",
              "testUser",
              "false",
              false
            ],
            [
              "2022-01-17T07:03:52.034Z",
              "Log on",
              "testUser2",
              "false",
              false
            ],
            [
              "2022-01-17T07:03:52.034Z",
              "Log on",
              "testUser3",
              "true",
              true
            ]
          ]
        }
      ],
      "type": "supportingEvidenceList"
    }
  }
}

Definities

Name Description
Alert

Beveiligingswaarschuwing
AlertEntity

De set eigenschappen wijzigen, afhankelijk van het entiteitstype.
alertSeverity

Het risiconiveau van de gedetecteerde bedreiging. Meer informatie: https://docs.microsoft.com/en-us/azure/security-center/security-center-alerts-overview#how-are-alerts-classified.
alertStatus

De levenscyclusstatus van de waarschuwing.
AzureResourceIdentifier

Azure-resource-id.
CloudError

Veelvoorkomende foutreactie voor alle Azure Resource Manager-API's om foutdetails te retourneren voor mislukte bewerkingen. (Dit volgt ook de OData-foutreactieindeling.)
CloudErrorBody

De foutdetails.
ErrorAdditionalInfo

Aanvullende informatie over de resourcebeheerfout.
intent

De kill chain gerelateerde intentie achter de waarschuwing. Voor een lijst met ondersteunde waarden en uitleg over de ondersteunde kill chain-intenties van Azure Security Center.
LogAnalyticsIdentifier

Vertegenwoordigt een bereik-id van een Log Analytics-werkruimte.
SupportingEvidence

Het wijzigen van de set eigenschappen, afhankelijk van het ondersteunende typeEvidence.

Alert

Beveiligingswaarschuwing

Name Type Description
id

string

Resource-id
name

string

Resourcenaam
properties.alertDisplayName

string

De weergavenaam van de waarschuwing.
properties.alertType

string

Unieke id voor de detectielogica (alle waarschuwingsexemplaren van dezelfde detectielogica hebben hetzelfde alertType).
properties.alertUri

string

Een directe koppeling naar de waarschuwingspagina in Azure Portal.
properties.compromisedEntity

string

De weergavenaam van de resource die het meest is gerelateerd aan deze waarschuwing.
properties.correlationKey

string

Sleutel voor het kernen van gerelateerde waarschuwingen. Waarschuwingen met dezelfde correlatiesleutel die als gerelateerd worden beschouwd.
properties.description

string

Beschrijving van de verdachte activiteit die is gedetecteerd.
properties.endTimeUtc

string

De UTC-tijd van de laatste gebeurtenis of activiteit die is opgenomen in de waarschuwing in ISO8601 indeling.
properties.entities

AlertEntity[]

Een lijst met entiteiten die zijn gerelateerd aan de waarschuwing.
properties.extendedLinks

object[]

Koppelingen met betrekking tot de waarschuwing
properties.extendedProperties

object

Aangepaste eigenschappen voor de waarschuwing.
properties.intent

intent

De kill chain gerelateerde intentie achter de waarschuwing. Voor een lijst met ondersteunde waarden en uitleg over de ondersteunde kill chain-intenties van Azure Security Center.
properties.isIncident

boolean

Dit veld bepaalt of de waarschuwing een incident is (een samengestelde groepering van meerdere waarschuwingen) of één waarschuwing.
properties.processingEndTimeUtc

string

De eindtijd van de utc-verwerking van de waarschuwing in ISO8601 indeling.
properties.productComponentName

string

De naam van de azure Security Center-prijscategorie die deze waarschuwing aangeeft. Meer informatie: https://docs.microsoft.com/en-us/azure/security-center/security-center-pricing
properties.productName

string

De naam van het product dat deze waarschuwing heeft gepubliceerd (Microsoft Sentinel, Microsoft Defender for Identity, Microsoft Defender voor Eindpunt, Microsoft Defender voor Office, Microsoft Defender voor Cloud Apps, enzovoort).
properties.remediationSteps

string[]

Handmatige actie-items die moeten worden uitgevoerd om de waarschuwing te herstellen.
properties.resourceIdentifiers ResourceIdentifier[]:

De resource-id's die kunnen worden gebruikt om de waarschuwing door te sturen naar de juiste productblootgroep (tenant, werkruimte, abonnement, enzovoort). Er kunnen meerdere id's van verschillende typen per waarschuwing zijn.
properties.severity

alertSeverity

Het risiconiveau van de gedetecteerde bedreiging. Meer informatie: https://docs.microsoft.com/en-us/azure/security-center/security-center-alerts-overview#how-are-alerts-classified.
properties.startTimeUtc

string

De UTC-tijd van de eerste gebeurtenis of activiteit die is opgenomen in de waarschuwing in ISO8601 indeling.
properties.status

alertStatus

De levenscyclusstatus van de waarschuwing.
properties.subTechniques

string[]

Kill chain gerelateerde subtechnieken achter de waarschuwing.
properties.supportingEvidence

SupportingEvidence

Het wijzigen van de set eigenschappen, afhankelijk van het ondersteunende typeEvidence.
properties.systemAlertId

string

Unieke id voor de waarschuwing.
properties.techniques

string[]

kill chain gerelateerde technieken achter de waarschuwing.
properties.timeGeneratedUtc

string

De UTC-tijd waarop de waarschuwing is gegenereerd in ISO8601 indeling.
properties.vendorName

string

De naam van de leverancier die de waarschuwing genereert.
properties.version

string

Schemaversie.
type

string

Resourcetype

AlertEntity

De set eigenschappen wijzigen, afhankelijk van het entiteitstype.

Name Type Description
type

string

Type entiteit

alertSeverity

Het risiconiveau van de gedetecteerde bedreiging. Meer informatie: https://docs.microsoft.com/en-us/azure/security-center/security-center-alerts-overview#how-are-alerts-classified.

Name Type Description
High

string

Hoog
Informational

string

Informatieve
Low

string

Laag
Medium

string

Gemiddeld

alertStatus

De levenscyclusstatus van de waarschuwing.

Name Type Description
Active

string

Aan een waarschuwing die geen waarde opgeeft, wordt de status Actief toegewezen
Dismissed

string

Waarschuwing is gesloten als fout-positief
InProgress

string

Een waarschuwing die de afhandelingsstatus heeft
Resolved

string

Waarschuwing gesloten na verwerking

AzureResourceIdentifier

Azure-resource-id.

Name Type Description
azureResourceId

string

ARM-resource-id voor de cloudresource waarvoor een waarschuwing wordt weergegeven
type string:

AzureResource

Er kunnen meerdere id's van verschillende typen per waarschuwing zijn. In dit veld wordt het id-type opgegeven.

CloudError

Veelvoorkomende foutreactie voor alle Azure Resource Manager-API's om foutdetails te retourneren voor mislukte bewerkingen. (Dit volgt ook de OData-foutreactieindeling.)

Name Type Description
error.additionalInfo

ErrorAdditionalInfo[]

De fout bevat aanvullende informatie.
error.code

string

De foutcode.
error.details

CloudErrorBody[]

De foutdetails.
error.message

string

Het foutbericht.
error.target

string

Het foutdoel.

CloudErrorBody

De foutdetails.

Name Type Description
additionalInfo

ErrorAdditionalInfo[]

De fout bevat aanvullende informatie.
code

string

De foutcode.
details

CloudErrorBody[]

De foutdetails.
message

string

Het foutbericht.
target

string

Het foutdoel.

ErrorAdditionalInfo

Aanvullende informatie over de resourcebeheerfout.

Name Type Description
info

object

De aanvullende informatie.
type

string

Het extra informatietype.

intent

De kill chain gerelateerde intentie achter de waarschuwing. Voor een lijst met ondersteunde waarden en uitleg over de ondersteunde kill chain-intenties van Azure Security Center.

Name Type Description
Collection

string

Verzameling bestaat uit technieken die worden gebruikt voor het identificeren en verzamelen van informatie, zoals gevoelige bestanden, van een doelnetwerk vóór exfiltratie.
CommandAndControl

string

De opdracht- en controletactiek geeft aan hoe kwaadwillende personen communiceren met systemen die onder hun controle vallen binnen een doelnetwerk.
CredentialAccess

string

Referentietoegang vertegenwoordigt technieken die leiden tot toegang tot of controle over systeem-, domein- of servicereferenties die worden gebruikt in een bedrijfsomgeving.
DefenseEvasion

string

Verdedigingsontduiking bestaat uit technieken die een kwaadwillende persoon kan gebruiken om detectie te omzeilen of andere verdediging te voorkomen.
Discovery

string

Detectie bestaat uit technieken waarmee de kwaadwillende persoon kennis kan krijgen over het systeem en het interne netwerk.
Execution

string

De uitvoeringstactiek vertegenwoordigt technieken die resulteren in de uitvoering van door aanvallers beheerde code op een lokaal of extern systeem.
Exfiltration

string

Exfiltratie verwijst naar technieken en kenmerken die resulteren in of helpen bij het verwijderen van bestanden en informatie uit een doelnetwerk.
Exploitation

string

Exploitatie is de fase waarin een aanvaller erin slaagt om een voet aan de aanvalsresource te krijgen. Deze fase is relevant voor rekenhosts en resources, zoals gebruikersaccounts, certificaten, enzovoort.
Impact

string

Impact-gebeurtenissen proberen voornamelijk de beschikbaarheid of integriteit van een systeem, service of netwerk rechtstreeks te verminderen; inclusief manipulatie van gegevens die van invloed zijn op een bedrijf of operationeel proces.
InitialAccess

string

InitialAccess is de fase waarin een aanvaller erin slaagt om voet aan de slag te gaan met de aangevallen resource.
LateralMovement

string

Laterale beweging bestaat uit technieken waarmee een kwaadwillende persoon externe systemen op een netwerk kan openen en beheren en kan, maar niet noodzakelijkerwijs, uitvoering van hulpprogramma's op externe systemen omvatten.
Persistence

string

Persistentie is elke wijziging van toegang, actie of configuratie in een systeem dat een bedreigingsacteur een permanente aanwezigheid op dat systeem geeft.
PreAttack

string

PreAttack kan een poging zijn om toegang te krijgen tot een bepaalde resource, ongeacht een kwaadwillende bedoeling, of een mislukte poging om toegang te krijgen tot een doelsysteem om informatie te verzamelen voorafgaand aan exploitatie. Deze stap wordt meestal gedetecteerd als een poging, afkomstig van buiten het netwerk, om het doelsysteem te scannen en een manier te vinden. Meer informatie over de Fase PreAttack kan worden gelezen in MITRE Pre-Att&ck matrix.
PrivilegeEscalation

string

Escalatie van bevoegdheden is het resultaat van acties waarmee een kwaadwillende persoon een hoger machtigingsniveau voor een systeem of netwerk kan verkrijgen.
Probing

string

Testen kan een poging zijn om toegang te krijgen tot een bepaalde resource, ongeacht een kwaadwillende bedoeling, of een mislukte poging om toegang te krijgen tot een doelsysteem om informatie te verzamelen voorafgaand aan exploitatie.
Unknown

string

Onbekend

LogAnalyticsIdentifier

Vertegenwoordigt een bereik-id van een Log Analytics-werkruimte.

Name Type Description
agentId

string

(optioneel) De LogAnalytics-agent-id rapporteert de gebeurtenis waarop deze waarschuwing is gebaseerd.
type string:

LogAnalytics

Er kunnen meerdere id's van verschillende typen per waarschuwing zijn. In dit veld wordt het id-type opgegeven.
workspaceId

string

De LogAnalytics-werkruimte-id waarin deze waarschuwing wordt opgeslagen.
workspaceResourceGroup

string

De Azure-resourcegroep voor de LogAnalytics-werkruimte die deze waarschuwing opslaat
workspaceSubscriptionId

string

De azure-abonnements-id voor de LogAnalytics-werkruimte die deze waarschuwing opslaat.

SupportingEvidence

Het wijzigen van de set eigenschappen, afhankelijk van het ondersteunende typeEvidence.

Name Type Description
type

string

Type van de ondersteunendeEvidence