Compartilhar via

Alerts - Get Subscription Level

  • Referência
Serviço:
Defender for Cloud
Versão da API:
2022-01-01

Obter um alerta associado a uma assinatura

GET https://management.azure.com/subscriptions/{subscriptionId}/providers/Microsoft.Security/locations/{ascLocation}/alerts/{alertName}?api-version=2022-01-01

Parâmetros de URI

Nome Em Obrigatório Tipo Description
alertName
 path True

string

Nome do objeto de alerta
ascLocation
 path True

string

O local em que o ASC armazena os dados da assinatura. pode ser recuperado de Obter locais
subscriptionId
 path True

string

ID da assinatura do Azure

Padrão Regex: ^[0-9A-Fa-f]{8}-([0-9A-Fa-f]{4}-){3}[0-9A-Fa-f]{12}$
api-version
 query True

string

Versão da API para a operação

Respostas

Nome Tipo Description
200 OK

Alert

OKEY
Other Status Codes

CloudError

Resposta de erro que descreve por que a operação falhou.

Segurança

azure_auth

Fluxo OAuth2 do Azure Active Directory

Tipo: oauth2
Flow: implicit
URL de Autorização: https://login.microsoftonline.com/common/oauth2/authorize

Escopos

Nome Description
user_impersonation representar sua conta de usuário

Exemplos

Get security alert on a subscription from a security data location

Solicitação de exemplo

GET https://management.azure.com/subscriptions/20ff7fc3-e762-44dd-bd96-b71116dcdc23/providers/Microsoft.Security/locations/westeurope/alerts/2518770965529163669_F144EE95-A3E5-42DA-A279-967D115809AA?api-version=2022-01-01

Resposta de exemplo

Código de status:
200 
{
  "id": "/subscriptions/20ff7fc3-e762-44dd-bd96-b71116dcdc23/resourceGroups/myRg1/providers/Microsoft.Security/locations/westeurope/alerts/2518770965529163669_F144EE95-A3E5-42DA-A279-967D115809AA",
  "name": "2518298467986649999_4d25bfef-2d77-4a08-adc0-3e35715cc92a",
  "type": "Microsoft.Security/Locations/alerts",
  "properties": {
    "version": "2022-01-01",
    "alertType": "VM_EICAR",
    "systemAlertId": "2518298467986649999_4d25bfef-2d77-4a08-adc0-3e35715cc92a",
    "productComponentName": "testName",
    "alertDisplayName": "Azure Security Center test alert (not a threat)",
    "description": "This is a test alert generated by Azure Security Center. No further action is needed.",
    "severity": "High",
    "intent": "Execution",
    "startTimeUtc": "2020-02-22T00:00:00.0000000Z",
    "endTimeUtc": "2020-02-22T00:00:00.0000000Z",
    "resourceIdentifiers": [
      {
        "azureResourceId": "/subscriptions/20ff7fc3-e762-44dd-bd96-b71116dcdc23/resourceGroups/myRg1/providers/Microsoft.Compute/virtualMachines/vm1",
        "type": "AzureResource"
      },
      {
        "workspaceId": "f419f624-acad-4d89-b86d-f62fa387f019",
        "workspaceSubscriptionId": "20ff7fc3-e762-44dd-bd96-b71116dcdc23",
        "workspaceResourceGroup": "myRg1",
        "agentId": "75724a01-f021-4aa8-9ec2-329792373e6e",
        "type": "LogAnalytics"
      }
    ],
    "remediationSteps": [
      "No further action is needed."
    ],
    "vendorName": "Microsoft",
    "status": "Active",
    "extendedLinks": [
      {
        "Category": "threat_reports",
        "Label": "Report: RDP Brute Forcing",
        "Href": "https://contoso.com/reports/DisplayReport",
        "Type": "webLink"
      }
    ],
    "alertUri": "https://portal.azure.com/#blade/Microsoft_Azure_Security/AlertBlade/alertId/2518298467986649999_4d25bfef-2d77-4a08-adc0-3e35715cc92a/subscriptionId/20ff7fc3-e762-44dd-bd96-b71116dcdc23/resourceGroup/myRg1/referencedFrom/alertDeepLink/location/westeurope",
    "timeGeneratedUtc": "2020-02-23T13:47:58.0000000Z",
    "productName": "Azure Security Center",
    "processingEndTimeUtc": "2020-02-23T13:47:58.9205584Z",
    "entities": [
      {
        "address": "192.0.2.1",
        "location": {
          "countryCode": "gb",
          "state": "wokingham",
          "city": "sonning",
          "longitude": -0.909,
          "latitude": 51.468,
          "asn": 6584
        },
        "type": "ip"
      }
    ],
    "isIncident": true,
    "correlationKey": "kso0LFWxzCll5tqrk5hmrBJ+MY1BX806W6q6+0s9Lk=",
    "extendedProperties": {
      "Property1": "Property1 information"
    },
    "compromisedEntity": "vm1",
    "techniques": [
      "T1059",
      "T1053",
      "T1072"
    ],
    "subTechniques": [
      "T1059.001",
      "T1059.006",
      "T1053.002"
    ],
    "supportingEvidence": {
      "type": "tabularEvidences",
      "title": "Investigate activity test",
      "columns": [
        "Date",
        "Activity",
        "User",
        "TestedText",
        "TestedValue"
      ],
      "rows": [
        [
          "2022-01-17T07:03:52.034Z",
          "Log on",
          "testUser",
          "false",
          false
        ],
        [
          "2022-01-17T07:03:52.034Z",
          "Log on",
          "testUser2",
          "false",
          false
        ],
        [
          "2022-01-17T07:03:52.034Z",
          "Log on",
          "testUser3",
          "true",
          true
        ]
      ]
    }
  }
}

Definições

Nome Description
Alert

Alerta de segurança
AlertEntity

Alterando o conjunto de propriedades dependendo do tipo de entidade.
alertSeverity

O nível de risco da ameaça detectada. Saiba mais: https://docs.microsoft.com/en-us/azure/security-center/security-center-alerts-overview#how-are-alerts-classified.
alertStatus

O status do ciclo de vida do alerta.
AzureResourceIdentifier

Identificador de recurso do Azure.
CloudError

Resposta de erro comum para todas as APIs do Azure Resource Manager retornarem detalhes de erro para operações com falha. (Isso também segue o formato de resposta de erro OData.).
CloudErrorBody

O detalhe do erro.
ErrorAdditionalInfo

As informações adicionais do erro de gerenciamento de recursos.
intent

A intenção relacionada à cadeia de morte por trás do alerta. Para obter uma lista de valores com suporte e explicações sobre as intenções de cadeia de mortes com suporte da Central de Segurança do Azure.
LogAnalyticsIdentifier

Representa um identificador de escopo do espaço de trabalho do Log Analytics.
SupportingEvidence

Alterando o conjunto de propriedades dependendo do tipo supportingEvidence.

Alert

Alerta de segurança

Nome Tipo Description
id

string

ID do recurso
name

string

Nome do recurso
properties.alertDisplayName

string

O nome de exibição do alerta.
properties.alertType

string

Identificador exclusivo para a lógica de detecção (todas as instâncias de alerta da mesma lógica de detecção terão o mesmo alertType).
properties.alertUri

string

Um link direto para a página de alerta no Portal do Azure.
properties.compromisedEntity

string

O nome de exibição do recurso mais relacionado a esse alerta.
properties.correlationKey

string

Chave para corelação de alertas relacionados. Alertas com a mesma chave de correlação considerada relacionada.
properties.description

string

Descrição da atividade suspeita detectada.
properties.endTimeUtc

string

A hora UTC do último evento ou atividade incluída no alerta no formato ISO8601.
properties.entities

AlertEntity[]

Uma lista de entidades relacionadas ao alerta.
properties.extendedLinks

object[]

Links relacionados ao alerta
properties.extendedProperties

object

Propriedades personalizadas para o alerta.
properties.intent

intent

A intenção relacionada à cadeia de morte por trás do alerta. Para obter uma lista de valores com suporte e explicações sobre as intenções de cadeia de mortes com suporte da Central de Segurança do Azure.
properties.isIncident

boolean

Esse campo determina se o alerta é um incidente (um agrupamento composto de vários alertas) ou um único alerta.
properties.processingEndTimeUtc

string

A hora de término do processamento UTC do alerta no formato ISO8601.
properties.productComponentName

string

O nome do tipo de preço da Central de Segurança do Azure que alimenta esse alerta. Saiba mais: https://docs.microsoft.com/en-us/azure/security-center/security-center-pricing
properties.productName

string

O nome do produto que publicou esse alerta (Microsoft Sentinel, Microsoft Defender para Identidade, Microsoft Defender para Ponto de Extremidade, Microsoft Defender para Office, Microsoft Defender para Aplicativos de Nuvem e assim por diante).
properties.remediationSteps

string[]

Itens de ação manuais a serem tomadas para corrigir o alerta.
properties.resourceIdentifiers ResourceIdentifier[]:

Os identificadores de recurso que podem ser usados para direcionar o alerta para o grupo de exposição de produtos correto (locatário, workspace, assinatura etc.). Pode haver vários identificadores de tipo diferente por alerta.
properties.severity

alertSeverity

O nível de risco da ameaça detectada. Saiba mais: https://docs.microsoft.com/en-us/azure/security-center/security-center-alerts-overview#how-are-alerts-classified.
properties.startTimeUtc

string

A hora UTC do primeiro evento ou atividade incluída no alerta no formato ISO8601.
properties.status

alertStatus

O status do ciclo de vida do alerta.
properties.subTechniques

string[]

Eliminar sub-técnicas relacionadas à cadeia por trás do alerta.
properties.supportingEvidence

SupportingEvidence

Alterando o conjunto de propriedades dependendo do tipo supportingEvidence.
properties.systemAlertId

string

Identificador exclusivo para o alerta.
properties.techniques

string[]

técnicas relacionadas à cadeia de eliminação por trás do alerta.
properties.timeGeneratedUtc

string

A hora UTC em que o alerta foi gerado no formato ISO8601.
properties.vendorName

string

O nome do fornecedor que gera o alerta.
properties.version

string

Versão do esquema.
type

string

Tipo de recurso

AlertEntity

Alterando o conjunto de propriedades dependendo do tipo de entidade.

Nome Tipo Description
type

string

Tipo de entidade

alertSeverity

O nível de risco da ameaça detectada. Saiba mais: https://docs.microsoft.com/en-us/azure/security-center/security-center-alerts-overview#how-are-alerts-classified.

Nome Tipo Description
High

string

Alto
Informational

string

Informativo
Low

string

Baixo
Medium

string

Média

alertStatus

O status do ciclo de vida do alerta.

Nome Tipo Description
Active

string

Um alerta que não especifica um valor recebe o status 'Ativo'
Dismissed

string

Alerta descartado como falso positivo
InProgress

string

Um alerta que está no estado de tratamento
Resolved

string

Alerta fechado após tratamento

AzureResourceIdentifier

Identificador de recurso do Azure.

Nome Tipo Description
azureResourceId

string

Identificador de recurso do ARM para o recurso de nuvem que está sendo alertado
type string:

AzureResource

Pode haver vários identificadores de tipo diferente por alerta, esse campo especifica o tipo de identificador.

CloudError

Resposta de erro comum para todas as APIs do Azure Resource Manager retornarem detalhes de erro para operações com falha. (Isso também segue o formato de resposta de erro OData.).

Nome Tipo Description
error.additionalInfo

ErrorAdditionalInfo[]

As informações adicionais do erro.
error.code

string

O código de erro.
error.details

CloudErrorBody[]

Os detalhes do erro.
error.message

string

A mensagem de erro.
error.target

string

O destino do erro.

CloudErrorBody

O detalhe do erro.

Nome Tipo Description
additionalInfo

ErrorAdditionalInfo[]

As informações adicionais do erro.
code

string

O código de erro.
details

CloudErrorBody[]

Os detalhes do erro.
message

string

A mensagem de erro.
target

string

O destino do erro.

ErrorAdditionalInfo

As informações adicionais do erro de gerenciamento de recursos.

Nome Tipo Description
info

object

As informações adicionais.
type

string

O tipo de informação adicional.

intent

A intenção relacionada à cadeia de morte por trás do alerta. Para obter uma lista de valores com suporte e explicações sobre as intenções de cadeia de mortes com suporte da Central de Segurança do Azure.

Nome Tipo Description
Collection

string

A coleção consiste em técnicas usadas para identificar e coletar informações, como arquivos confidenciais, de uma rede de destino antes da exfiltração.
CommandAndControl

string

A tática de comando e controle representa como os adversários se comunicam com sistemas sob seu controle dentro de uma rede de destino.
CredentialAccess

string

O acesso à credencial representa técnicas que resultam em acesso ou controle sobre credenciais de sistema, domínio ou serviço que são usadas em um ambiente empresarial.
DefenseEvasion

string

A evasão de defesa consiste em técnicas que um adversário pode usar para evitar a detecção ou evitar outras defesas.
Discovery

string

A descoberta consiste em técnicas que permitem que o adversário obtenha conhecimento sobre o sistema e a rede interna.
Execution

string

A tática de execução representa técnicas que resultam na execução de código controlado pelo adversário em um sistema local ou remoto.
Exfiltration

string

Exfiltração refere-se a técnicas e atributos que resultam ou ajudam o adversário a remover arquivos e informações de uma rede de destino.
Exploitation

string

A exploração é o estágio em que um invasor consegue obter uma base no recurso atacado. Esse estágio é relevante para hosts e recursos de computação, como contas de usuário, certificados etc.
Impact

string

Os eventos de impacto tentam principalmente reduzir diretamente a disponibilidade ou a integridade de um sistema, serviço ou rede; incluindo a manipulação de dados para afetar um processo operacional ou comercial.
InitialAccess

string

InitialAccess é o estágio em que um invasor consegue se basear no recurso atacado.
LateralMovement

string

O movimento lateral consiste em técnicas que permitem que um adversário acesse e controle sistemas remotos em uma rede e pode, mas não necessariamente, incluir a execução de ferramentas em sistemas remotos.
Persistence

string

Persistência é qualquer alteração de acesso, ação ou configuração para um sistema que fornece a um ator de ameaça uma presença persistente nesse sistema.
PreAttack

string

PreAttack pode ser uma tentativa de acessar um determinado recurso, independentemente de uma intenção mal-intencionada, ou uma tentativa fracassada de obter acesso a um sistema de destino para coletar informações antes da exploração. Essa etapa geralmente é detectada como uma tentativa, originária de fora da rede, de verificar o sistema de destino e encontrar uma maneira de entrar. Mais detalhes sobre o estágio PreAttack podem ser lidos no de matriz de pré-att do MITRE&ck.
PrivilegeEscalation

string

O escalonamento de privilégios é o resultado de ações que permitem que um adversário obtenha um nível mais alto de permissões em um sistema ou rede.
Probing

string

A investigação pode ser uma tentativa de acessar um determinado recurso, independentemente de uma intenção mal-intencionada, ou uma tentativa fracassada de obter acesso a um sistema de destino para coletar informações antes da exploração.
Unknown

string

Desconhecido

LogAnalyticsIdentifier

Representa um identificador de escopo do espaço de trabalho do Log Analytics.

Nome Tipo Description
agentId

string

(opcional) A ID do agente do LogAnalytics informando o evento em que esse alerta se baseia.
type string:

LogAnalytics

Pode haver vários identificadores de tipo diferente por alerta, esse campo especifica o tipo de identificador.
workspaceId

string

A ID do workspace do LogAnalytics que armazena esse alerta.
workspaceResourceGroup

string

O grupo de recursos do Azure para o workspace logAnalytics armazenando esse alerta
workspaceSubscriptionId

string

A ID da assinatura do Azure para o workspace do LogAnalytics armazenando esse alerta.

SupportingEvidence

Alterando o conjunto de propriedades dependendo do tipo supportingEvidence.

Nome Tipo Description
type

string

Tipo de supportingEvidence