New-ActivityAlert

Модуль:

ExchangePowerShell

Применяется к:

Security & Compliance

Этот командлет доступен только в PowerShell для соответствия требованиям безопасности & . Дополнительные сведения см. в разделе Соответствие требованиям безопасности & PowerShell.

Используйте командлет New-ActivityAlert для создания оповещений о действиях на портале Microsoft 365 Defender или в Портал соответствия требованиям Microsoft Purview. Оповещения о действиях отправляют уведомления по электронной почте, когда пользователи выполняют определенные действия в Майкрософт 365.

Сведения о наборах параметров в разделе Синтаксис ниже см. В разделе Синтаксис командлета Exchange.

Синтаксис

New-ActivityAlert
   -Multiplier <Double>
   -Name <String>
   -NotifyUser <MultiValuedProperty>
   -Type <AlertType>
   [-Operation <MultiValuedProperty>]
   [-Category <AlertRuleCategory>]
   [-Condition <String>]
   [-Confirm]
   [-Description <String>]
   [-Disabled <Boolean>]
   [-EmailCulture <CultureInfo>]
   [-RecordType <AuditRecordType>]
   [-ScopeLevel <AlertScopeLevel>]
   [-Severity <RuleSeverity>]
   [-UserId <MultiValuedProperty>]
   [-WhatIf]
   [<CommonParameters>]

New-ActivityAlert
   -Name <String>
   -NotifyUser <MultiValuedProperty>
   -Threshold <Int32>
   -TimeWindow <Int32>
   -Type <AlertType>
   [-Operation <MultiValuedProperty>]
   [-Category <AlertRuleCategory>]
   [-Condition <String>]
   [-Confirm]
   [-Description <String>]
   [-Disabled <Boolean>]
   [-EmailCulture <CultureInfo>]
   [-RecordType <AuditRecordType>]
   [-ScopeLevel <AlertScopeLevel>]
   [-Severity <RuleSeverity>]
   [-UserId <MultiValuedProperty>]
   [-WhatIf]
   [<CommonParameters>]

New-ActivityAlert
   -Name <String>
   -NotifyUser <MultiValuedProperty>
   -Operation <MultiValuedProperty>
   [-Type <AlertType>]
   [-Category <AlertRuleCategory>]
   [-Confirm]
   [-Description <String>]
   [-Disabled <Boolean>]
   [-EmailCulture <CultureInfo>]
   [-RecordType <AuditRecordType>]
   [-Severity <RuleSeverity>]
   [-UserId <MultiValuedProperty>]
   [-WhatIf]
   [<CommonParameters>]

Описание

Чтобы использовать этот командлет в PowerShell для соответствия требованиям безопасности & , необходимо назначить разрешения. Дополнительные сведения см. в разделах Разрешения на портале Microsoft 365 Defender или Разрешения на Портал соответствия требованиям Microsoft Purview.

Примеры

Пример 1

New-ActivityAlert -Name "External Sharing Alert" -Operation sharinginvitationcreated -NotifyUser chrisda@contoso.com,michelle@contoso.com -UserId laura@contoso.com,julia@contoso.com -Description "Notification for external sharing events by laura@contoso.com and julia@contoso.com"

В этом примере создается новое оповещение о действии с именем External Sharing Alert и следующими свойствами:

• Операция: sharinginvitationcreated.
• NotifyUser: chrisda@contoso.com и michelle@contoso.com.
• UserId: laura@contoso.com и julia@contoso.com.
• Описание: уведомление о событиях внешнего общего доступа по и laura@contoso.comjulia@contoso.com.

Параметры

-Category

Параметр Category задает категорию для предупреждения об активности. Допустимые значения:

• Нет (это значение по умолчанию)
• DataLossPrevention
• ThreatManagement
• DataGovernance
• AccessGovernance
• Другие

Type:	AlertRuleCategory
Position:	Named
Default value:	None
Required:	False
Accept pipeline input:	False
Accept wildcard characters:	False
Applies to:	Security & Compliance

-Condition

Параметр Condition задает условия фильтра для агрегирования событий.

Type:	String
Position:	Named
Default value:	None
Required:	False
Accept pipeline input:	False
Accept wildcard characters:	False
Applies to:	Security & Compliance

-Confirm

Переключатель подтверждения указывает, показывать или скрывать запрос подтверждения. Влияние этого параметра на командлет зависит от того, требуется ли командлету подтверждение перед выполнением.

• Деструктивные командлеты (например, командлеты Remove-*) имеют встроенную паузу, которая заставляет вас подтвердить команду перед продолжением. Можно пропускать запросы на подтверждение этих командлетов, используя следующий синтаксис: -Confirm:$false.
• Большинство других командлетов (например, командлеты New-* и Set-*) не имеют встроенной приостановки. Для этих командлетов указание переключателя Confirm без значения вводит паузу, которая заставляет вас подтвердить команду перед продолжением.

Type:	SwitchParameter
Aliases:	cf
Position:	Named
Default value:	None
Required:	False
Accept pipeline input:	False
Accept wildcard characters:	False
Applies to:	Security & Compliance

-Description

Параметр Description задает дополнительное описание для оповещения о действии. Если значение содержит пробелы, его необходимо заключить в кавычки (").

Type:	String
Position:	Named
Default value:	None
Required:	False
Accept pipeline input:	False
Accept wildcard characters:	False
Applies to:	Security & Compliance

-Disabled

Параметр Disabled указывает, включено ли оповещение о действии. Допустимые значения:

• $true: оповещение о действиях отключено.
• $false: оповещение о действиях включено. Это значение используется по умолчанию.

Type:	Boolean
Position:	Named
Default value:	None
Required:	False
Accept pipeline input:	False
Accept wildcard characters:	False
Applies to:	Security & Compliance

-EmailCulture

Параметр EmailCulture задает язык уведомления, отправляемого по электронной почте.

Допустимые входные данные для этого параметра — это поддерживаемое значение кода языка и региональных параметров из класса Майкрософт платформа .NET Framework CultureInfo. Например, da-DK для датского языка или ja-JP для японского. Дополнительные сведения см. в разделе Класс CultureInfo.

Type:	CultureInfo
Position:	Named
Default value:	None
Required:	False
Accept pipeline input:	False
Accept wildcard characters:	False
Applies to:	Security & Compliance

-Multiplier

Параметр Множитель указывает количество событий, которые активируют оповещение о действии. Значение этого параметра представляет собой множитель базового значения.

Этот параметр можно использовать, только когда параметру Type задано значение AnomalousAggregation.

Type:	Double
Position:	Named
Default value:	None
Required:	True
Accept pipeline input:	False
Accept wildcard characters:	False
Applies to:	Security & Compliance

-Name

Параметр Name указывает уникальное имя оповещения о действии. Максимальная длина: 64 символа. Если значение содержит пробелы, его необходимо заключить в кавычки (").

Type:	String
Position:	Named
Default value:	None
Required:	True
Accept pipeline input:	False
Accept wildcard characters:	False
Applies to:	Security & Compliance

-NotifyUser

Параметр NotifyUser задает адреса электронной почты для уведомлений. Вы можете указать внутренние и внешние адреса электронной почты.

Update Если значения содержат пробелы или иным образом требуют кавычек, используйте следующий синтаксис: "Value1","Value2",..."ValueN".

Type:	MultiValuedProperty
Position:	Named
Default value:	None
Required:	True
Accept pipeline input:	False
Accept wildcard characters:	False
Applies to:	Security & Compliance

-Operation

Параметр Operation указывает действие, которое активирует оповещение о действии.

Допустимое значение для этого параметра — это действие, доступное в журнале аудита Майкрософт 365. Описание этих действий см. в разделе Проверенные действия.

Update Если значения содержат пробелы или иным образом требуют кавычек, используйте следующий синтаксис: "Value1","Value2",..."ValueN".

Этот параметр невозможно использовать, если параметру Type задано значение ElevationOfPrivilege.

Type:	MultiValuedProperty
Position:	Named
Default value:	None
Required:	True
Accept pipeline input:	False
Accept wildcard characters:	False
Applies to:	Security & Compliance

-RecordType

Параметр RecordType задает метку типа записи для оповещения о действии. Дополнительные сведения о доступных значениях см. в разделе AuditLogRecordType.

Этот параметр не может использоваться, если значение параметра Type равно ElevationOfPrivilege.

Type:	AuditRecordType
Position:	Named
Default value:	None
Required:	False
Accept pipeline input:	False
Accept wildcard characters:	False
Applies to:	Security & Compliance

-ScopeLevel

Параметр ScopeLevel задает область для оповещений о действиях, использующих значения параметров Type SimpleAggregation или AnomalousAggregation. Допустимые значения:

• SingleUser (это значение по умолчанию)
• Allusers

Type:	AlertScopeLevel
Position:	Named
Default value:	None
Required:	False
Accept pipeline input:	False
Accept wildcard characters:	False
Applies to:	Security & Compliance

-Severity

Параметр Severity задает степень серьезности для предупреждения об активности. Допустимые значения:

• Нет
• Низкий (это значение по умолчанию)
• Средняя
• Высокая

Type:	RuleSeverity
Position:	Named
Default value:	None
Required:	False
Accept pipeline input:	False
Accept wildcard characters:	False
Applies to:	Security & Compliance

-Threshold

Параметр Threshold задает такое количество событий за период, указанный параметром TimeWindow, при достижении которого отправляется предупреждение об активности. Минимальное значение этого параметра — 3.

Этот параметр можно использовать, только когда параметру Type задано значение SimpleAggregation.

Type:	Int32
Position:	Named
Default value:	None
Required:	True
Accept pipeline input:	False
Accept wildcard characters:	False
Applies to:	Security & Compliance

-TimeWindow

Параметр TimeWindow задает период в минутах, используемый параметром Threshold.

Этот параметр можно использовать, только когда параметру Type задано значение SimpleAggregation.

Type:	Int32
Position:	Named
Default value:	None
Required:	True
Accept pipeline input:	False
Accept wildcard characters:	False
Applies to:	Security & Compliance

-Type

Параметр Type задает тип предупреждения. Допустимые значения:

• Пользовательский. Для действий, указанных с помощью параметра Operation, создается оповещение. Как правило, использовать это значение не требуется (если вы не используете параметр Type и указываете действия с помощью параметра Operations, значение Custom автоматически добавляется в свойство Type).
• ElevationOfPrivilege: это значение прекращается.
• SimpleAggregation. Оповещение создается на основе действий, определенных параметрами Operation и Condition, количества действий, заданного параметром Threshold, и периода времени, заданного параметром TimeWindow.
• AnomalousAggregation. Оповещение создается на основе действий, определенных параметрами Operation и Condition, и количества действий, заданных параметром Множитель.

Примечание. Изменить значение Type в существующем оповещении о действии нельзя.

Type:	AlertType
Position:	Named
Default value:	None
Required:	True
Accept pipeline input:	False
Accept wildcard characters:	False
Applies to:	Security & Compliance

-UserId

Параметр UserId определяет пользователей, которых необходимо отслеживать.

• Если указать электронный адрес пользователя, то при выполнении этим пользователем указанного действия вы получите уведомление по электронной почте. Можно указать несколько адресов электронной почты, разделив их запятыми.
• Если этот параметр останется пустым ($null), вы получите уведомление по электронной почте, когда любой пользователь вашей организации выполнит указанное действие.

Этот параметр можно использовать только со значениями параметра Type Custom или ElevationOfPrivilege.

Type:	MultiValuedProperty
Position:	Named
Default value:	None
Required:	False
Accept pipeline input:	False
Accept wildcard characters:	False
Applies to:	Security & Compliance

-WhatIf

Параметр WhatIf не работает в PowerShell для соответствия требованиям безопасности & .

Type:	SwitchParameter
Aliases:	wi
Position:	Named
Default value:	None
Required:	False
Accept pipeline input:	False
Accept wildcard characters:	False
Applies to:	Security & Compliance