alertEvidence 资源类型

  • 项目

命名空间：microsoft.graph.security

重要

Microsoft Graph /beta 版本下的 API 可能会发生更改。 不支持在生产应用程序中使用这些 API。 若要确定 API 是否在 v1.0 中可用，请使用 版本 选择器。

表示与 警报相关的证据。

alertEvidence 基类型及其派生的证据类型提供了一种方法来组织和跟踪警报中涉及的每个项目的丰富数据。 例如，有关攻击者使用泄露用户帐户登录到云服务的 IP 地址的 警报 可以跟踪以下证据：

  • 具有 和 source角色的 attackerIP 证据、修正running状态和 的判决malicious。
  • 角色为 的contextual云应用程序证据。
  • 角色为 的被黑客攻击用户帐户的compromised邮箱证据。

此资源是以下证据类型的基类型：

属性

属性 类型 说明
createdDateTime DateTimeOffset 创建证据并将其添加到警报的日期和时间。 时间戳类型表示采用 ISO 8601 格式的日期和时间信息，始终采用 UTC 时区。 例如，2014 年 1 月 1 日午夜 UTC 为 2014-01-01T00:00:00Z。
detailedRoles 字符串集合 警报中实体角色的详细说明。 值是自由格式的。
remediationStatus microsoft.graph.security.evidenceRemediationStatus 已采取的修正操作的状态。 可能的值包括 none、remediated、prevented、blocked、notFound、unknownFutureValue。
remediationStatusDetails String 有关修正状态的详细信息。
roles microsoft.graph.security.evidenceRole 集合 证据实体在警报中表示的角色，例如，与攻击者关联的 IP 地址具有“ 攻击者”证据“角色。
tags 字符串集合 与证据实例关联的自定义标记数组，例如，用于表示一组设备、高价值资产等。
判决 microsoft.graph.security.evidenceVerdict 自动调查所做出的决定。 可能的值包括 unknown、suspicious、malicious、noThreatsFound、unknownFutureValue。

detectionSource 值

值 说明
检测 检测到已执行的威胁的乘积。
封锁 威胁在运行时已修正。
阻止 (运行、下载等 ) ，阻止了威胁的发生。
unknownFutureValue 可演变枚举 sentinel 值。 请勿使用。

evidenceRemediationStatus 值

成员 说明
无 未发现任何威胁。
已修正 修正操作已成功完成。
阻止 威胁被阻止执行。
封锁 执行时威胁被阻止。
notFound 没有找到证据。
unknownFutureValue 可演变枚举 sentinel 值。 请勿使用。

evidenceRole 值

成员 说明
unknown 证据角色未知。
语境 一个可能为良性的实体，但被报告为攻击者操作的副作用，例如，良性 services.exe 进程用于启动恶意服务。
扫描 标识为发现扫描或侦察操作目标的实体，例如，端口扫描程序用于扫描网络。
source 活动源自的实体，例如设备、用户、IP 地址等。
目的地 活动发送到的实体，例如设备、用户、IP 地址等。
已创建 实体是攻击者操作的结果创建的，例如，创建了用户帐户。
添加内容 实体是攻击者操作的结果添加的，例如，用户帐户已添加到权限组。
妥协 实体已遭到入侵，并受到攻击者的控制，例如，用户帐户已遭入侵，并用于登录到云服务。
已编辑 攻击者编辑或更改了实体，例如，已编辑服务的注册表项以指向新的恶意有效负载的位置。
攻击 实体受到攻击，例如，设备成为 DDoS 攻击的目标。
攻击 实体表示攻击者，例如，使用泄露的用户帐户登录到云服务时观察到攻击者的 IP 地址。
commandAndControl 实体用于命令和控制，例如，恶意软件使用的 C2 (命令和控制) 域。
加载 实体由攻击者控制下的进程加载，例如，Dll 加载到攻击者控制的进程。
可疑 该实体被怀疑为恶意或被攻击者控制，但尚未被定罪。
policyViolator 实体违反了客户定义的策略。
unknownFutureValue 可演变枚举 sentinel 值。 请勿使用。

evidenceRemediationStatus 值

成员 说明
unknown 没有确定证据的判决。
可疑 等待审批的建议修正操作。
恶意 证据被确定为恶意证据。
清洁 未检测到威胁 - 证据是良性的。
unknownFutureValue 可演变枚举 sentinel 值。 请勿使用。

evidenceVerdict 值

成员 说明
unknown 没有确定证据的判决。
可疑 等待审批的建议修正操作。
恶意 证据被确定为恶意证据。
noThreatsFound 未检测到威胁 - 证据是良性的。
unknownFutureValue 可演变枚举 sentinel 值。 请勿使用。

关系

无。

JSON 表示形式

以下 JSON 表示形式显示了资源类型。

{
  "@odata.type": "#microsoft.graph.security.alertEvidence",
  "createdDateTime": "String (timestamp)",
  "verdict": "String",
  "remediationStatus": "String",
  "remediationStatusDetails": "String",
  "roles": [
    "String"
  ],
  "detailedRoles": [
    "String"
  ],
  "tags": [
    "String"
  ]
}