Remarque
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de vous connecter ou de modifier des répertoires.
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de modifier des répertoires.
Espace de noms : microsoft.graph.security
Importante
Les API sous la version /beta dans Microsoft Graph sont susceptibles d’être modifiées. L’utilisation de ces API dans des applications de production n’est pas prise en charge. Pour déterminer si une API est disponible dans v1.0, utilisez le sélecteur Version .
Représente une preuve liée à une alerte.
Le type de base alertEvidence et les types de preuves dérivés fournissent un moyen d’organiser et de suivre des données enrichies sur chaque artefact impliqué dans une alerte. Par exemple, une alerte concernant l’adresse IP d’un attaquant qui se connecte à un service cloud à l’aide d’un compte d’utilisateur compromis peut suivre les preuves suivantes :
-
Preuve de propriété intellectuelle avec les rôles de
attackeretsource, le status de correction derunning, et le verdict demalicious. -
Preuve d’application cloud avec un rôle de
contextual. -
Preuve de boîte aux lettres du compte utilisateur piraté avec un rôle de
compromised.
Cette ressource est le type de base pour les types de preuves suivants :
- activeDirectoryDomainEvidence
- aiAgentEvidence
- amazonResourceEvidence
- analyzedMessageEvidence
- azureResourceEvidence
- blobContainerEvidence
- blobEvidence
- cloudApplicationEvidence
- cloudLogonRequestEvidence
- cloudLogonSessionEvidence
- containerEvidence
- containerImageEvidence
- containerRegistryEvidence
- deviceEvidence
- dnsEvidence
- fileEvidence
- fileHashEvidence
- gitHubOrganizationEvidence
- gitHubRepoEvidence
- gitHubUserEvidence
- googleCloudResourceEvidence
- hostLogonSessionEvidence
- ioTDeviceEvidence
- ipEvidence
- kubernetesClusterEvidence
- kubernetesControllerEvidence
- kubernetesNamespaceEvidence
- kubernetesPodEvidence
- kubernetesSecretEvidence
- kubernetesServiceAccountEvidence
- kubernetesServiceEvidence
- mailboxConfigurationEvidence
- Preuve de boîte aux lettres
- mailClusterEvidence
- malwareEvidence
- networkConnectionEvidence
- nicEvidence
- oauthApplicationEvidence
- processEvidence
- registryKeyEvidence
- registryValueEvidence
- sasTokenEvidence
- securityGroupEvidence
- servicePrincipalEvidence
- submissionMailEvidence
- teamsMessageEvidence
- urlEvidence
- userEvidence
Propriétés
| Propriété | Type | Description |
|---|---|---|
| createdDateTime | DateTimeOffset | Date et heure auxquelles la preuve a été créée et ajoutée à l’alerte. Le type d’horodatage représente les informations de date et d’heure au moyen du format ISO 8601. Il est toujours au format d’heure UTC. Par exemple, le 1er janvier 2014 à minuit UTC se présente comme suit : 2014-01-01T00:00:00Z. |
| detailedRoles | String collection | Description détaillée du ou des rôles d’entité dans une alerte. Les valeurs sont de forme libre. |
| remediationStatus | microsoft.graph.security.evidenceRemediationStatus | État de l’action de correction entreprise. Les valeurs possibles sont : none, , preventedremediated, blockednotFoundpartiallyRemediatedunremediatedpendingApprovalrunningunknownFutureValueactivedeclined. Utilisez l’en-tête de Prefer: include-unknown-enum-members requête pour obtenir les valeurs suivantes à partir de cette énumération évolutive : active, pendingApproval, , declinedunremediated, runningpartiallyRemediated, , . |
| remediationStatusDetails | String | Détails sur le status de correction. |
| rôles | collection microsoft.graph.security.evidenceRole | Le(s) rôle(s) qu’une entité de preuve représente dans une alerte, par exemple, une adresse IP associée à un attaquant a le rôle de preuve Attaquant. |
| étiquettes | String collection | Tableau de balises personnalisées associées à une preuve instance, par exemple, pour désigner un groupe d’appareils, des ressources de grande valeur, etc. |
| Le verdict | microsoft.graph.security.evidenceVerdict | Décision prise par enquête automatisée. Les valeurs possibles sont : unknown, suspicious, malicious, noThreatsFound, unknownFutureValue. |
detectionValeurs sources
| Valeur | Description |
|---|---|
| Détecté | Un produit de la menace exécutée a été détecté. |
| bloqué | La menace a été corrigée au moment de l’exécution. |
| Empêché | La menace n’a pas pu se produire (exécution, téléchargement, etc.). |
| unknownFutureValue | Valeur sentinelle d’énumération évolutive. Ne pas utiliser. |
evidenceRemediationStatus values
| Member | Description |
|---|---|
| none | Aucune menace n’a été trouvée. |
| Corrigé | L’action de correction a été effectuée avec succès. |
| Empêché | La menace a été empêchée de s’exécuter. |
| bloqué | La menace a été bloquée lors de l’exécution. |
| introuvable | Les preuves n’ont pas été trouvées. |
| unknownFutureValue | Valeur sentinelle d’énumération évolutive. Ne pas utiliser. |
| Actif | L’enquête est en cours d’exécution/en attente et la correction n’est pas encore terminée. |
| pendingApproval | L’action de correction est en attente d’approbation. |
| refusé | La mesure corrective a été refusée. |
| Non corrigé | L’enquête a annulé la correction et l’entité est récupérée. |
| exécution en cours | L’action de correction est en cours d’exécution. |
| partallyRemediated | La menace a été partiellement corrigée. |
Valeurs evidenceRole
| Member | Description |
|---|---|
| unknown | Le rôle de la preuve est inconnu. |
| contextuelle | Une entité apparue probablement bénigne mais signalée comme un effet secondaire de l’action d’un attaquant, par exemple, le processus services.exe bénin a été utilisé pour démarrer un service malveillant. |
| analysés | Une entité identifiée comme cible d’actions d’analyse de découverte ou de reconnaissance, par exemple, un scanner de port a été utilisé pour scanner un réseau. |
| source | Entité d’origine de l’activité (par exemple, appareil, utilisateur, adresse IP, etc.). |
| Destination (Destination | Entité à laquelle l’activité a été envoyée (par exemple, appareil, utilisateur, adresse IP, etc.). |
| créé | L’entité a été créée à la suite des actions d’un attaquant, par exemple, un compte d’utilisateur a été créé. |
| ajouté | L’entité a été ajoutée à la suite des actions d’un attaquant. Par exemple, un compte d’utilisateur a été ajouté à un groupe d’autorisations. |
| Compromis | L’entité a été compromise et est sous le contrôle d’un attaquant. Par exemple, un compte d’utilisateur a été compromis et utilisé pour se connecter à un service cloud. |
| modifié | L’entité a été modifiée par un attaquant. Par exemple, la clé de Registre d’un service a été modifiée de manière à indiquer l’emplacement d’une nouvelle charge utile malveillante. |
| attaqués | L’entité a été attaquée. Par exemple, un appareil a été la cible d’une attaque DDoS. |
| Attaquant | L’entité représente l’attaquant. Par exemple, l’adresse IP de l’attaquant observée en train de se connecter à un service cloud à l’aide d’un compte d’utilisateur compromis. |
| commandAndControl | L’entité est utilisée pour la commande et le contrôle. Par exemple, un domaine C2 (commande et contrôle) utilisé par des programmes malveillants. |
| chargé | L’entité a été chargée par un processus sous le contrôle d’un attaquant. Par exemple, une DLL a été chargée dans un processus contrôlé par l’attaquant. |
| suspect | L’entité est soupçonnée d’être malveillante ou contrôlée par un attaquant, mais n’a pas été incriminée. |
| policyViolator | L’entité enfreint une stratégie définie par le client. |
| unknownFutureValue | Valeur sentinelle d’énumération évolutive. Ne pas utiliser. |
Valeurs evidenceVerdict
| Member | Description |
|---|---|
| unknown | Aucun verdict n’a été rendu pour la preuve. |
| suspect | Actions correctives recommandées en attente d’approbation. |
| malveillant | La preuve a été jugée malveillante. |
| noThreatsFound | Aucune menace n’a été détectée - les preuves sont bénignes. |
| unknownFutureValue | Valeur sentinelle d’énumération évolutive. Ne pas utiliser. |
Relations
Aucun.
Représentation JSON
La représentation JSON suivante montre le type de ressource.
{
"@odata.type": "#microsoft.graph.security.alertEvidence",
"createdDateTime": "String (timestamp)",
"verdict": "String",
"remediationStatus": "String",
"remediationStatusDetails": "String",
"roles": [
"String"
],
"detailedRoles": [
"String"
],
"tags": [
"String"
]
}