New-ProtectionAlert

Sintassi

Default (Impostazione predefinita)

New-ProtectionAlert
    -Category <AlertRuleCategory>
    -Name <String>
    -NotifyUser <MultiValuedProperty>
    -ThreatType <ThreatAlertType>
    [-AggregationType <AlertAggregationType>]
    [-AlertBy <MultiValuedProperty>]
    [-AlertFor <MultiValuedProperty>]
    [-Comment <String>]
    [-Confirm]
    [-CorrelationPolicyId <System.Guid>]
    [-Description <String>]
    [-Disabled <Boolean>]
    [-Filter <String>]
    [-LogicalOperationName <String>]
    [-NotificationCulture <CultureInfo>]
    [-NotificationEnabled <Boolean>]
    [-NotifyUserOnFilterMatch <Boolean>]
    [-NotifyUserSuppressionExpiryDate <DateTime>]
    [-NotifyUserThrottleThreshold <Int32>]
    [-NotifyUserThrottleWindow <Int32>]
    [-Operation <MultiValuedProperty>]
    [-PrivacyManagementScopedSensitiveInformationTypes <MultiValuedProperty>]
    [-PrivacyManagementScopedSensitiveInformationTypesForCounting <MultiValuedProperty>]
    [-PrivacyManagementScopedSensitiveInformationTypesThreshold <System.UInt64>]
    [-CustomProperties <PswsHashtable>]
    [-Severity <RuleSeverity>]
    [-Threshold <Int32>]
    [-TimeWindow <Int32>]
    [-UseCreatedDateTime <System.Boolean>]
    [-VolumeThreshold <System.UInt64>]
    [-WhatIf]
    [<CommonParameters>]

Descrizione

Esempio

Esempio 1

New-ProtectionAlert -Name "Content search deleted" -Category Others -NotifyUser admin@contoso.com -ThreatType Activity -Operation SearchRemoved -Description "Custom alert policy to track when content searches are deleted" -AggregationType None

Parametri

-AggregationType

Applicabile: Sicurezza & conformità

Il parametro AggregationType specifica il modo in cui il criterio di avviso attiva gli avvisi in caso di più occorrenze di un'attività monitorata. I valori validi sono:

• Nessuno: gli avvisi vengono attivati per ogni occorrenza dell'attività.
• SimpleAggregation: gli avvisi vengono attivati in base al volume di attività in un determinato intervallo di tempo (i valori dei parametri Threshold e TimeWindow). Questo è il valore predefinito.
• Aggregazione anomala: gli avvisi vengono attivati quando il volume di attività raggiunge livelli insoliti (supera di gran lunga la normale linea di base stabilita per l'attività). Possono essere necessari fino a 7 giorni prima che Microsoft 365 stabilisca la linea di base. Durante il periodo di calcolo della baseline, non viene generato alcun avviso per l'attività.

Proprietà dei parametri

Set di parametri

-AlertBy

Applicabile: Sicurezza & conformità

Il parametro AlertBy consente di specificare l'ambito per i criteri di avviso aggregati. I valori validi sono determinati dal valore dal parametro ThreatType:

• Attività: I valori validi sono User o $null (vuoto, che è il valore predefinito). Se non si usa il valore User, l'ambito del criterio di avviso si riferisce all'intera organizzazione.
• Malware: i valori validi sono Mail.Recipient o Mail.ThreatName.

Non è possibile utilizzare questo parametro quando il valore del parametro AggregationType è None (gli avvisi vengono attivati per ogni occorrenza dell'attività).

Nota: questo parametro è necessario per mostrare le entità negli avvisi. Senza di esso, gli avvisi si attivano senza mostrare le entità. È consigliabile specificare un valore per questo parametro.

Proprietà dei parametri

Set di parametri

-AlertFor

Applicabile: Sicurezza & conformità

Questo parametro è riservato all'uso interno da parte di Microsoft.

Proprietà dei parametri

Set di parametri

-Category

Applicabile: Sicurezza & conformità

Il parametro Category consente di specificare una categoria per il criterio di avviso. I valori validi sono:

• AccessGovernance
• ComplianceManager
• Governance dei dati
• Flusso di posta
• Altri
• Gestione della privacy
• Supervisione
• Gestione delle minacce

Quando si verifica un'attività che soddisfa le condizioni del criterio di avviso, l'avviso generato è contrassegnato con la categoria specificata da questo parametro. In questo modo è possibile controllare e gestire gli avvisi che hanno la stessa impostazione di categoria

Proprietà dei parametri

Set di parametri

-Comment

Applicabile: Sicurezza & conformità

Il parametro Comment consente di specificare un commento facoltativo. Se si specifica un valore che contiene degli spazi, è necessario racchiuderlo tra virgolette ("); ad esempio: "Questa è una nota per amministratori".

Proprietà dei parametri

Set di parametri

-Confirm

Applicabile: Sicurezza & conformità

L'opzione Confirm consente di specificare se visualizzare o nascondere la richiesta di conferma. Il modo in cui questa opzione influisce sul cmdlet varia se il cmdlet richiede o meno una conferma prima di procedere.

• I cmdlet distruttivi (ad esempio, i cmdlet Remove-*) dispongono di una pausa incorporata che impone all'utente di confermare il comando prima di procedere. Per questi cmdlet, è possibile ignorare la richiesta di conferma usando questa precisa sintassi: -Confirm:$false.
• La maggior parte degli altri cmdlet (ad esempio, i cmdlet New-* e Set-*) non dispone di una pausa incorporata. Per questi cmdlet, se si specifica l'opzione Confirm senza un valore, viene introdotta una pausa che impone di confermare il comando prima di procedere.

Proprietà dei parametri

Set di parametri

-CorrelationPolicyId

Applicabile: Sicurezza & conformità

{{ Fill CorrelationPolicyId Description }}

Proprietà dei parametri

Set di parametri

-CustomProperties

Applicabile: Sicurezza & conformità

{{ Fill CustomProperties Description }}

Proprietà dei parametri

Set di parametri

-Description

Applicabile: Sicurezza & conformità

Il parametro Description consente di specificare una descrizione per il criterio di avviso. Se il valore contiene degli spazi, è necessario racchiuderlo tra virgolette (").

Proprietà dei parametri

Set di parametri

-Disabled

Applicabile: Sicurezza & conformità

Il parametro Disabled consente di attivare o disattivare il criterio di avviso. I valori validi sono:

• $true: i criteri di avviso sono disabilitati.
• $false: I criteri di avviso sono abilitati. Questo è il valore predefinito.

Proprietà dei parametri

Set di parametri

-Filter

Applicabile: Sicurezza & conformità

Il parametro Filter utilizza la sintassi OPATH per filtrare i risultati in base alle proprietà e ai valori specificati. Il criterio di ricerca utilizza la sintassi "Property -ComparisonOperator 'Value'".

• Racchiudere l'intero filtro OPATH tra virgolette doppie " ". Se il filtro contiene valori di sistema (ad esempio, $true, $false, o $null), usare invece le virgolette singole ' '. Anche se questo parametro è una stringa (non un blocco di sistema), puoi anche usare le parentesi graffe { }, ma solo se il filtro non contiene variabili.
• La proprietà è una proprietà filtrabile.
• ComparisonOperator è un operatore di confronto OPATH (ad esempio -eq per gli uguali e -like per il confronto di stringhe). Per ulteriori informazioni sugli operatori di confronto, vedere about_Comparison_Operators.
• Valore è il valore della proprietà da cercare. Racchiudere i valori di testo e le variabili tra virgolette singole ('Value' o '$Variable'). Se un valore di variabile contiene virgolette singole, sarà necessario identificarle (eseguire l'escape) per espandere correttamente la variabile. Ad esempio, al posto di '$User', usare '$($User -Replace "'","''")'. Non racchiudere interi o valori di sistema tra virgolette, ad esempio usare 500, $true, $false, o $null viceversa.

È possibile concatenare più criteri di ricerca usando l'operatore logico -and (ad esempio, "Criteria1 -and Criteria2").

Per informazioni dettagliate sui filtri OPATH in Exchange, vedere Ulteriori informazioni sulla sintassi OPATH.

Le proprietà filtrabili sono:

Attività

• Activity.ClientIp
• Activity.CreationTime
• Activity.Item
• Activity.ItemType
• Activity.Operation
• Activity.ResultStatus
• Activity.Scope
• Activity.SiteUrl
• Activity.SourceFileExtension
• Activity.SourceFileName
• Activity.TargetUserOrGroupType
• Activity.UserAgent
• Activity.UserId
• Activity.UserType
• Activity.Workload

Malware

• Posta:AttachmentExtensions
• Posta:AttachmentNames
• Posta:CreationTime
• Posta:DeliveryStatus
• Posta:Direzione
• Posta:Da
• posta:FromDomain
• Posta:InternetMessageId
• Posta:IsIntraOrgSpoof
• Posta:IsMalware
• Posta:IsSpam
• Posta:IsThreat
• Posta:Lingua
• Posta:destinatario
• Posta:Scl
• Posta:SenderCountry
• Posta:SenderIpAddress
• Posta:Oggetto
• posta:TenantId
• posta:ThreatName

Proprietà dei parametri

Set di parametri

-LogicalOperationName

Applicabile: Sicurezza & conformità

{{ Fill LogicalOperationName Description }}

Proprietà dei parametri

Set di parametri

-Name

Applicabile: Sicurezza & conformità

Il parametro Name specifica il nome univoco del criterio di avviso. Se il valore contiene degli spazi, è necessario racchiuderlo tra virgolette (").

Proprietà dei parametri

Set di parametri

-NotificationCulture

Applicabile: Sicurezza & conformità

Il parametro NotificationCulture consente di specificare la lingua o le impostazioni internazionali da utilizzare per le notifiche.

L'input valido per questo parametro è un valore di codice delle impostazioni cultura supportato dalla classe CultureInfo di Microsoft .NET Framework. Ad esempio, da-DK per il danese o ja-JP per il giapponese. Per altre informazioni, vedere Classe CultureInfo.

Proprietà dei parametri

Set di parametri

-NotificationEnabled

Applicabile: Sicurezza & conformità

{{ Fill NotificationEnabled Description }}

Proprietà dei parametri

Set di parametri

-NotifyUser

Applicabile: Sicurezza & conformità

Il parametro NotifyUser consente di specificare l'indirizzo SMTP dell'utente che riceve i messaggi di notifica relativi al criterio di avviso. È possibile specificare più valori separati da virgole.

Proprietà dei parametri

Set di parametri

-NotifyUserOnFilterMatch

Applicabile: Sicurezza & conformità

Il parametro NotifyUserOnFilterMatch consente di specificare se attivare un avviso per un singolo evento quando il criterio di avviso è configurato per l'attività aggregata. I valori validi sono:

• $true: Anche se l'avviso è configurato per un'attività aggregata, viene attivata una notifica durante una corrispondenza per l'attività (in pratica, un avviso anticipato).
• $false: gli avvisi vengono attivati in base al tipo di aggregazione specificato. Questo è il valore predefinito.

Non è possibile utilizzare questo parametro quando il valore del parametro AggregationType è None (gli avvisi vengono attivati per ogni occorrenza dell'attività).

Proprietà dei parametri

Set di parametri

-NotifyUserSuppressionExpiryDate

Applicabile: Sicurezza & conformità

Il parametro NotifyUserSuppressionExpiryDate consente di specificare se sospendere temporaneamente le notifiche del criterio di avviso. Fino all'ora-data specificata, non vengono inviate notifiche per le attività rilevate.

Usare il formato data breve definito nelle impostazioni Opzioni internazionali nel computer in cui viene eseguito il comando. Se ad esempio il computer è configurato per l'utilizzo del formato data breve MM/gg/aaaa, immettere 01/09/2018 per specificare 1 settembre 2018. È possibile immettere solo la data oppure specificare la data e l'ora del giorno. In quest'ultimo caso, racchiudere il valore tra virgolette ("), ad esempio, "01/09/2018 17:00".

Proprietà dei parametri

Set di parametri

-NotifyUserThrottleThreshold

Applicabile: Sicurezza & conformità

Il parametro NotifyUserThrottleThreshold consente di specificare il numero massimo di notifiche del criterio di avviso nel periodo di tempo specificato dal parametro NotifyUserThrottleWindow. Una volta raggiunto il numero massimo di notifiche nel periodo di tempo, non vengono inviate altre notifiche per l'avviso. I valori validi sono:

• Un numero intero.
• Il valore $null. Questo valore è l'impostazione predefinita (nessun numero massimo di notifiche per un avviso).

Proprietà dei parametri

Set di parametri

-NotifyUserThrottleWindow

Applicabile: Sicurezza & conformità

Il parametro NotifyUserThrottleWindow consente di specificare l'intervallo di tempo, in minuti, utilizzato dal parametro NotifyUserThrottleThreshold. I valori validi sono:

• Un numero intero.
• Il valore $null. Questo valore è l'impostazione predefinita (nessun intervallo per la limitazione delle notifiche).

Proprietà dei parametri

Set di parametri

-Operation

Applicabile: Sicurezza & conformità

Il parametro Operation consente di specificare le attività monitorate dai criteri di avviso. Per l'elenco delle attività disponibili, vedere la scheda Attività controllate in Attività controllate.

Anche se questo parametro è tecnicamente in grado di accettare più valori separati da virgole, più valori non funzionano.

È possibile utilizzare questo parametro solo quando il valore del parametro ThreatType è Activity.

Proprietà dei parametri

Set di parametri

-PrivacyManagementScopedSensitiveInformationTypes

Applicabile: Sicurezza & conformità

{{ Fill PrivacyManagementScopedSensitiveInformationTypes Description }}

Proprietà dei parametri

Set di parametri

-PrivacyManagementScopedSensitiveInformationTypesForCounting

Applicabile: Sicurezza & conformità

{{ Fill PrivacyManagementScopedSensitiveInformationTypesForCounting Description }}

Proprietà dei parametri

Set di parametri

-PrivacyManagementScopedSensitiveInformationTypesThreshold

Applicabile: Sicurezza & conformità

{{ Fill PrivacyManagementScopedSensitiveInformationTypesThreshold Description }}

Proprietà dei parametri

Set di parametri

-Severity

Applicabile: Sicurezza & conformità

Il parametro Severity consente di specificare la gravità del rilevamento. I valori validi sono:

• Basso (valore predefinito)
• Medio
• Alto

Proprietà dei parametri

Set di parametri

-ThreatType

Applicabile: Sicurezza & conformità

Il parametro ThreatType specifica il tipo di attività che vengono monitorate dal criterio di avviso. I valori validi sono:

• Attività
• Malware

Il valore selezionato per questo parametro determina i valori che è possibile utilizzare per i parametri AlertBy, Filter, e Operation.

Non è possibile modificare questo valore dopo aver creato il criterio di avviso.

Proprietà dei parametri

Set di parametri

-Threshold

Applicabile: Sicurezza & conformità

Il parametro Threshold consente di specificare il numero di rilevamenti che devono essere superati nel periodo di tempo definito dal parametro TimeWindow per attivare il criterio di avviso. Un valore valido è un numero intero maggiore o uguale a 3.

È possibile utilizzare questo parametro solo quando il valore del parametro AggregationType è SimpleAggregation.

Proprietà dei parametri

Set di parametri

-TimeWindow

Applicabile: Sicurezza & conformità

Il parametro TimeWindow consente di specificare l'intervallo di tempo in minuti per un numero di rilevamenti specificato dal parametro Threshold. Un valore valido è un numero intero maggiore di 60 (un'ora).

È possibile utilizzare questo parametro solo quando il valore del parametro AggregationType è SimpleAggregation.

Proprietà dei parametri

Set di parametri

-UseCreatedDateTime

Applicabile: Sicurezza & conformità

{{ Fill UseCreatedDateTime Description }}

Proprietà dei parametri

Set di parametri

-VolumeThreshold

Applicabile: Sicurezza & conformità

{{ Riempimento VolumeSoglia Descrizione }}

Proprietà dei parametri

Set di parametri

-WhatIf

Applicabile: Sicurezza & conformità

Il parametro WhatIf non funziona in PowerShell per sicurezza e conformità.

Proprietà dei parametri

Set di parametri

CommonParameters