名前空間: microsoft.graph.security
このリソースは、Microsoft Graph セキュリティ API によって生成されたアラートの最新のバッチに対応します。 このリソースは、Microsoft 365 Defender または Microsoft 365 Defender と統合されたセキュリティ プロバイダーによって特定された、顧客のテナント内の潜在的なセキュリティの問題を表します。
セキュリティ プロバイダーは、脅威を検出すると、システムにアラートを作成します。 Microsoft 365 Defender は、セキュリティ プロバイダーからこのアラート データを取得し、アラート データを使用して、関連する攻撃、影響を受けた資産、および関連する証拠に関するアラート リソース内の貴重な手がかりを返します。 同じ攻撃手法または同じ攻撃者を持つ他のアラートを インシデント に自動的に関連付けて、攻撃のより広範なコンテキストを提供します。 この方法でアラートを集約すると、アナリストは脅威への総合的な調査や対応が簡単にできるようになります。
注:
このリソースは、v1.0 バージョンの Microsoft Graph セキュリティ API が提供する 2 種類のアラートのうちの 1 つです。 詳細については、「 アラート」を参照してください。
重要
Sentinel のアラートとインシデントを表示するには、Sentinel を Defender ポータルにオンボードする必要があります。 詳細については、「Microsoft Sentinel を Microsoft Defender ポータルに接続する」を参照してください。
メソッド
| メソッド | 戻り値の種類 | 説明 |
|---|---|---|
| List | Microsoft.Graph.Security.alert コレクション | organization 内の疑わしいアクティビティを追跡するために作成されたアラート リソースの一覧を取得します。 |
| Get | microsoft.graph.security.alert | 指定したアラート ID プロパティに基づいて、organization 内のアラート オブジェクトのプロパティを取得します。 |
| Update | microsoft.graph.security.alert | 指定されたアラート ID プロパティに基づいて、organization 内のアラート オブジェクトのプロパティを更新します。 |
| コメントを作成する | alertComment | 指定されたアラート ID プロパティに基づいて、既存のアラートのコメントを作成します。 |
| アラートの移動 | microsoft.graph.security.mergeResponse | 1 つ以上の アラート リソースを新規または既存の インシデントに移動します。 |
プロパティ
| プロパティ | 型 | 説明 |
|---|---|---|
| actorDisplayName | 文字列 | このアラートに関連付けられている敵対者またはアクティビティ グループ。 |
| additionalData | microsoft.graph.security.dictionary | ユーザー定義のプロパティを含む、その他のアラート プロパティのコレクション。 アラートで定義されているカスタムの詳細と、アラートの詳細の動的コンテンツは、ここに格納されます。 |
| alertPolicyId | 文字列 | アラートを生成したポリシーの ID。顧客によって構成されているかビルトイン ポリシーによって構成されているかに関係なく、アラートを生成した特定のポリシーがある場合に設定されます。 |
| alertWebUrl | 文字列 | Microsoft 365 Defender ポータルのアラート ページの URL。 |
| assignedTo | String | アラートの所有者、所有者が割り当てられていない場合は null。 |
| categories | String collection | アラートが属する攻撃キルチェーン カテゴリ。 MITRE ATT&CK フレームワークに合わせて調整されます。 |
| classification | microsoft.graph.security.alertClassification | アラートが真の脅威を表すかどうかを指定します。 使用可能な値: unknown、falsePositive、truePositive、informationalExpectedActivity、unknownFutureValue。 |
| comments | microsoft.graph.security.alertComment コレクション | アラート管理プロセス中にセキュリティ オペレーション (SecOps) チームによって作成されたコメントの配列。 |
| createdDateTime | DateTimeOffset | Microsoft 365 Defender がアラートを作成した時刻。 |
| customDetails | microsoft.graph.security.dictionary | 文字列値を含むユーザー定義のカスタム フィールド。 |
| 説明 | String | 各アラートを説明する文字列値。 |
| detectionSource | microsoft.graph.security.detectionSource | 注目すべきコンポーネントまたはアクティビティを識別した検出テクノロジまたはセンサー。 |
| detectorId | 文字列 | アラートをトリガーした検出システムの ID。 |
| 判定 | microsoft.graph.security.alertDetermination | 調査の結果、アラートが真の攻撃を表しているかどうか、および真の場合は攻撃の性質を指定します。 可能な値は、 unknown、 apt、 malware、 securityPersonnel、 securityTesting、 unwantedSoftware、 other、 multiStagedAttack、 compromisedAccount、 phishing、 maliciousUserActivity、 notMalicious、 notEnoughDataToValidate、 confirmedActivity、 lineOfBusinessApplication、 unknownFutureValue です。 |
| 証拠 | microsoft.graph.security.alertEvidence コレクション | アラートに関連する証拠の収集。 |
| firstActivityDateTime | DateTimeOffset | アラートに関連付けられている最も早いアクティビティ。 |
| id | 文字列 | アラート リソースを表す一意識別子。 |
| incidentId | 文字列 | このアラート リソースが関連付けられているインシデントを表す一意の識別子。 |
| incidentWebUrl | 文字列 | Microsoft 365 Defender ポータルのインシデント ページの URL。 |
| investigationState | microsoft.graph.security.investigationState | 調査の現在の状態に関する情報。 有効な値は、 unknown、 terminated、 successfullyRemediated、 benign、 failed、 partiallyRemediated、 running、 pendingApproval、 pendingResource、 queued、 innerFailure、 preexistingAlert、 unsupportedOs、 unsupportedAlertType、 suppressedAlert、 partiallyInvestigated、 terminatedByUser、 terminatedBySystem、 unknownFutureValue です。 |
| lastActivityDateTime | DateTimeOffset | アラートに関連付けられている最も古いアクティビティ。 |
| lastUpdateDateTime | DateTimeOffset | Microsoft 365 Defender でアラートが最後に更新された時刻。 |
| mitreTechniques | String collection | MITRE ATT&CK フレームワークに沿った攻撃手法。 |
| productName | 文字列 | このアラートを発行した製品の名前。 |
| providerAlertId | 文字列 | アラートを生成したセキュリティ プロバイダー製品に表示されるアラートの ID。 |
| recommendedActions | 文字列 | このアラートが生成された場合に実行する推奨される対応および修復アクション。 |
| resolvedDateTime | DateTimeOffset | アラートが解決された時刻。 |
| serviceSource | microsoft.graph.security.serviceSource | このアラートを作成したサービスまたは製品。 詳細については、「 serviceSource の値」を参照してください。 |
| severity | microsoft.graph.security.alertSeverity | 資産への影響の可能性を示します。 重大度が高いほど、影響は大きくなります。 通常、重大度の高い項目は、最も早急な対応が必要です。 使用可能な値: unknown、informational、low、medium、high、unknownFutureValue。 |
| status | microsoft.graph.security.alertStatus | アラートの状態。 詳細については、 alertStatus の値を参照してください。 |
| tenantId | String | アラートが作成された Microsoft Entra テナント。 |
| threatDisplayName | 文字列 | このアラートに関連付けられている脅威。 |
| threatFamilyName | 文字列 | このアラートに関連付けられている脅威ファミリ。 |
| title | String | 警告を説明する簡単な識別文字列値。 |
| systemTags | String collection | アラートに関連付けられているシステム タグ。 |
| カテゴリ (非推奨) | 文字列 | アラートが属する攻撃キルチェーン カテゴリ。 MITRE ATT&CK フレームワークに合わせて調整されます。 このプロパティは非推奨化が進められています。 代わりに categories プロパティを使用してください。 |
alertClassification 値
| メンバー | 説明 |
|---|---|
| 不明 | アラートはまだ分類されていません。 |
| falsePositive | アラートは誤検知であり、悪意のあるアクティビティは検出されませんでした。 |
| truePositive | アラートは真陽性で、悪意のあるアクティビティが検出されました。 |
| informationalExpectedActivity | アラートは良性の陽性であり、信頼された/内部ユーザーによる悪意のある可能性があるアクティビティ (セキュリティ テストなど) が検出されました。 |
| unknownFutureValue | 進化可能な列挙センチネル値。 使用しないでください。 |
alertDetermination 値
| メンバー | 説明 |
|---|---|
| 不明 | 決定値はまだ設定されていません。 |
| apt | 継続的かつ高度な脅威を検出した真陽性アラート。 |
| マルウェア | 悪意のあるソフトウェアを検出した真陽性アラート。 |
| securityPersonnel | お客様のセキュリティ チームの誰かが実行した有効な不審なアクティビティを検出した真陽性アラート。 |
| securityTesting | このアラートでは、既知のセキュリティ テストの一環として実行された有効な疑わしいアクティビティが検出されました。 |
| unwantedSoftware | アラートで望ましくないソフトウェアが検出されました。 |
| その他 | その他の決定。 |
| multiStagedAttack | 複数のキル チェーン攻撃ステージを検出した真陽性アラート。 |
| compromisedAccount | 目的のユーザーの資格情報が侵害または盗難されたことを検出した真陽性アラート。 |
| フィッシング詐欺 | フィッシング メールを検出した真陽性アラート。 |
| maliciousUserActivity | ログオンしているユーザーが悪意のあるアクティビティを実行していることを検出した真陽性アラート。 |
| notMalicious | 誤ったアラート。不審なアクティビティはありません。 |
| notEnoughDataToValidate | そうではないことを証明するのに十分な情報がない、誤ったアラート。 |
| confirmedActivity | このアラートは、既知のユーザー アクティビティであるため、問題がないと見なされる真の疑わしいアクティビティをキャッチしました。 |
| lineOfBusinessApplication | このアラートでは、既知かつ確認済みの内部アプリケーションであるため、問題ないと見なされる真の疑わしいアクティビティが検出されました。 |
| unknownFutureValue | 進化可能な列挙センチネル値。 使用しないでください。 |
investigationState 値
| メンバー | 説明 |
|---|---|
| 不明 | 不明な調査状態。 |
| terminated | 調査は完了する前に終了しました。 |
| successfullyRemediated | 調査は正常に完了し、すべての修復アクションが実行されました。 |
| 良性 | 修復の試行なしで調査が完了しました。 |
| 失敗 | 問題によって調査が中断され、現在は完了できません。 |
| 部分的に修復済み | 調査は完了し、いくつかの修復プランは正常に実行されました。 |
| 実行中 | 現在調査が進行中です。 |
| pendingApproval | 調査は一時停止しました。一部の操作では、ユーザーのレビューと承認が必要です。 |
| pendingResource | 必要なリソースが使用可能になるまで、調査は一時停止されます。 |
| キューに登録済み | 調査はキューに入れられ、開始を待機しています。 |
| innerFailure | 調査中に内部システム障害が発生しました。 |
| preexistingAlert | 同様のアラートが既に存在するため、調査は開始されませんでした。 |
| unsupportedOS | オペレーティング システムがサポートされていないため、調査を続行できません。 |
| unsupportedAlertType | アラート タイプがサポートされていないため、調査を続行できません。 |
| suppressedAlert | 構成されたルールまたはポリシーに基づいて調査が抑制されました。 |
| partiallyInvestigated | 調査は部分的に完了しました。 |
| terminatedByUser | 調査が完了する前にユーザーによって停止されました。 |
| terminatedBySystem | 調査が完了する前にシステムによって停止されました。 |
| unknownFutureValue | 進化可能な列挙センチネル値。 使用しないでください。 |
alertSeverity 値
| メンバー | 説明 |
|---|---|
| 不明 | 不明な重大度。 |
| 情報 | 対処できないか、ネットワークにとって有害であると見なされるアラートは、実行可能ではないため、セキュリティの問題に対する組織のセキュリティ意識を高めることができます。 |
| 低 | 関連するマルウェアに関連する脅威に関するアラート。 たとえば、ハック ツール、探索コマンドの実行やログの消去などの非マルウェア ハッキング ツールは、多くの場合、organization を標的とした高度な脅威を示していません。 また、organization 内のユーザーがテストしている分離されたセキュリティ ツールから取得することもできます。 |
| medium | 高度永続的脅威 (APT) の一部である可能性がある侵害後の動作の検出と対応から生成されたアラート。 この重大度レベルには、攻撃ステージの典型的な動作、異常なレジストリ変更、疑わしいファイルの実行などで観察された動作が含まれます。 一部は内部セキュリティ テストが原因である可能性がありますが、それらは有効な検出であり、高度な攻撃の一部である可能性があるため調査が必要です。 |
| 高 | 高度に永続的な脅威 (APT) に関連する一般的なアラート。 これらのアラートは、資産に与える可能性のある損害の深刻さのため、高いリスクを示します。 たとえば、資格情報盗難ツールのアクティビティ、グループに関連していないランサムウェア アクティビティ、セキュリティ センサーの改ざん、または人間の敵を示す悪意のあるアクティビティなどがあります。 |
| unknownFutureValue | 進化可能な列挙センチネル値。 使用しないでください。 |
リレーションシップ
なし。
JSON 表記
次の JSON 表現は、リソースの種類を示しています。
{
"@odata.type": "#microsoft.graph.security.alert",
"actorDisplayName": "String",
"additionalData": {"@odata.type": "microsoft.graph.security.dictionary"},
"alertWebUrl": "String",
"assignedTo": "String",
"category": "String",
"categories": ["String"],
"classification": "String",
"comments": [{"@odata.type": "microsoft.graph.security.alertComment"}],
"createdDateTime": "String (timestamp)",
"customDetails": {"@odata.type": "microsoft.graph.security.dictionary"},
"description": "String",
"detectionSource": "String",
"detectorId": "String",
"determination": "String",
"evidence": [{"@odata.type": "microsoft.graph.security.alertEvidence"}],
"firstActivityDateTime": "String (timestamp)",
"id": "String (identifier)",
"incidentId": "String",
"incidentWebUrl": "String",
"investigationState": "String",
"lastActivityDateTime": "String (timestamp)",
"lastUpdateDateTime": "String (timestamp)",
"mitreTechniques": ["String"],
"productName": "String",
"providerAlertId": "String",
"recommendedActions": "String",
"resolvedDateTime": "String (timestamp)",
"serviceSource": "String",
"severity": "String",
"status": "String",
"systemTags" : ["String"],
"tenantId": "String",
"threatDisplayName": "String",
"threatFamilyName": "String",
"title": "String"
}