Microsoft Defender SOC (wersja zapoznawcza)

Wyzwalaj zautomatyzowane przepływy pracy na podstawie zdarzeń Microsoft Defender i Sentinel. Udostępnia oddzielne wyzwalacze alertów zabezpieczeń oraz zarządzanie przypadkami (ogólne i przypadki zdarzeń), dostarczanie znormalizowanych danych zdarzeń do podrzędnych przepływów pracy.

Ten łącznik jest dostępny w następujących produktach i regionach:

Usługa	Class	Regions
Copilot Studio	Premium	Wszystkie regiony Power Automate z wyjątkiem następujących: - Rząd USA (GCC) - Rząd USA (GCC High) - China Cloud obsługiwane przez firmę 21Vianet - Departament Obrony USA (DoD)
Logic Apps	Standard	Wszystkie regiony usługi Logic Apps z wyjątkiem następujących: — Regiony platformy Azure Government — Regiony platformy Azure (Chiny) - Departament Obrony USA (DoD)
Power Apps	Premium	Wszystkie regiony Power Apps z wyjątkiem następujących: - Rząd USA (GCC) - Rząd USA (GCC High) - China Cloud obsługiwane przez firmę 21Vianet - Departament Obrony USA (DoD)
Power Automate - narzędzie do automatyzacji procesów	Premium	Wszystkie regiony Power Automate z wyjątkiem następujących: - Rząd USA (GCC) - Rząd USA (GCC High) - China Cloud obsługiwane przez firmę 21Vianet - Departament Obrony USA (DoD)

Kontakt biznesowy
Nazwa	Microsoft
adres URL	https://support.microsoft.com

Metadane łącznika
Publisher	Microsoft
Witryna internetowa	https://security.microsoft.com
Zasady ochrony prywatności	https://privacy.microsoft.com
Kategorie	Zabezpieczenia

łącznik SOC Microsoft Defender

Użyj tego łącznika, aby uruchomić przepływy pracy usługi Logic Apps z Microsoft Defender i automatyzacji Microsoft Sentinel.

Dostępne wyzwalacze

Microsoft Defender alert SOC odbiera znormalizowany ładunek alertu zabezpieczeń Microsoft Graph.
Microsoft Defender przypadku SOC otrzymuje znormalizowany ładunek przypadku zabezpieczeń Microsoft Graph, w tym typy przypadków ogólnych i zdarzeń.

Łącznik rejestruje wyzwalacz za pomocą usługi Logic Apps. Microsoft Defender automatyzacja rozwiązuje wywołanie zwrotne aplikacji logiki i wysyła ładunek alertu lub przypadku po uruchomieniu reguły automatyzacji.

Authentication

Łącznik używa Microsoft Entra ID uwierzytelniania. Tożsamość tworząca połączenie musi być autoryzowana dla scenariusza automatyzacji Microsoft Defender lub Microsoft Sentinel, który wywołuje przepływ pracy.

Znane ograniczenia

Przycisk Wyzwalacz uruchamiania usługi Logic Apps nie udostępnia Microsoft Defender ładunku alertu ani wielkości liter. Przetestuj przepływ pracy za pomocą Microsoft Defender automatyzacji lub ponownie prześlij istniejący przebieg usługi Logic Apps.

Tworzenie połączenia

Łącznik obsługuje następujące typy uwierzytelniania:


Wartość domyślna	Parametry tworzenia połączenia.	Wszystkie regiony	Nie można udostępniać

Domyślny

Dotyczy: wszystkie regiony

Parametry tworzenia połączenia.

Nie jest to możliwe do udostępnienia połączenie. Jeśli aplikacja power zostanie udostępniona innemu użytkownikowi, zostanie wyświetlony monit o jawne utworzenie nowego połączenia.

Wyzwalacze

alert SOC Microsoft Defender	Wyzwala wyzwalane po utworzeniu alertu Microsoft Defender lub sentinel po ocenie reguły automatyzacji lub ręcznym wyzwalaczu z portalu Defender, zapewniając znormalizowane dane alertu do podrzędnych przepływów pracy.
Microsoft Defender przypadku SOC	Wyzwala wyzwalane po utworzeniu lub zaktualizowaniu przypadku Microsoft Defender lub sentinel, zapewniając znormalizowane dane przypadku do podrzędnych przepływów pracy. Konkretny typ przypadku (ogólny lub incydent) jest wskazywany przez dyskryminującą "@odata.type".

alert SOC Microsoft Defender

Identyfikator operacji:: WhenDefenderOrSentinelAlertCreated

Wyzwala wyzwalane po utworzeniu alertu Microsoft Defender lub sentinel po ocenie reguły automatyzacji lub ręcznym wyzwalaczu z portalu Defender, zapewniając znormalizowane dane alertu do podrzędnych przepływów pracy.

Zwraca

Microsoft Graph ładunku alertu zabezpieczeń (microsoft.graph.security.alert).

Body: GraphSecurityAlert

Microsoft Defender przypadku SOC

Identyfikator operacji:: WhenDefenderCaseCreatedOrUpdated

Wyzwala wyzwalane po utworzeniu lub zaktualizowaniu przypadku Microsoft Defender lub sentinel, zapewniając znormalizowane dane przypadku do podrzędnych przepływów pracy. Konkretny typ przypadku (ogólny lub incydent) jest wskazywany przez dyskryminującą "@odata.type".

Zwraca

Microsoft Graph ładunek (microsoft.graph.security.caseManagement.case). Konkretny typ przypadku jest wskazywany przez dyskryminator "@odata.type": genericCase lub incidentCase. Właściwości specyficzne dla podtypu są wypełniane tylko dla pasującego typu przypadku.

Body: GraphSecurityCase

Definicje

GraphSecurityAlert

Microsoft Graph ładunku alertu zabezpieczeń (microsoft.graph.security.alert).

Nazwa	Ścieżka	Typ	Opis
id	id	string	Unikatowy identyfikator reprezentujący zasób alertu.
providerAlertId	providerAlertId	string	Identyfikator alertu wyświetlany w produkcie dostawcy zabezpieczeń, który wygenerował alert.
incidentId	incidentId	string	Unikatowy identyfikator reprezentujący incydent, z który jest skojarzony ten zasób alertu.
tenantId	tenantId	string	Dzierżawa Microsoft Entra, w której został utworzony alert.
tytuł	title	string	Krótka wartość identyfikująca ciąg opisujący alert.
description	description	string	Wartość ciągu opisująca każdy alert.
severity	severity	string	Wskazuje możliwy wpływ na zasoby. Możliwe wartości to: unknown, informational, low, medium, high, unknownFutureValue.
stan	status	string	Stan alertu. Możliwe wartości to: unknown, new, inProgress, resolved, unknownFutureValue.
classification	classification	string	Określa, czy alert reprezentuje prawdziwe zagrożenie. Możliwe wartości to: unknown, falsePositive, truePositive, informationalExpectedActivity, unknownFutureValue.
Oznaczanie	determination	string	Określa wynik badania. Możliwe wartości to: unknown, apt, malware, securityPersonnel, securityTesting, unwantedSoftware, other, multiStagedAttack, compromisedAccount, phishing, maliciousUserActivity, notMalicious, notEnoughDataToValidate, confirmedUserActivity, lineOfBusinessApplication, unknownFutureValue.
serviceSource	serviceSource	string	Usługa lub produkt, który utworzył ten alert. Możliwe wartości to: unknown, microsoftDefenderForEndpoint, microsoftDefenderForIdentity, microsoftDefenderForCloudApps, microsoftDefenderForOffice365, microsoft365Defender, azureAdIdentityProtection, microsoftAppGovernance, dataLossPrevention, microsoftDefenderForCloud, microsoftSentinel, microsoftInsiderRiskManagement, microsoftDefenderForIoT, microsoftDefenderForServers, microsoftDefenderForStorage, microsoftDefenderForDNS, microsoftDefenderForDatabases, microsoftDefenderForContainers, microsoftDefenderForNetwork, microsoftDefenderForAppService, microsoftDefenderForKeyVault, microsoftDefenderForResourceManager, microsoftDefenderForApiManagement, aadIdentityProtection, appGovernance, microsoftPurviewDataLossPrevention, unknownFutureValue.
detectionSource	detectionSource	string	Technologia wykrywania lub czujnik, który zidentyfikował godny uwagi składnik lub działanie. Możliwe wartości to: unknown, microsoftDefenderForEndpoint, oprogramowanie antywirusowe, smartScreen, customTi, microsoftDefenderForOffice365, automatedInvestigation, microsoftThreatExperts, customDetection, microsoftDefenderForIdentity, cloudAppSecurity, microsoft365Defender, azureAdIdentityProtection, manual, microsoftDataLossPrevention, appGovernancePolicy, appGovernanceDetection, microsoftDefenderForCloud, microsoftDefenderForIoT, microsoftDefenderForServers, microsoftDefenderForStorage, microsoftDefenderForDNS, microsoftDefenderForDatabases, microsoftDefenderForContainers, microsoftDefenderForNetwork, microsoftDefenderForAppService, microsoftDefenderForKeyVault, microsoftDefenderForResourceManager, microsoftDefenderForApiManagement, microsoftSentinel, nrtAlerts, scheduledAlerts, microsoftDefenderThreatIntelligenceAnalytics, builtInMl, microsoftInsiderRiskManagement, unknownFutureValue.
productName	productName	string	Nazwa produktu, w ramach którego opublikowano ten alert.
detectorId	detectorId	string	Identyfikator detektora, który wyzwolił alert.
recommendedActions	recommendedActions	string	Zalecana odpowiedź i akcje korygowania, które mają być podejmowane w przypadku wygenerowania tego alertu.
kategoria	category	string	(Przestarzałe) Kategoria łańcucha ataków, do którego należy alert. Zamiast tego użyj kategorii.
categories	categories	array of string	Kategorie łańcuchów ataków, do których należy alert (wyrównana jest MITRE ATT&CK).
Assignedto	assignedTo	string	Właściciel alertu lub wartość null, jeśli nie przypisano żadnego właściciela.
alertWebUrl	alertWebUrl	string	Adres URL strony alertu portalu Microsoft 365 Defender.
incidentWebUrl	incidentWebUrl	string	Adres URL strony zdarzenia w portalu Microsoft 365 Defender.
actorDisplayName	actorDisplayName	string	Przeciwnik lub grupa działań skojarzona z tym alertem.
threatDisplayName	threatDisplayName	string	Zagrożenie skojarzone z tym alertem.
threatFamilyName	threatFamilyName	string	Rodzina zagrożeń skojarzona z tym alertem.
mitreTechniques	mitreTechniques	array of string	Techniki ataków dostosowane do struktury MITRE ATT&CK.
czasUtworzenia	createdDateTime	date-time	Godzina utworzenia alertu przez Microsoft 365 Defender.
lastUpdateDateTime	lastUpdateDateTime	date-time	Godzina ostatniej aktualizacji alertu w Microsoft 365 Defender.
data i czas rozwiązania	resolvedDateTime	date-time	Czas rozwiązania alertu.
firstActivityDateTime	firstActivityDateTime	date-time	Najwcześniejsze działanie skojarzone z alertem.
lastActivityDateTime	lastActivityDateTime	date-time	Najstarsze działanie skojarzone z alertem.
comments	comments	array of GraphAlertComment	Tablica komentarzy utworzonych przez zespół SecOps podczas procesu zarządzania alertami.
customDetails	customDetails	GraphDictionary	Worek klucz/wartość dla pól dynamicznych (słownik zabezpieczeń programu Graph, używany również w przypadku pól niestandardowych zdefiniowanych przez dzierżawę, które są kluczem według identyfikatora).
dowód	evidence	array of GraphAlertEvidence	Zbieranie dowodów związanych z alertem.
systemTagi	systemTags	array of string	Tagi systemowe skojarzone z alertem.
alertPolicyId	alertPolicyId	string	Identyfikator zasad, które wygenerowały alert, i wypełniony, gdy istnieją określone zasady, które wygenerowały alert (skonfigurowany przez klienta lub wbudowany).
additionalData (dane dodatkowe)	additionalData	GraphDictionary	Worek klucz/wartość dla pól dynamicznych (słownik zabezpieczeń programu Graph, używany również w przypadku pól niestandardowych zdefiniowanych przez dzierżawę, które są kluczem według identyfikatora).
investigationState	investigationState	string	Informacje na temat bieżącego stanu badania. Możliwe wartości to: unknown, terminated, successfullyRemediated, benigned, failed, partiallyRemediated, running, pendingApproval, pendingResource, queued, innerFailure, preexistingAlert, unsupportedOs, unsupportedOs, unsupportedAlertType, suppressedAlert, partiallyInvestigated, terminatedByUser, terminatedBySystem, unknownFutureValue.

GraphDictionary

Worek klucz/wartość dla pól dynamicznych (słownik zabezpieczeń programu Graph, używany również w przypadku pól niestandardowych zdefiniowanych przez dzierżawę, które są kluczem według identyfikatora).

Nazwa	Ścieżka	Typ	Opis
		object	Worek klucz/wartość dla pól dynamicznych (słownik zabezpieczeń programu Graph, używany również w przypadku pól niestandardowych zdefiniowanych przez dzierżawę, które są kluczem według identyfikatora).

GraphAlertComment

Komentarz utworzony przez zespół SecOps podczas procesu zarządzania alertami.

Nazwa	Ścieżka	Typ	Opis
komentarz	comment	string	Tekst komentarza.
createdByDisplayName	createdByDisplayName	string	Nazwa wyświetlana użytkownika, który utworzył komentarz.
czasUtworzenia	createdDateTime	date-time	Godzina utworzenia komentarza.

GraphAlertEvidence

Element dowodu skojarzony z alertem. Konkretny typ dowodu jest wskazywany przez dyskryminujące "@odata.type" (np. #microsoft.graph.security.deviceEvidence, #microsoft.graph.security.userEvidence itp.).

Nazwa	Ścieżka	Typ	Opis
@odata.type	@odata.type	string	Konkretny typ dowodów dyskryminuje (np. "#microsoft.graph.security.deviceEvidence").
czasUtworzenia	createdDateTime	date-time	Czas utworzenia i dodania dowodów do alertu.
werdykt	verdict	string	Decyzja podjęta przez zautomatyzowane badanie. Możliwe wartości to: nieznany, podejrzany, złośliwy, noThreatsFound, unknownFutureValue.
remediationStatus	remediationStatus	string	Stan podjętej akcji korygowania. Możliwe wartości to: none, remediated, prevented, blocked, notFound, active, pendingApproval, declined, notRemediated, running, partiallyRemediated, unknownFutureValue.
remediationStatusDetails	remediationStatusDetails	string	Szczegółowe informacje o stanie korygowania.
roles	roles	array of string	Role, które dowody odgrywają w alercie. Możliwe wartości elementów obejmują: nieznany, kontekstowy, zeskanowany, źródłowy, docelowy, utworzony, dodany, naruszony, edytowany, zaatakowany, atakujący, załadowany, podejrzany, policyViolator, unknownFutureValue.
detailedRoles	detailedRoles	array of string	Szczegółowe role odgrywane przez dowody w alercie.
tags	tags	array of string	Tagi skojarzone z dowodami.

GraphSecurityCase

Nazwa	Ścieżka	Typ	Opis
@odata.type	@odata.type	string	Dyskryminujący typ konkretnego przypadku (np. "#microsoft.graph.security.caseManagement.incidentCase".
id	id	string	Unikatowy identyfikator przypadku.
displayName	displayName	string	Tytuł sprawy.
stan	status	string	Bieżący stan cyklu życia sprawy.
czasUtworzenia	createdDateTime	date-time	Godzina utworzenia sprawy.
utworzone przez	createdBy	string	Tożsamość, która utworzyła przypadek.
Data i godzina ostatniej modyfikacji	lastModifiedDateTime	date-time	Czas ostatniej modyfikacji przypadku.
Ostatnio zmodyfikowane przez	lastModifiedBy	string	Tożsamość, która ostatnio zmodyfikowała przypadek.
pola niestandardowe	customFields	GraphDictionary	Worek klucz/wartość dla pól dynamicznych (słownik zabezpieczeń programu Graph, używany również w przypadku pól niestandardowych zdefiniowanych przez dzierżawę, które są kluczem według identyfikatora).
description	description	string	Opis przypadku (genericCase).
Assignedto	assignedTo	string	Właściciel sprawy.
priorytet	priority	string	Klasyfikacja priorytetu sprawy (genericCase).
dueDateTime	dueDateTime	date-time	Docelowa data ukończenia.
zamykanie programuNotes	closingNotes	string	Notatki zarejestrowane po zamknięciu (genericCase).
emailNotificationRecipients	emailNotificationRecipients	array of string	Adresaci powiadomień e-mail (incidentCase).
incidentId	incidentId	integer	rozwiązania zabezpieczające firmy Microsoft identyfikator zdarzenia (incidentCase).
classification	classification	string	Klasyfikacja zdarzeń (incidentCase).
Oznaczanie	determination	string	Określanie zdarzenia (incidentCase).
severity	severity	string	Ważność zdarzenia (incidentCase).
podsumowanie	summary	string	Podsumowanie zdarzenia (zdarzenie).
priorityScore	priorityScore	integer	Ocena priorytetu zdarzenia (incidentCase).
firstEventTime	firstEventTime	date-time	Sygnatura czasowa pierwszego zdarzenia (incidentCase).
lastEventTime	lastEventTime	date-time	Znacznik czasu ostatniego zdarzenia (incidentCase).
alertCounts	alertCounts	CaseAlertCounts	Zagregowane liczby alertów dla przypadku zdarzenia.
zasoby, których to dotyczy	impactedAssets	CaseImpactedAssetsCounts	Zagregowane liczby zasobów, których dotyczy zdarzenie.
badanie	investigation	CaseInvestigation	Podsumowanie badania dotyczącego przypadku zdarzenia.
topRiskScore	topRiskScore	integer	Najwyższy wskaźnik ryzyka (incidentCase).
detectionSources	detectionSources	array of string	Źródła wykrywania (incidentCase).
serviceSources	serviceSources	array of string	Źródła usług (incidentCase).
productNames	productNames	array of string	Nazwy produktów (incidentCase).
categories	categories	array of string	Kategorie zdarzeń (incidentCase).
workspaceIds	workspaceIds	array of string	Identyfikatory obszaru roboczego (incidentCase).
policyNames	policyNames	array of string	Nazwy zasad (incidentCase).
alertPolicyIds	alertPolicyIds	array of string	Identyfikatory zasad alertów (incidentCase).
dataSensitivityLabels	dataSensitivityLabels	array of string	Etykiety poufności danych (incidentCase).
cloudScopes	cloudScopes	array of string	Zakresy chmury (incidentCase).
dataStreams	dataStreams	array of string	Strumienie danych (incidentCase).
aiAgentIds	aiAgentIds	array of string	Identyfikatory agenta sztucznej inteligencji (incidentCase).
redirectIncidentId	redirectIncidentId	integer	Identyfikator zdarzenia przekierowania podczas scalania (incidentCase).
redirectCaseId	redirectCaseId	integer	Identyfikator przypadku przekierowania podczas scalania (incidentCase).
identyfikatory badania	investigationIds	array of string	Identyfikatory badania (incidentCase).
investigationStates	investigationStates	array of string	Stany badania (incidentCase).
associatedThreatIds	associatedThreatIds	array of string	Skojarzone identyfikatory zagrożeń (incidentCase).
osPlatforms	osPlatforms	array of string	Platformy systemu operacyjnego (incidentCase).
machineGroupIds	machineGroupIds	array of string	Identyfikatory grup maszyn (incidentCase).
incidentWebUrl	incidentWebUrl	string	Adres URL sieci Web zdarzenia (incidentCase).
systemTagi	systemTags	array of string	Tagi systemowe (incidentCase).
relations	relations	array of CaseRelation	Kolekcja powiązanych zasobów połączonych z przypadkiem.
tasks	tasks	array of CaseTask	Kolekcja zadań zawartych w tym przypadku.
activities	activities	array of CaseActivity	Kolekcja działań osi czasu (komentarze i dzienniki inspekcji) zawartych w tym przypadku.
attachments	attachments	array of CaseAttachment	Kolekcja załączników zawartych w tym przypadku.

CaseActivity

Działanie osi czasu sprawy. Konkretny typ działania jest wskazywany przez dyskryminatora "@odata.type": komentarz (dowolny tekst utworzony przez użytkownika z komunikatem) lub auditLog (zmiana stanu wygenerowana przez system).

Nazwa	Ścieżka	Typ	Opis
@odata.type	@odata.type	string	Dyskryminujący konkretny typ działania (np. "#microsoft.graph.security.caseManagement.comment").
id	id	string	Unikatowy identyfikator działania.
czasUtworzenia	createdDateTime	date-time	Godzina utworzenia działania.
utworzone przez	createdBy	string	Tożsamość, która utworzyła działanie.
Data i godzina ostatniej modyfikacji	lastModifiedDateTime	date-time	Czas ostatniej modyfikacji działania.
Ostatnio zmodyfikowane przez	lastModifiedBy	string	Tożsamość, która ostatnio zmodyfikowała działanie.
komunikat	message	string	Treść komentarza (tylko działania komentarzy).
akcja	action	string	Typ wykonanej akcji (tylko działania auditLog).
details	details	CaseActivityResourceDetails	Szczegóły zasobu docelowego dla działania inspekcji.
modifiedProperties	modifiedProperties	array of CaseModifiedProperty	Kolekcja różnic właściwości (tylko działania auditLog).

CaseActivityResourceDetails

Szczegóły zasobu docelowego dla działania inspekcji.

Nazwa	Ścieżka	Typ	Opis
resourceId	resourceId	string	Identyfikator zasobu docelowego.
rodzaj	kind	string	Rodzaj zasobu (np. zadanie, relacja).

CaseModifiedProperty

Delta wartości zarejestrowana w dzienniku inspekcji.

Nazwa	Ścieżka	Typ	Opis
propertyName	propertyName	string	Zmieniono nazwę właściwości.
oldValue	oldValue	CaseValueProperty	Otoka wartości właściwości wpisanej. Konkretny typ wartości jest wskazywany przez dyskryminator "@odata.type" (stringValueProperty lub booleanValueProperty).
newValue	newValue	CaseValueProperty	Otoka wartości właściwości wpisanej. Konkretny typ wartości jest wskazywany przez dyskryminator "@odata.type" (stringValueProperty lub booleanValueProperty).

CaseValueProperty

Otoka wartości właściwości wpisanej. Konkretny typ wartości jest wskazywany przez dyskryminator "@odata.type" (stringValueProperty lub booleanValueProperty).

Nazwa	Ścieżka	Typ	Opis
@odata.type	@odata.type	string	Dyskryminujący typ konkretnych wartości.
wartość	value	string	Opakowana wartość, serializowana jako tekst.

CaseRelation

Link z przypadku do zasobu zewnętrznego. Konkretny typ relacji jest wskazywany przez dyskryminator "@odata.type": incidentRelation, recommendationRelation lub workspaceIndicatorRelation.

Nazwa	Ścieżka	Typ	Opis
@odata.type	@odata.type	string	Dyskryminator konkretnego typu relacji.
id	id	string	Unikatowy identyfikator relacji.
czasUtworzenia	createdDateTime	date-time	Godzina utworzenia relacji.
utworzone przez	createdBy	string	Tożsamość, która utworzyła relację.
relatedResourceId (identyfikator zasobu)	relatedResourceId	string	Identyfikator zasobu zewnętrznego.
Typ rekomendacji	recommendationType	string	Typ rekomendacji (tylko rekomendacjaRelacja).
subscriptionId	subscriptionId	string	Identyfikator subskrypcji (recommendationRelation i workspaceIndicatorRelation).
resourceGroupName	resourceGroupName	string	Nazwa grupy zasobów (recommendationRelation i workspaceIndicatorRelation).
nazwa_obszaru roboczego	workspaceName	string	Nazwa obszaru roboczego (tylko workspaceIndicatorRelation).

CaseTask

Jednostka pracy z możliwością działania w danym przypadku.

Nazwa	Ścieżka	Typ	Opis
id	id	string	Unikatowy identyfikator zadania.
czasUtworzenia	createdDateTime	date-time	Godzina utworzenia zadania.
utworzone przez	createdBy	string	Tożsamość, która utworzyła zadanie.
Data i godzina ostatniej modyfikacji	lastModifiedDateTime	date-time	Czas ostatniej modyfikacji zadania.
Ostatnio zmodyfikowane przez	lastModifiedBy	string	Tożsamość, która ostatnio zmodyfikowała zadanie.
displayName	displayName	string	Tytuł zadania.
stan	status	string	Bieżący stan zadania.
description	description	string	Opis zadania.
Assignedto	assignedTo	string	Właściciel zadania.
zamykanie programuNotes	closingNotes	string	Notatki zarejestrowane po zakończeniu.
dueDateTime	dueDateTime	date-time	Docelowa data ukończenia.
priorytet	priority	string	Klasyfikacja priorytetu zadania.
kategoria	category	string	Kategoria funkcjonalna zadania.

CaseAttachment

Metadane elementu dowodów binarnych przechowywane w ramach sprawy. Zawartość binarna jest pobierana oddzielnie za pośrednictwem strumienia zawartości załącznika.

Nazwa	Ścieżka	Typ	Opis
id	id	string	Unikatowy identyfikator załącznika.
czasUtworzenia	createdDateTime	date-time	Godzina utworzenia załącznika.
utworzone przez	createdBy	string	Tożsamość, która utworzyła załącznik.
displayName	displayName	string	Tytuł załącznika.
description	description	string	Opis załącznika.
rozmiar pliku	fileSize	integer	Rozmiar w bajtach.
fileExtension	fileExtension	string	Formatem.
scanResult	scanResult	string	Wynik skanowania złośliwego oprogramowania.
źródło	origin	CaseAttachmentOrigin	Odwołanie do źródła załącznika.

CaseAttachmentOrigin

Odwołanie do źródła załącznika.

Nazwa	Ścieżka	Typ	Opis
resourceId	resourceId	string	Identyfikator zasobu pochodzenia.
resourceType	resourceType	string	Rodzaj zasobu źródła.

CaseAlertCounts

Zagregowane liczby alertów dla przypadku zdarzenia.

Nazwa	Ścieżka	Typ	Opis
łączny	total	integer	Łączna liczba alertów.
active	active	integer	Liczba aktywnych alertów.
bySeverity	bySeverity	CaseIncidentSeverityCounts	Liczba alertów pogrupowanych według ważności zdarzenia.
byStatus	byStatus	CaseAlertStatusCounts	Liczba alertów pogrupowanych według stanu.

CaseIncidentSeverityCounts

Liczba alertów pogrupowanych według ważności zdarzenia.

Nazwa	Ścieżka	Typ	Opis
nieznany	unknown	integer	Alerty o nieznanej ważności.
Informacyjny	informational	integer	Alerty o ważności informacyjnej.
Niski	low	integer	Alerty o niskiej ważności.
nośnik	medium	integer	Alerty o średniej ważności.
wysoki	high	integer	Alerty o wysokiej ważności.

CaseAlertStatusCounts

Liczba alertów pogrupowanych według stanu.

Nazwa	Ścieżka	Typ	Opis
nowy	new	integer	Alerty w nowym stanie.
inProgress	inProgress	integer	Alerty w toku.
Rozwiązane	resolved	integer	Alerty w stanie rozpoznano.

CaseImpactedAssetsCounts

Zagregowane liczby zasobów, których dotyczy zdarzenie.

Nazwa	Ścieżka	Typ	Opis
machines	machines	integer	Liczba maszyn.
users	users	integer	Liczba użytkowników.
Skrzynek pocztowych	mailboxes	integer	Liczba skrzynek pocztowych.
apps	apps	integer	Liczba aplikacji.
cloudResources	cloudResources	integer	Liczba zasobów w chmurze.
aiAgents	aiAgents	integer	Liczba agentów sztucznej inteligencji.
Ips	ips	integer	Liczba adresów IP.
adresy URL	urls	integer	Liczba adresów URL.
files	files	integer	Liczba plików.
processes	processes	integer	Liczba procesów.
registryKeys	registryKeys	integer	Liczba kluczy rejestru.
grupy zabezpieczeń	securityGroups	integer	Liczba grup zabezpieczeń.
oauthApps	oauthApps	integer	Liczba aplikacji OAuth.
łączny	total	integer	Łączna liczba zasobów, których dotyczy ten wpływ.

CaseInvestigation

Podsumowanie badania dotyczącego przypadku zdarzenia.

Nazwa	Ścieżka	Typ	Opis
ids	ids	array of string	Identyfikatory badania.
count	count	integer	Liczba badań.
stan	state	string	Stan badania.