New-ProtectionAlert

Sintaxe

Default (Default)

New-ProtectionAlert
    -Category <AlertRuleCategory>
    -Name <String>
    -NotifyUser <MultiValuedProperty>
    -ThreatType <ThreatAlertType>
    [-AggregationType <AlertAggregationType>]
    [-AlertBy <MultiValuedProperty>]
    [-AlertFor <MultiValuedProperty>]
    [-Comment <String>]
    [-Confirm]
    [-CorrelationPolicyId <System.Guid>]
    [-Description <String>]
    [-Disabled <Boolean>]
    [-Filter <String>]
    [-LogicalOperationName <String>]
    [-NotificationCulture <CultureInfo>]
    [-NotificationEnabled <Boolean>]
    [-NotifyUserOnFilterMatch <Boolean>]
    [-NotifyUserSuppressionExpiryDate <DateTime>]
    [-NotifyUserThrottleThreshold <Int32>]
    [-NotifyUserThrottleWindow <Int32>]
    [-Operation <MultiValuedProperty>]
    [-PrivacyManagementScopedSensitiveInformationTypes <MultiValuedProperty>]
    [-PrivacyManagementScopedSensitiveInformationTypesForCounting <MultiValuedProperty>]
    [-PrivacyManagementScopedSensitiveInformationTypesThreshold <System.UInt64>]
    [-CustomProperties <PswsHashtable>]
    [-Severity <RuleSeverity>]
    [-Threshold <Int32>]
    [-TimeWindow <Int32>]
    [-UseCreatedDateTime <System.Boolean>]
    [-VolumeThreshold <System.UInt64>]
    [-WhatIf]
    [<CommonParameters>]

Description

Exemplos

Exemplo 1

New-ProtectionAlert -Name "Content search deleted" -Category Others -NotifyUser admin@contoso.com -ThreatType Activity -Operation SearchRemoved -Description "Custom alert policy to track when content searches are deleted" -AggregationType None

Parâmetros

-AggregationType

Aplicável: Segurança & Conformidade

O parâmetro AggregationType especifica como a política de alerta dispara alertas para várias ocorrências de atividade monitorada. Os valores válidos são:

• Nenhum: os alertas são disparados para cada ocorrência da atividade.
• SimpleAggregation: os alertas são disparados com base no volume de atividade em uma determinada janela de tempo (os valores dos parâmetros Threshold e TimeWindow). Esse valor é o padrão.
• AnomalousAggregation: os alertas são disparados quando o volume de atividade atinge níveis incomuns (excede em muito a linha de base normal estabelecida para a atividade). Pode levar até sete dias para que o Microsoft 365 estabeleça a linha de base. Durante o período de cálculo da linha de base, nosso sistema não gera nenhum alerta para a atividade.

Propriedades do parâmetro

Conjuntos de parâmetros

-AlertBy

Aplicável: Segurança & Conformidade

O parâmetro AlertBy especifica o escopo das políticas de alerta agregadas. Os valores válidos são determinados pelo valor do parâmetro ThreatType:

• Activity: os valores válidos são User ou $null (em branco, que é o valor padrão). Se você não usa o valor User, o escopo da política de alerta consiste na organização inteira.
• Malware: os valores válidos são Mail.Recipient ou Mail.ThreatName.

Não é possível usar este parâmetro, quando o valor do parâmetro AggregationType for None (os alertas são disparados para todas as ocorrências da atividade).

Observação: esse parâmetro é necessário para mostrar entidades em alertas. Sem ele, os alertas são disparados sem mostrar entidades. É altamente recomendável especificar um valor para esse parâmetro.

Propriedades do parâmetro

Conjuntos de parâmetros

-AlertFor

Aplicável: Segurança & Conformidade

Esse parâmetro está reservado para uso interno da Microsoft.

Propriedades do parâmetro

Conjuntos de parâmetros

-Category

Aplicável: Segurança & Conformidade

O parâmetro Category especifica uma categoria para a política de alerta. Os valores válidos são:

• AccessGovernance
• Gerenciador de Conformidade
• DataGovernance
• MailFlow
• Outros
• Gerenciamento de Privacidade
• Supervisão
• ThreatManagement

Quando ocorre uma atividade que atenda às condições da política de alerta, o alerta gerado é marcado com a categoria especificada por esse parâmetro. Isso permite controlar e gerenciar alertas que apresentam a mesma configuração de categoria

Propriedades do parâmetro

Conjuntos de parâmetros

-Comment

Aplicável: Segurança & Conformidade

O parâmetro Comment especifica um comentário opcional. Se você especificar um valor que contenha espaços, coloque-o entre aspas ("), por exemplo: “Está é uma observação de administrador”.

Propriedades do parâmetro

Conjuntos de parâmetros

-Confirm

Aplicável: Segurança & Conformidade

A opção Confirm especifica se a solicitação de confirmação deve ser mostrada ou ocultada. A forma como essa opção afeta o cmdlet depende se o cmdlet requer confirmação antes de continuar.

• Cmdlets destrutivos (por exemplo, Remover- cmdlets) têm uma pausa interna que força você a confirmar o comando antes de continuar. Para estes cmdlets, você pode pular o pedido de confirmação usando esta sintaxe exata: -Confirm:$false.
• A maioria dos outros cmdlets (por exemplo, New- e Set-) não tem uma pausa interna. Para esses cmdlets, especificar a opção Confirm sem um valor introduz uma pausa que força você a reconhecer o comando antes de continuar.

Propriedades do parâmetro

Conjuntos de parâmetros

-CorrelationPolicyId

Aplicável: Segurança & Conformidade

{{ Preencher CorrelationPolicyId Description }}

Propriedades do parâmetro

Conjuntos de parâmetros

-CustomProperties

Aplicável: Segurança & Conformidade

{{ Preencher CustomProperties Description }}

Propriedades do parâmetro

Conjuntos de parâmetros

-Description

Aplicável: Segurança & Conformidade

O parâmetro Description especifica um texto descritivo para a política de alerta. Se o valor contiver espaços, coloque-o entre aspas (").

Propriedades do parâmetro

Conjuntos de parâmetros

-Disabled

Aplicável: Segurança & Conformidade

O parâmetro Disabled habilita ou desabilita a política de alerta. Os valores válidos são:

• $true: a política de alerta está desabilitada.
• $false: a política de alerta está habilitada. Esse valor é o padrão.

Propriedades do parâmetro

Conjuntos de parâmetros

-Filter

Aplicável: Segurança & Conformidade

O parâmetro Filter usa a sintaxe OPATH para filtrar os resultados pelas propriedades e valores especificados. O critério de pesquisa usa a sintaxe "Property -ComparisonOperator 'Value'".

• Coloque todo o filtro OPATH entre aspas duplas " ". Se o filtro contiver valores do sistema (por exemplo, $true, $false, ou $null), use aspas simples " '. Embora esse parâmetro seja uma cadeia de caracteres (não um bloco do sistema), você também poderá usar chaves { }, mas somente se o filtro não contiver variáveis.
• A propriedade é uma propriedade filtrável.
• ComparisonOperator é um operador de comparação OPATH (por exemplo, -eq para igual e -like para comparação de cadeia de caracteres). Para obter mais informações sobre operadores de comparação, consulte about_Comparison_Operators.
• Valor é o valor da propriedade a ser pesquisado. Coloque os valores de texto e variáveis entre aspas simples ('Value' ou '$Variable'). Se um valor de variável contiver aspas simples, você precisará identificar (escapar) as aspas simples para expandir a variável corretamente. Por exemplo, em vez de '$User', use '$($User -Replace "'","''")'. Não coloque números inteiros ou valores do sistema entre aspas (por exemplo, use 500, $true, $false, ou $null em vez disso).

Você pode encadear vários critérios de pesquisa usando o operador lógico -and (por exemplo, "Criteria1 -and Criteria2").

Para obter informações detalhadas sobre filtros OPATH no Exchange, consulte Informações adicionais de sintaxe OPATH.

As propriedades filtráveis são:

Atividade

• Activity.ClientIp
• Activity.CreationTime
• Activity.Item
• Activity.ItemType
• Activity.Operation
• Activity.ResultStatus
• Activity.Scope
• Activity.SiteUrl
• Activity.SourceFileExtension
• Activity.SourceFileName
• Activity.TargetUserOrGroupType
• Activity.UserAgent
• Activity.UserId
• Activity.UserType
• Activity.Workload

Malware

• Mail:AttachmentExtensions
• Mail:AttachmentNames
• Email:CreationTime
• Mail:DeliveryStatus
• Email:Direção
• Email:De
• Email:FromDomain
• Mail:InternetMessageId
• Mail:IsIntraOrgSpoof
• Mail:IsMalware
• Mail:IsSpam
• Mail:IsThreat
• Email:Idioma
• Email:Destinatário
• Mail:Scl
• Mail:SenderCountry
• Mail:SenderIpAddress
• Mail:Subject
• Mail:TenantId
• Mail:ThreatName

Propriedades do parâmetro

Conjuntos de parâmetros

-LogicalOperationName

Aplicável: Segurança & Conformidade

{{ Preenche LogicalOperationName Description }}

Propriedades do parâmetro

Conjuntos de parâmetros

-Name

Aplicável: Segurança & Conformidade

O parâmetro Name especifica o nome exclusivo da política de alerta. Se o valor contiver espaços, coloque-o entre aspas (").

Propriedades do parâmetro

Conjuntos de parâmetros

-NotificationCulture

Aplicável: Segurança & Conformidade

O parâmetro NotificationCulture especifica o idioma ou local usado para notificações.

A entrada válida para esse parâmetro é um valor de código de cultura com suporte da classe CultureInfo do Microsoft .NET Framework. Por exemplo, da-DK para dinamarquês ou ja-JP para japonês. Para obter mais informações, consulte Classe CultureInfo.

Propriedades do parâmetro

Conjuntos de parâmetros

-NotificationEnabled

Aplicável: Segurança & Conformidade

{{ Preencher NotificationEnabled Description }}

Propriedades do parâmetro

Conjuntos de parâmetros

-NotifyUser

Aplicável: Segurança & Conformidade

O parâmetro NotifyUser especifica o endereço SMTP do usuário que recebe mensagens de notificação da política de alerta. Vários valores, separados por vírgulas, podem ser especificados.

Propriedades do parâmetro

Conjuntos de parâmetros

-NotifyUserOnFilterMatch

Aplicável: Segurança & Conformidade

O parâmetro NotifyUserOnFilterMatch especifica se um alerta deve ser disparado para um único evento quando a política de alerta é configurada para atividade agregada. Os valores válidos são:

• $true: Embora o alerta esteja configurado para atividades agregadas, uma notificação é acionada durante uma correspondência para a atividade (basicamente, um aviso prévio).
• $false: Os alertas são disparados de acordo com o tipo de agregação especificado. Esse valor é o padrão.

Não é possível usar este parâmetro, quando o valor do parâmetro AggregationType for None (os alertas são disparados para todas as ocorrências da atividade).

Propriedades do parâmetro

Conjuntos de parâmetros

-NotifyUserSuppressionExpiryDate

Aplicável: Segurança & Conformidade

O parâmetro NotifyUserSuppressionExpiryDate especifica se é necessário suspender temporariamente as notificações da política de alerta. O sistema não envia nenhuma notificação de atividades detectadas, até a Data/Hora especificada.

Use o formato de data curto definido nas configurações de opções regionais no computador no qual você está executando o comando. Por exemplo, se o computador estiver configurado para usar o formato de data abreviada MM/dd/aaaa, insira 01/09/2018 para especificar 1º de setembro de 2018. Pode inserir apenas a data ou pode inserir a data e a hora do dia. Se você inserir a data e a hora do dia, coloque o valor entre aspas ("), por exemplo, "01/09/2018 17:00".

Propriedades do parâmetro

Conjuntos de parâmetros

-NotifyUserThrottleThreshold

Aplicável: Segurança & Conformidade

O parâmetro NotifyUserThrottleThreshold especifica o número máximo de notificações da política de alerta, dentro do período de tempo especificado pelo parâmetro NotifyUserThrottleWindow. Quando o número máximo de notificações for atingido no período de tempo, não serão mais enviadas notificações para o alerta. Os valores válidos são:

• O parâmetro SyncSchedule especifica ???. Os valores válidos para este parâmetro são:
• O valor $null. Esse valor é o padrão (nenhum número máximo de notificações para um alerta).

Propriedades do parâmetro

Conjuntos de parâmetros

-NotifyUserThrottleWindow

Aplicável: Segurança & Conformidade

O parâmetro NotifyUserThrottleWindow especifica o intervalo de tempo em minutos usado pelo parâmetro NotifyUserThrottleThreshold. Os valores válidos são:

• O parâmetro SyncSchedule especifica ???. Os valores válidos para este parâmetro são:
• O valor $null. Esse valor é o padrão (nenhum intervalo para limitação de notificação).

Propriedades do parâmetro

Conjuntos de parâmetros

-Operation

Aplicável: Segurança & Conformidade

O parâmetro Operation especifica as atividades que são monitoradas pela política de alerta. Para obter a lista de atividades disponíveis, consulte a guia Atividades auditadas em Atividades auditadas.

Embora esse parâmetro seja tecnicamente capaz de aceitar vários valores separados por vírgulas, vários valores não funcionam.

Você só poderá usar esse parâmetro quando o parâmetro ThreatType tiver o valor Activity.

Propriedades do parâmetro

Conjuntos de parâmetros

-PrivacyManagementScopedSensitiveInformationTypes

Aplicável: Segurança & Conformidade

{{ Preencher PrivacyManagementScopedSensitiveInformationTypes Descrição }}

Propriedades do parâmetro

Conjuntos de parâmetros

-PrivacyManagementScopedSensitiveInformationTypesForCounting

Aplicável: Segurança & Conformidade

{{ Preencher PrivacyManagementScopedSensitiveInformationTypesForCounting Descrição }}

Propriedades do parâmetro

Conjuntos de parâmetros

-PrivacyManagementScopedSensitiveInformationTypesThreshold

Aplicável: Segurança & Conformidade

{{ Preencher PrivacyManagementScopedSensitiveInformationTypesThreshold Descrição }}

Propriedades do parâmetro

Conjuntos de parâmetros

-Severity

Aplicável: Segurança & Conformidade

O parâmetro Severity especifica a severidade da detecção. Os valores válidos são:

• Baixa (valor padrão)
• Médio
• Alto

Propriedades do parâmetro

Conjuntos de parâmetros

-ThreatType

Aplicável: Segurança & Conformidade

O parâmetro ThreatType especifica o tipo de atividades que são monitoradas pela política de alerta. Os valores válidos são:

• Atividade
• Malware

O valor selecionado para esse parâmetro determina os valores que você pode usar para os parâmetros AlertBy, Filter e Operation.

Você não pode alterar esse valor depois de criar a política de alerta.

Propriedades do parâmetro

Conjuntos de parâmetros

-Threshold

Aplicável: Segurança & Conformidade

O parâmetro Threshold especifica o número de detecções que devem ser excedidas dentro do período de tempo definido pelo parâmetro TimeWindow para disparar a política de alerta. O valor válido é um número inteiro maior do que ou igual a 3.

Você só poderá usar esse parâmetro quando o valor do parâmetro AggregationType for SimpleAggregation.

Propriedades do parâmetro

Conjuntos de parâmetros

-TimeWindow

Aplicável: Segurança & Conformidade

O parâmetro TimeWindow especifica o intervalo de tempo, em minutos, para o número de detecções especificado pelo parâmetro Threshold. O valor válido é um número inteiro maior do que 60 (uma hora).

Você só poderá usar esse parâmetro quando o valor do parâmetro AggregationType for SimpleAggregation.

Propriedades do parâmetro

Conjuntos de parâmetros

-UseCreatedDateTime

Aplicável: Segurança & Conformidade

{{ Preencher UseCreatedDateTime Description }}

Propriedades do parâmetro

Conjuntos de parâmetros

-VolumeThreshold

Aplicável: Segurança & Conformidade

{{ Preencher VolumeThreshold Description }}

Propriedades do parâmetro

Conjuntos de parâmetros

-WhatIf

Aplicável: Segurança & Conformidade

A opção WhatIf não funciona no PowerShell de Segurança e Conformidade.

Propriedades do parâmetro

Conjuntos de parâmetros

CommonParameters