Esquemas de alertas

O Defender para a Cloud fornece alertas que o ajudam a identificar, compreender e responder a ameaças à segurança. Os alertas são gerados quando o Defender para a Cloud deteta atividades suspeitas ou um problema relacionado à segurança em seu ambiente. Você pode visualizar esses alertas no portal do Defender para a Cloud ou exportá-los para ferramentas externas para análise e resposta adicionais.

Você pode exibir esses alertas de segurança nas páginas do Microsoft Defender para a Cloud - painel de visão geral, alertas, páginas de integridade de recursos ou painel de proteções de carga de trabalho - e por meio de ferramentas externas, como:

Microsoft Sentinel - SIEM nativo da nuvem da Microsoft. O Sentinel Connector recebe alertas do Microsoft Defender para a Cloud e envia-os para a área de trabalho do Log Analytics do Microsoft Sentinel.
SIEMs de terceiros - Envie dados para Hubs de Eventos do Azure. Em seguida, integre os dados dos Hubs de Eventos com um SIEM de terceiros. Saiba mais em Transmitir alertas para uma solução SIEM, SOAR ou IT Service Management.
A API REST - Se você estiver usando a API REST para acessar alertas, consulte a documentação da API de alertas online.

Se você estiver usando qualquer método programático para consumir os alertas, precisará do esquema correto para localizar os campos que são relevantes para você. Além disso, se você estiver exportando para um Hubs de Eventos ou tentando acionar a Automação do Fluxo de Trabalho com conectores HTTP genéricos, os esquemas deverão ser utilizados para analisar corretamente os objetos JSON.

Importante

Como o esquema é diferente para cada um desses cenários, certifique-se de selecionar a guia relevante.

Os esquemas

O Sentinel Connector recebe alertas do Microsoft Defender para a Cloud e os envia para o Log Analytics Workspace for Microsoft Sentinel.

Para criar um caso ou incidente do Microsoft Sentinel usando alertas do Defender para a Cloud, você precisa do esquema para esses alertas exibidos.

Saiba mais na documentação do Microsoft Sentinel.

O modelo de dados do esquema

Field	Description
Nome do alerta	Nome de exibição do alerta
Tipo de Alerta	identificador único de alerta
Nível de Confiança	(Opcional) O nível de confiança deste alerta (Alto/Baixo)
ConfidenceScore	(Opcional) Indicador de confiança numérica do alerta de segurança
Description	Texto de descrição do alerta
DisplayName	Nome de exibição do alerta
Tempo de Fim	A hora de fim do efeito do alerta (a hora do último evento que contribui para o alerta)
Entidades	Lista de entidades relacionadas com o alerta. Esta lista pode conter uma mistura de entidades de diversos tipos
ExtendedLinks	(Opcional) Um saco para todos os links relacionados ao alerta. Este saco pode conter uma mistura de links para diversos tipos
ExtendedProperties	Um conjunto de campos adicionais, relevantes para o alerta
IsIncident	Determina se o alerta é um incidente ou um alerta regular. Um incidente é um alerta de segurança que agrega vários alertas em um incidente de segurança
ProcessingEndTime	Marca temporal UTC em que o alerta foi criado
ProductComponentName	(Opcional) O nome de um componente dentro do produto, que gerou o alerta.
ProductName	constante ('Central de Segurança do Azure')
Nome do provedor	unused
Passos de remediação	Itens de ação manual a serem tomados para remediar a ameaça à segurança
ResourceId	Identificador completo do recurso afetado
Severity	A gravidade do alerta (Alta/Média/Baixa/Informativa)
SourceComputerId	um GUID exclusivo para o servidor afetado (se o alerta for gerado no servidor)
SourceSystem	unused
Horário de Início	A hora de início do efeito do alerta (a hora do primeiro evento que contribui para o alerta)
SystemAlertId	Identificador exclusivo desta instância de alerta de segurança
TenantId	o identificador do inquilino principal do Microsoft Entra ID da assinatura sob a qual o recurso analisado reside
HoraGerada	Marca temporal UTC em que a avaliação ocorreu (hora da análise do Centro de Segurança) (idêntico a DiscoveredTimeUTC)
Type	constante ('SecurityAlert')
VendorName	O nome do fornecedor que forneceu o alerta (por exemplo, 'Microsoft')
VendorOriginalId	unused
WorkspaceResourceGroup	caso o alerta seja gerado numa máquina virtual (VM), servidor, conjunto de dimensionamento de máquinas virtuais ou instância do App Service que reporta a um espaço de trabalho, contém o nome do grupo de recursos desse espaço de trabalho
WorkspaceSubscriptionId	caso o alerta seja gerado em uma VM, Servidor, Conjunto de Dimensionamento de Máquina Virtual ou instância do Serviço de Aplicativo que se reporte a um espaço de trabalho, contenha esse subscriptionId do espaço de trabalho

As auditorias do Microsoft Defender para a Cloud geraram alertas de segurança como eventos no Log de Atividades do Azure.

Você pode exibir os eventos de alertas de segurança no Registro de atividades pesquisando o evento Ativar alerta, conforme mostrado:

JSON de exemplo para alertas enviados ao Log de Atividades do Azure

{
    "channels": "Operation",
    "correlationId": "2518250008431989649_e7313e05-edf4-466d-adfd-35974921aeff",
    "description": "PREVIEW - Role binding to the cluster-admin role detected. Kubernetes audit log analysis detected a new binding to the cluster-admin role which gives administrator privileges.\r\nUnnecessary administrator privileges might cause privilege escalation in the cluster.",
    "eventDataId": "2518250008431989649_e7313e05-edf4-466d-adfd-35974921aeff",
    "eventName": {
        "value": "PREVIEW - Role binding to the cluster-admin role detected",
        "localizedValue": "PREVIEW - Role binding to the cluster-admin role detected"
    },
    "category": {
        "value": "Security",
        "localizedValue": "Security"
    },
    "eventTimestamp": "2019-12-25T18:52:36.801035Z",
    "id": "/subscriptions/SUBSCRIPTION_ID/resourceGroups/RESOURCE_GROUP_NAME/providers/Microsoft.Security/locations/centralus/alerts/2518250008431989649_e7313e05-edf4-466d-adfd-35974921aeff/events/2518250008431989649_e7313e05-edf4-466d-adfd-35974921aeff/ticks/637128967568010350",
    "level": "Informational",
    "operationId": "2518250008431989649_e7313e05-edf4-466d-adfd-35974921aeff",
    "operationName": {
        "value": "Microsoft.Security/locations/alerts/activate/action",
        "localizedValue": "Activate Alert"
    },
    "resourceGroupName": "RESOURCE_GROUP_NAME",
    "resourceProviderName": {
        "value": "Microsoft.Security",
        "localizedValue": "Microsoft.Security"
    },
    "resourceType": {
        "value": "Microsoft.Security/locations/alerts",
        "localizedValue": "Microsoft.Security/locations/alerts"
    },
    "resourceId": "/subscriptions/SUBSCRIPTION_ID/resourceGroups/RESOURCE_GROUP_NAME/providers/Microsoft.Security/locations/centralus/alerts/2518250008431989649_e7313e05-edf4-466d-adfd-35974921aeff",
    "status": {
        "value": "Active",
        "localizedValue": "Active"
    },
    "subStatus": {
        "value": "",
        "localizedValue": ""
    },
    "submissionTimestamp": "2019-12-25T19:14:03.5507487Z",
    "subscriptionId": "SUBSCRIPTION_ID",
    "properties": {
        "clusterRoleBindingName": "cluster-admin-binding",
        "subjectName": "for-binding-test",
        "subjectKind": "ServiceAccount",
        "username": "masterclient",
        "actionTaken": "Detected",
        "resourceType": "Kubernetes Service",
        "severity": "Low",
        "intent": "[\"Persistence\"]",
        "compromisedEntity": "ASC-IGNITE-DEMO",
        "remediationSteps": "[\"Review the user in the alert details. If cluster-admin is unnecessary for this user, consider granting lower privileges to the user.\"]",
        "attackedResourceType": "Kubernetes Service"
    },
    "relatedEvents": []
}

O modelo de dados do esquema

Field	Description
canais	Constante, "Operação"
correlationId	A ID de alerta do Microsoft Defender para a Cloud
description	Descrição do alerta
eventDataId	Ver correlationId
nome_do_evento	Os subcampos value e localizedValue contêm o nome para exibição do alerta
category	Os subcampos value e localizedValue são constantes - "Segurança"
eventTimestamp	Marca temporal UTC de quando o alerta foi gerado
id	O ID de alerta totalmente qualificado
nível	Constante, "Informativo"
operationId	Ver correlationId
operationName	O campo de valor é constante - `Microsoft.Security/locations/alerts/activate/action`, e o valor localizado é `Activate Alert` (pode ser potencialmente localizado pela localidade do usuário)
resourceGroupName	Inclui o nome do grupo de recursos
resourceProviderName	Os subcampos value e localizedValue são constantes - "Microsoft.Security"
resourceType	Os subcampos value e localizedValue são constantes - "Microsoft.Security/locations/alerts"
resourceId	O identificador de recurso do Azure completamente qualificado
status	Os subcampos value e localizedValue são constantes - "Ativo"
subStatus	Os subcampos value e localizedValue estão vazios
envioCarimbo de data/hora	A data/hora UTC da submissão do evento ao Registo de Atividades
subscriptionId	O identificador da subscrição do recurso comprometido
propriedades	Uma coleção JSON de outras propriedades relativas ao alerta. As propriedades podem mudar de um alerta para o outro, no entanto, os seguintes campos aparecem em todos os alertas: - gravidade: a gravidade do ataque - compromisedEntity: O nome do recurso comprometido - remediationSteps: Lista de passos de remediação a seguir - intenção: A intenção na cadeia de ataque do alerta. As intenções possíveis estão documentadas na tabela Intenções
relacionadosEventos	Constante - matriz vazia

Espaços de trabalho do Log Analytics - o Azure Monitor armazena dados de log em um espaço de trabalho do Log Analytics, um contêiner que inclui dados e informações de configuração
Microsoft Sentinel - SIEM nativo da nuvem da Microsoft
Hubs de Eventos do Azure - o serviço de ingestão de dados em tempo real totalmente gerido da Microsoft

Passo seguinte

Exporte continuamente dados do Defender para a Cloud

Última atualização a 2026-07-16

Esquemas de alertas

Os esquemas

O modelo de dados do esquema

Artigos relacionados

Passo seguinte

Recursos adicionais