Incidents - Get

Serviço:: Sentinel

Versão da API:: 2025-09-01

Obtém um determinado incidente.

GET https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/providers/Microsoft.SecurityInsights/incidents/{incidentId}?api-version=2025-09-01

Parâmetros do URI

Name	Em	Obrigatório	Tipo	Descrição
incidentId	path	True	string	ID do incidente
resourceGroupName	path	True	string minLength: 1 maxLength: 90	O nome do grupo de recursos. O nome não diferencia maiúsculas de minúsculas.
subscriptionId	path	True	string (uuid)	A ID da assinatura de destino. O valor deve ser um UUID.
workspaceName	path	True	string minLength: 1 maxLength: 90 pattern: ^[A-Za-z0-9][A-Za-z0-9-]+[A-Za-z0-9]$	O nome do espaço de trabalho do monitor.
api-version	query	True	string minLength: 1	A versão da API a utilizar para esta operação.

Respostas

Name	Tipo	Descrição
200 OK	Incident	Operação do Azure concluída com sucesso.
Other Status Codes	CloudError	Uma resposta de erro inesperada.

Segurança

azure_auth

Fluxo OAuth2 do Azure Active Directory.

Tipo: oauth2
Fluxo: implicit
URL de Autorização: https://login.microsoftonline.com/common/oauth2/authorize

Âmbitos

Name	Descrição
user_impersonation	personificar a sua conta de utilizador

Exemplos

Get an incident.

Pedido de amostra

HTTP

GET https://management.azure.com/subscriptions/d0cfe6b2-9ac0-4464-9919-dccaee2e48c0/resourceGroups/myRg/providers/Microsoft.OperationalInsights/workspaces/myWorkspace/providers/Microsoft.SecurityInsights/incidents/73e01a99-5cd7-4139-a149-9f2736ff2ab5?api-version=2025-09-01

Resposta da amostra

Código de estado:: 200

{
  "id": "/subscriptions/d0cfe6b2-9ac0-4464-9919-dccaee2e48c0/resourceGroups/myRg/providers/Microsoft.OperationalInsights/workspaces/myWorkspace/providers/Microsoft.SecurityInsights/incidents/73e01a99-5cd7-4139-a149-9f2736ff2ab5",
  "name": "73e01a99-5cd7-4139-a149-9f2736ff2ab5",
  "type": "Microsoft.SecurityInsights/incidents",
  "etag": "\"0300bf09-0000-0000-0000-5c37296e0000\"",
  "properties": {
    "lastModifiedTimeUtc": "2019-01-01T13:15:30Z",
    "createdTimeUtc": "2019-01-01T13:15:30Z",
    "lastActivityTimeUtc": "2019-01-01T13:05:30Z",
    "firstActivityTimeUtc": "2019-01-01T13:00:30Z",
    "description": "This is a demo incident",
    "title": "My incident",
    "owner": {
      "objectId": "2046feea-040d-4a46-9e2b-91c2941bfa70",
      "email": "john.doe@contoso.com",
      "userPrincipalName": "john@contoso.com",
      "assignedTo": "john doe"
    },
    "severity": "High",
    "classification": "FalsePositive",
    "classificationComment": "Not a malicious activity",
    "classificationReason": "InaccurateData",
    "status": "Closed",
    "incidentUrl": "https://portal.azure.com/#asset/Microsoft_Azure_Security_Insights/Incident/subscriptions/d0cfe6b2-9ac0-4464-9919-dccaee2e48c0/resourceGroups/myRg/providers/Microsoft.OperationalInsights/workspaces/myWorkspace/providers/Microsoft.SecurityInsights/incidents/73e01a99-5cd7-4139-a149-9f2736ff2ab5",
    "incidentNumber": 3177,
    "labels": [],
    "providerName": "Azure Sentinel",
    "providerIncidentId": "3177",
    "relatedAnalyticRuleIds": [
      "/subscriptions/d0cfe6b2-9ac0-4464-9919-dccaee2e48c0/resourceGroups/myRg/providers/Microsoft.OperationalInsights/workspaces/myWorkspace/providers/Microsoft.SecurityInsights/alertRules/fab3d2d4-747f-46a7-8ef0-9c0be8112bf7"
    ],
    "additionalData": {
      "alertsCount": 0,
      "bookmarksCount": 0,
      "commentsCount": 3,
      "alertProductNames": [],
      "tactics": [
        "InitialAccess",
        "Persistence"
      ]
    }
  }
}

Definições

Name	Descrição
AttackTactic	A gravidade dos alertas criados por esta regra de alerta.
CloudError	Estrutura de resposta a erros.
CloudErrorBody	Detalhes do erro.
createdByType	O tipo de identidade que criou o recurso.
Incident	Representa um incidente no Azure Security Insights.
IncidentAdditionalData	Incidente adicional de dados de propriedade bag.
IncidentClassification	O motivo pelo qual o incidente foi encerrado
IncidentClassificationReason	O motivo da classificação do incidente foi encerrado com
IncidentLabel	Representa um rótulo de incidente
IncidentLabelType	O tipo do rótulo
IncidentOwnerInfo	Informações sobre o usuário a quem um incidente é atribuído
IncidentSeverity	A gravidade do incidente
IncidentStatus	O estado do incidente
OwnerType	O tipo de proprietário ao qual a caça é atribuída.
systemData	Metadados referentes à criação e última modificação do recurso.

AttackTactic

Enumeração

A gravidade dos alertas criados por esta regra de alerta.

Valor	Descrição
Reconnaissance	Reconhecimento
ResourceDevelopment	Desenvolvimento de Recursos
InitialAccess	InitialAccess
Execution	Execution
Persistence	Persistência
PrivilegeEscalation	Escalação de Privilégios
DefenseEvasion	DefesaEvasão
CredentialAccess	Acesso a Credenciais
Discovery	Discovery
LateralMovement	Movimento Lateral
Collection	Collection
Exfiltration	Exfiltração
CommandAndControl	Comando e Controlo
Impact	Impact
PreAttack	Pré-ataque
ImpairProcessControl	ImpairProcessControl
InhibitResponseFunction	InhibitResponseFunction

CloudError

Object

Estrutura de resposta a erros.

Name	Tipo	Descrição
error	CloudErrorBody	Dados de erro

CloudErrorBody

Object

Detalhes do erro.

Name	Tipo	Descrição
code	string	Um identificador para o erro. Os códigos são invariantes e destinam-se a ser consumidos programaticamente.
message	string	Uma mensagem descrevendo o erro, destinada a ser adequada para exibição em uma interface do usuário.

createdByType

Enumeração

O tipo de identidade que criou o recurso.

Valor	Descrição
User
Application
ManagedIdentity
Key

Incident

Object

Representa um incidente no Azure Security Insights.

Name	Tipo	Descrição
etag	string	Etag do recurso azure
id	string (arm-id)	ID de recurso totalmente qualificado para o recurso. Por exemplo, "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/{resourceProviderNamespace}/{resourceType}/{resourceName}"
name	string	O nome do recurso
properties.additionalData	IncidentAdditionalData	Dados adicionais sobre o incidente
properties.classification	IncidentClassification	O motivo pelo qual o incidente foi encerrado
properties.classificationComment	string	Descreve o motivo pelo qual o incidente foi encerrado
properties.classificationReason	IncidentClassificationReason	O motivo da classificação do incidente foi encerrado com
properties.createdTimeUtc	string (date-time)	A hora em que o incidente foi criado
properties.description	string	A descrição do incidente
properties.firstActivityTimeUtc	string (date-time)	A hora da primeira atividade no incidente
properties.incidentNumber	integer (int32)	Um número sequencial
properties.incidentUrl	string	A URL de link profundo para o incidente no portal do Azure
properties.labels	IncidentLabel[]	Lista de rótulos relevantes para este incidente
properties.lastActivityTimeUtc	string (date-time)	A hora da última atividade no incidente
properties.lastModifiedTimeUtc	string (date-time)	A última vez que o incidente foi atualizado
properties.owner	IncidentOwnerInfo	Descreve um usuário ao qual o incidente é atribuído
properties.providerIncidentId	string	A ID do incidente atribuída pelo provedor do incidente
properties.providerName	string	O nome do provedor de origem que gerou o incidente
properties.relatedAnalyticRuleIds	string[] (arm-id)	Lista de ids de recursos de regras analíticas relacionadas ao incidente
properties.severity	IncidentSeverity	A gravidade do incidente
properties.status	IncidentStatus	O estado do incidente
properties.title	string	O título do incidente
systemData	systemData	Metadados do Azure Resource Manager contendo informações createdBy e modifiedBy.
type	string	O tipo do recurso. Por exemplo, "Microsoft.Compute/virtualMachines" ou "Microsoft.Storage/storageAccounts"

IncidentAdditionalData

Object

Incidente adicional de dados de propriedade bag.

Name	Tipo	Descrição
alertProductNames	string[]	Lista de nomes de produtos de alertas no incidente
alertsCount	integer (int32)	O número de alertas no incidente
bookmarksCount	integer (int32)	O número de marcadores no incidente
commentsCount	integer (int32)	O número de comentários no incidente
providerIncidentUrl	string	A URL do incidente do provedor para o incidente no portal do Microsoft 365 Defender
tactics	AttackTactic[]	As táticas associadas ao incidente

IncidentClassification

Enumeração

O motivo pelo qual o incidente foi encerrado

Valor	Descrição
Undetermined	A classificação dos incidentes foi indeterminada
TruePositive	Incidente foi verdadeiramente positivo
BenignPositive	O incidente foi benigno positivo
FalsePositive	Incidente foi falso positivo

IncidentClassificationReason

Enumeração

O motivo da classificação do incidente foi encerrado com

Valor	Descrição
SuspiciousActivity	O motivo da classificação foi atividade suspeita
SuspiciousButExpected	O motivo da classificação era suspeito, mas esperado
IncorrectAlertLogic	O motivo da classificação foi a lógica de alerta incorreta
InaccurateData	O motivo da classificação foram dados imprecisos

IncidentLabel

Object

Representa um rótulo de incidente

Name	Tipo	Descrição
labelName	string	O nome do rótulo
labelType	IncidentLabelType	O tipo do rótulo

IncidentLabelType

Enumeração

O tipo do rótulo

Valor	Descrição
User	Etiqueta criada manualmente por um utilizador
AutoAssigned	Etiqueta criada automaticamente pelo sistema

IncidentOwnerInfo

Object

Informações sobre o usuário a quem um incidente é atribuído

Name	Tipo	Descrição
assignedTo	string	O nome do usuário ao qual o incidente é atribuído.
email	string	O e-mail do usuário ao qual o incidente é atribuído.
objectId	string (uuid)	A ID do objeto do usuário ao qual o incidente é atribuído.
ownerType	OwnerType	O tipo de proprietário ao qual o incidente é atribuído.
userPrincipalName	string	O nome principal do usuário ao qual o incidente é atribuído.

IncidentSeverity

Enumeração

A gravidade do incidente

Valor	Descrição
High	Alta severidade
Medium	Gravidade média
Low	Baixa severidade
Informational	Severidade informacional

IncidentStatus

Enumeração

O estado do incidente

Valor	Descrição
New	Um incidente ativo que não está sendo tratado atualmente
Active	Um incidente ativo que está a ser tratado
Closed	Um incidente não ativo

OwnerType

Enumeração

O tipo de proprietário ao qual a caça é atribuída.

Valor	Descrição
Unknown	O tipo de proprietário da caça é desconhecido
User	O tipo de proprietário da caça é um usuário do AAD
Group	O tipo de proprietário de caça é um grupo AAD

systemData

Object

Metadados referentes à criação e última modificação do recurso.

Name	Tipo	Descrição
createdAt	string (date-time)	O carimbo de data/hora da criação de recursos (UTC).
createdBy	string	A identidade que criou o recurso.
createdByType	createdByType	O tipo de identidade que criou o recurso.
lastModifiedAt	string (date-time)	O carimbo de data/hora da última modificação do recurso (UTC)
lastModifiedBy	string	A identidade que modificou o recurso pela última vez.
lastModifiedByType	createdByType	O tipo de identidade que modificou o recurso pela última vez.