مخططات التنبيهات

يحصل موصل Sentinel على تنبيهات من Microsoft Defender for Cloud ويرسلها إلى مساحة عمل Log Analytics لـMicrosoft Sentinel.

لإنشاء حالة أو حدث Microsoft Sentinel باستخدام تنبيهات Defender for Cloud، تحتاج إلى مخطط لتلك التنبيهات المعروضة.

تعرف على المزيد في وثائق Microsoft Sentinel.

نموذج بيانات المخطط

تقوم Microsoft Defender for Cloud بمراجعة تنبيهات الأمان التي تم إنشاؤها كأحداث في سجل نشاط Azure.

يمكنك عرض أحداث تنبيهات الأمان في سجل النشاط عن طريق البحث عن حدث تنشيط التنبيه كما هو موضح:

نموذج JSON للتنبيهات المرسلة إلى سجل نشاط Azure

{
    "channels": "Operation",
    "correlationId": "2518250008431989649_e7313e05-edf4-466d-adfd-35974921aeff",
    "description": "PREVIEW - Role binding to the cluster-admin role detected. Kubernetes audit log analysis detected a new binding to the cluster-admin role which gives administrator privileges.\r\nUnnecessary administrator privileges might cause privilege escalation in the cluster.",
    "eventDataId": "2518250008431989649_e7313e05-edf4-466d-adfd-35974921aeff",
    "eventName": {
        "value": "PREVIEW - Role binding to the cluster-admin role detected",
        "localizedValue": "PREVIEW - Role binding to the cluster-admin role detected"
    },
    "category": {
        "value": "Security",
        "localizedValue": "Security"
    },
    "eventTimestamp": "2019-12-25T18:52:36.801035Z",
    "id": "/subscriptions/SUBSCRIPTION_ID/resourceGroups/RESOURCE_GROUP_NAME/providers/Microsoft.Security/locations/centralus/alerts/2518250008431989649_e7313e05-edf4-466d-adfd-35974921aeff/events/2518250008431989649_e7313e05-edf4-466d-adfd-35974921aeff/ticks/637128967568010350",
    "level": "Informational",
    "operationId": "2518250008431989649_e7313e05-edf4-466d-adfd-35974921aeff",
    "operationName": {
        "value": "Microsoft.Security/locations/alerts/activate/action",
        "localizedValue": "Activate Alert"
    },
    "resourceGroupName": "RESOURCE_GROUP_NAME",
    "resourceProviderName": {
        "value": "Microsoft.Security",
        "localizedValue": "Microsoft.Security"
    },
    "resourceType": {
        "value": "Microsoft.Security/locations/alerts",
        "localizedValue": "Microsoft.Security/locations/alerts"
    },
    "resourceId": "/subscriptions/SUBSCRIPTION_ID/resourceGroups/RESOURCE_GROUP_NAME/providers/Microsoft.Security/locations/centralus/alerts/2518250008431989649_e7313e05-edf4-466d-adfd-35974921aeff",
    "status": {
        "value": "Active",
        "localizedValue": "Active"
    },
    "subStatus": {
        "value": "",
        "localizedValue": ""
    },
    "submissionTimestamp": "2019-12-25T19:14:03.5507487Z",
    "subscriptionId": "SUBSCRIPTION_ID",
    "properties": {
        "clusterRoleBindingName": "cluster-admin-binding",
        "subjectName": "for-binding-test",
        "subjectKind": "ServiceAccount",
        "username": "masterclient",
        "actionTaken": "Detected",
        "resourceType": "Kubernetes Service",
        "severity": "Low",
        "intent": "[\"Persistence\"]",
        "compromisedEntity": "ASC-IGNITE-DEMO",
        "remediationSteps": "[\"Review the user in the alert details. If cluster-admin is unnecessary for this user, consider granting lower privileges to the user.\"]",
        "attackedResourceType": "Kubernetes Service"
    },
    "relatedEvents": []
}

نموذج بيانات المخطط

للحصول على مخطط التنبيهات عند استخدام أتمتة سير العمل، راجع وثائق الموصلات.

تمرر ميزة التصدير المستمر لـDefender for Cloud بيانات التنبيه إلى:

• Azure Event Hubs باستخدام نفس المخطط مثل واجهة برمجة تطبيقات التنبيهات.
• مساحات عمل Log Analytics وفقا لمخطط SecurityAlert في وثائق بيانات Azure Monitor.

تُعد Microsoft Graph هي بوابة البيانات والاستخبارات في Microsoft 365. وتوفر نموذج برمجة موحدة الذي يمكنك استخدامه للوصول إلى كمية هائلة من البيانات في Microsoft 365،Windows 10، والتنقل المؤسسة + الأمن. استخدم ثروة البيانات في Microsoft Graph لإنشاء تطبيقات للمؤسسات والمستهلكين الذين يتفاعلون مع ملايين المستخدمين.

يتوفر المخطط وتمثيل JSON لتنبيهات الأمان المرسلة إلى MS Graph في وثائق Microsoft Graph.