Ta bort incidenter i Microsoft Sentinel i Azure Portal

  • Gäller för: Microsoft Sentinel in the Azure portal

Viktigt

Incidentborttagning med hjälp av portalen finns för närvarande i FÖRHANDSVERSION. Se kompletterande användningsvillkor för Microsoft Azure-förhandsversioner för ytterligare juridiska villkor som gäller för Azure funktioner som är i betaversion, förhandsversion eller på annat sätt ännu inte har släppts i allmän tillgänglighet.

Incidentborttagning är allmänt tillgängligt via API:et.

Möjligheten att skapa incidenter från grunden i Microsoft Sentinel i Azure Portal öppnar möjligheten att du skapar en incident som du senare bestämmer att du inte ska ha. Du kan till exempel ha skapat en incident baserat på en medarbetares rapport innan du har fått några bevis (till exempel aviseringar) och strax därefter får du aviseringar som automatiskt genererar incidenten i fråga. Men nu har du en duplicerad incident utan data i den. I det här scenariot kan du ta bort din duplicerade incident direkt från incidentkön i Azure Portal.

Att ta bort en incident är inte en ersättning för att stänga en incident! Du bör bara ta bort en incident när minst ett av följande villkor uppfylls:

  • Incidenten skapades manuellt av misstag.
  • Incidenten duplicerar exakt en annan incident.
  • Felaktiga incidenter genererades i grupp av en bruten analysregel.
  • Incidenten innehåller inga data – aviseringar, entiteter, bokmärken och så vidare.

I alla andra fall, när en incident inte längre behövs, bör den stängas, inte tas bort. Om du stänger en incident måste du ange orsaken till att den stängs och du kan lägga till ytterligare kommentarer för kontext och förtydliganden. Om du stänger gamla incidenter på det här sättet bevaras transparensen och integriteten i din SOC, och det gör det också möjligt att öppna incidenten igen om problemet dyker upp igen.

Ta bort en incident med hjälp av Azure Portal

Så här tar du bort en enskild incident:

  1. På navigeringsmenyn Microsoft Sentinel väljer du Incidenter.

  2. På sidan Incidenter väljer du den incident som du vill ta bort.

  3. Välj Visa fullständig information i informationsfönstret för att ange incidentens fullständiga informationsvy.

  4. Välj Ta bort incident i knappfältet längst upp. Skärmbild av borttagning av incident från informationsskärmen.

  5. Svara Ja på bekräftelseprompten som visas. Skärmbild av bekräftelsedialogrutan för borttagning av enskild incident.

Du kan också följa anvisningarna för att ta bort flera incidenter (omedelbart nedan) och markera kryssrutan för en enskild incident.

Så här tar du bort flera incidenter:

  1. På navigeringsmenyn Microsoft Sentinel väljer du Incidenter.

  2. På sidan Incidenter väljer du den incident eller de incidenter som du vill ta bort genom att markera kryssrutorna bredvid var och en i incidentrutnätet.

  3. Välj Ta bort i knappfältet. Skärmbild av att ta bort flera incidenter från incidentkön.

  4. Svara Ja på bekräftelseprompten som visas. Skärmbild av bekräftelsedialogrutan för borttagning av flera incidenter.

Ta bort en incident med hjälp av Microsoft Sentinel-API:et

Med åtgärdsgruppen Incidenter kan du ta bort incidenter samt skapa och uppdatera (redigera), hämta (hämta) och lista dem.

Du tar bort en incident med hjälp av följande slutpunkt. När den här begäran har gjorts visas incidenten i incidentkön i portalen.

DELETE https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/providers/Microsoft.SecurityInsights/incidents/{incidentId}?api-version=2022-07-01-preview

Kommentar

Nästa steg

Mer information finns i:

  • Last updated on