Sdílet prostřednictvím

Typ prostředku upozornění

  • Článek

Platí pro:

Poznámka

Úplné dostupné prostředí rozhraní API pro upozornění ve všech produktech Microsoft Defenderu najdete tady: Použití rozhraní Microsoft Graph Security API – Microsoft Graph | Microsoft Learn.

Chcete vyzkoušet Defender pro Endpoint? Zaregistrujte se a získejte bezplatnou zkušební verzi,

Poznámka

Pokud jste zákazníkem státní správy USA, použijte identifikátory URI uvedené v Microsoft Defender for Endpoint pro zákazníky státní správy USA.

Tip

Pro lepší výkon můžete použít server blíže k vašemu geografickému umístění:

  • us.api.security.microsoft.com
  • eu.api.security.microsoft.com
  • uk.api.security.microsoft.com
  • au.api.security.microsoft.com
  • swa.api.security.microsoft.com

Metody

Metoda Návratový typ Popis
Získání upozornění Upozornění Získání jednoho objektu upozornění
Seznam upozornění Shromažďování výstrah Vypsat kolekci upozornění
Upozornění na aktualizaci Upozornění Aktualizovat konkrétní výstrahu
Upozornění na dávkovou aktualizaci Aktualizace dávky upozornění
Vytvořit upozornění Upozornění Create výstrahy na základě dat událostí získaných z rozšířeného proaktivního vyhledávání
Výpis souvisejících domén Kolekce domén Seznam adres URL přidružených k upozornění
Vypsat související soubory Kolekce souborů Zobrazení seznamu entit souborů přidružených k upozornění
Výpis souvisejících IP adres Kolekce IP adres Seznam IP adres přidružených k upozornění
Získání souvisejících počítačů Počítač Počítač přidružený k upozornění
Získání souvisejících uživatelů Uživatel Uživatel přidružený k upozornění

Vlastnosti

Vlastnost Typ Popis
ID String ID upozornění.
Název String Název upozornění.
description String Popis upozornění.
alertCreationTime DateTimeOffset s možnou hodnotou null Datum a čas (v UTC) se upozornění vytvořilo.
lastEventTime DateTimeOffset s možnou hodnotou null Poslední výskyt události, která aktivovala výstrahu na stejném zařízení.
firstEventTime DateTimeOffset s možnou hodnotou null První výskyt události, která aktivovala výstrahu na daném zařízení.
lastUpdateTime DateTimeOffset s možnou hodnotou null Datum a čas (v UTC) byla výstraha naposledy aktualizována.
resolvedTime DateTimeOffset s možnou hodnotou null Datum a čas, kdy se stav výstrahy změnil na Vyřešeno.
incidentId Long s možnou hodnotou null ID incidentu výstrahy.
investigationId Long s možnou hodnotou null ID šetření související s výstrahou
investigationState Výčet s možnou hodnotou null Aktuální stav vyšetřování. Možné hodnoty jsou: Unknown, Terminated, SuccessfullyRemediated, Benign, Failed, PartiallyRemediated, Running, PendingApproval, PendingResource, PartiallyInvestigated, TerminatedByUser, TerminatedBySystem, Queued, InnerFailure, PreexistingAlert, UnsupportedOs, UnsupportedAlertType, SuppressedAlert.
Přiřazeno String Vlastník výstrahy.
rbacGroupName String Název skupiny zařízení pro řízení přístupu na základě role.
MitreTechniques String ID techniky Mitre Enterprise.
relatedUser String Podrobnosti o uživateli souvisejícím s konkrétní výstrahou
Závažnosti Výčtu Závažnost výstrahy. Možné hodnoty jsou: Neurčené, Informační, Nízké, Střední a Vysoké.
Stav Výčtu Určuje aktuální stav výstrahy. Možné hodnoty jsou: Neznámý, Nový, Probíhající a Vyřešeno.
Klasifikace Výčet s možnou hodnotou null Specifikace výstrahy. Možné hodnoty jsou: TruePositive, Informational, expected activitya FalsePositive.
Stanovení Výčet s možnou hodnotou null Určuje určení výstrahy.

Možné hodnoty určení pro každou klasifikaci jsou:

  • PravdivěMalware pozitivní: Multistage attack (MultiStagedAttack), Malicious user activity (MaliciousUserActivity), Compromised account (CompromisedUser) – zvažte odpovídající změnu názvu výčtu ve veřejném rozhraní API (Malware), Phishing (Phishing), Unwanted software (UnwantedSoftware) a Other (Jiné).
  • Informační, očekávaná aktivita:Security test (SecurityTesting), Line-of-business application (LineOfBusinessApplication), Confirmed activity (ConfirmedUserActivity) – zvažte odpovídající změnu názvu výčtu ve veřejném rozhraní API a Other (Jiné).
  • Falešně pozitivní:Not malicious (Čisté) – zvažte odpovídající změnu názvu výčtu ve veřejném rozhraní API Not enough data to validate (InsufficientData) a Other (Other).
    		•
    Kategorie String Kategorie výstrahy.
    detectionSource String Zdroj detekce.
    threatFamilyName String Rodina hrozeb.
    threatName String Název hrozby.
    id počítače String ID entity počítače , která je přidružená k upozornění.
    computerDnsName String plně kvalifikovaný název počítače.
    aadTenantId String Microsoft Entra ID.
    detectorId String ID detektoru, který aktivoval výstrahu.
    Komentáře Seznam komentářů k upozorněním Objekt Alert Comment obsahuje: řetězec komentáře, řetězec createdBy a createTime date time.
    Důkazy Seznam důkazů o výstrahách Důkazy týkající se výstrahy. Podívejte se na následující příklad.

    Poznámka

    Kolem 29. srpna 2022 budou dříve podporované hodnoty určení výstrah (Apt a SecurityPersonnel) zastaralé a nebudou už dostupné prostřednictvím rozhraní API.

    Příklad odpovědi pro získání jednoho upozornění:

    GET https://api.securitycenter.microsoft.com/api/alerts/da637472900382838869_1364969609

    {
    "id": "da637472900382838869_1364969609",
    "incidentId": 1126093,
    "investigationId": null,
    "assignedTo": null,
    "severity": "Low",
    "status": "New",
    "classification": null,
    "determination": null,
    "investigationState": "Queued",
    "detectionSource": "WindowsDefenderAtp",
    "detectorId": "17e10bbc-3a68-474a-8aad-faef14d43952",
    "category": "Execution",
    "threatFamilyName": null,
    "title": "Low-reputation arbitrary code executed by signed executable",
    "description": "Binaries signed by Microsoft can be used to run low-reputation arbitrary code. This technique hides the execution of malicious code within a trusted process. As a result, the trusted process might exhibit suspicious behaviors, such as opening a listening port or connecting to a command-and-control (C&C) server.",
    "alertCreationTime": "2021-01-26T20:33:57.7220239Z",
    "firstEventTime": "2021-01-26T20:31:32.9562661Z",
    "lastEventTime": "2021-01-26T20:31:33.0577322Z",
    "lastUpdateTime": "2021-01-26T20:33:59.2Z",
    "resolvedTime": null,
    "machineId": "111e6dd8c833c8a052ea231ec1b19adaf497b625",
    "computerDnsName": "temp123.middleeast.corp.microsoft.com",
    "rbacGroupName": "A",
    "aadTenantId": "a839b112-1253-6432-9bf6-94542403f21c",
    "threatName": null,
    "mitreTechniques": [
        "T1064",
        "T1085",
        "T1220"
    ],
    "relatedUser": {
        "userName": "temp123",
        "domainName": "DOMAIN"
    },
    "comments": [
        {
            "comment": "test comment for docs",
            "createdBy": "secop123@contoso.com",
            "createdTime": "2021-01-26T01:00:37.8404534Z"
        }
    ],
    "evidence": [
        {
            "entityType": "User",
            "evidenceCreationTime": "2021-01-26T20:33:58.42Z",
            "sha1": null,
            "sha256": null,
            "fileName": null,
            "filePath": null,
            "processId": null,
            "processCommandLine": null,
            "processCreationTime": null,
            "parentProcessId": null,
            "parentProcessCreationTime": null,
            "parentProcessFileName": null,
            "parentProcessFilePath": null,
            "ipAddress": null,
            "url": null,
            "registryKey": null,
            "registryHive": null,
            "registryValueType": null,
            "registryValue": null,
            "accountName": "name",
            "domainName": "DOMAIN",
            "userSid": "S-1-5-21-11111607-1111760036-109187956-75141",
            "aadUserId": "11118379-2a59-1111-ac3c-a51eb4a3c627",
            "userPrincipalName": "temp123@microsoft.com",
            "detectionStatus": null
        },
        {
            "entityType": "Process",
            "evidenceCreationTime": "2021-01-26T20:33:58.6133333Z",
            "sha1": "ff836cfb1af40252bd2a2ea843032e99a5b262ed",
            "sha256": "a4752c71d81afd3d5865d24ddb11a6b0c615062fcc448d24050c2172d2cbccd6",
            "fileName": "rundll32.exe",
            "filePath": "C:\\Windows\\SysWOW64",
            "processId": 3276,
            "processCommandLine": "rundll32.exe  c:\\temp\\suspicious.dll,RepeatAfterMe",
            "processCreationTime": "2021-01-26T20:31:32.9581596Z",
            "parentProcessId": 8420,
            "parentProcessCreationTime": "2021-01-26T20:31:32.9004163Z",
            "parentProcessFileName": "rundll32.exe",
            "parentProcessFilePath": "C:\\Windows\\System32",
            "ipAddress": null,
            "url": null,
            "registryKey": null,
            "registryHive": null,
            "registryValueType": null,
            "registryValue": null,
            "accountName": null,
            "domainName": null,
            "userSid": null,
            "aadUserId": null,
            "userPrincipalName": null,
            "detectionStatus": "Detected"
        },
        {
            "entityType": "File",
            "evidenceCreationTime": "2021-01-26T20:33:58.42Z",
            "sha1": "8563f95b2f8a284fc99da44500cd51a77c1ff36c",
            "sha256": "dc0ade0c95d6db98882bc8fa6707e64353cd6f7767ff48d6a81a6c2aef21c608",
            "fileName": "suspicious.dll",
            "filePath": "c:\\temp",
            "processId": null,
            "processCommandLine": null,
            "processCreationTime": null,
            "parentProcessId": null,
            "parentProcessCreationTime": null,
            "parentProcessFileName": null,
            "parentProcessFilePath": null,
            "ipAddress": null,
            "url": null,
            "registryKey": null,
            "registryHive": null,
            "registryValueType": null,
            "registryValue": null,
            "accountName": null,
            "domainName": null,
            "userSid": null,
            "aadUserId": null,
            "userPrincipalName": null,
            "detectionStatus": "Detected"
        }
    ]
}

    Použití rozhraní Microsoft Graph Security API – Microsoft Graph | Microsoft Learn

    Tip

    Chcete se dozvědět více? Engage s komunitou Microsoft Security v naší technické komunitě: Microsoft Defender for Endpoint Tech Community.