Share via

Démarrer l’API d’investigation

  • Article

S’applique à :

Vous voulez découvrir Defender pour point de terminaison ? Inscrivez-vous pour bénéficier d’un essai gratuit.

Remarque

Si vous êtes un client du gouvernement des États-Unis, utilisez les URI répertoriés dans Microsoft Defender pour point de terminaison pour les clients du gouvernement des États-Unis.

Conseil

Pour de meilleures performances, vous pouvez utiliser le serveur plus près de votre emplacement géographique :

  • us.api.security.microsoft.com
  • eu.api.security.microsoft.com
  • uk.api.security.microsoft.com
  • au.api.security.microsoft.com
  • swa.api.security.microsoft.com

Description de l’API

Démarrez l’investigation automatisée sur un appareil.

Pour plus d’informations, consultez Vue d’ensemble des investigations automatisées .

Limitations

  1. Les limitations de débit pour cette API sont de 50 appels par heure.

Configuration requise pour AIR

Votre organization doit disposer de Defender pour point de terminaison (consultez Configuration minimale requise pour Microsoft Defender pour point de terminaison.

Actuellement, AIR prend uniquement en charge les versions de système d’exploitation suivantes :

  • Windows Server 2019
  • Windows Server 2022
  • Windows 10, version 1709 (build du système d’exploitation 16299.1085 avec KB4493441) ou ultérieure
  • Windows 10, version 1803 (build du système d’exploitation 17134.704 avec KB4493464) ou ultérieure
  • Windows 10, version 1803 ou ultérieure
  • Windows 11

Autorisations

L’une des autorisations suivantes est nécessaire pour appeler cette API. Pour en savoir plus, notamment sur le choix des autorisations, consultez Utiliser des API Microsoft Defender pour point de terminaison.

Type d’autorisation Autorisation Nom complet de l’autorisation
Application Alert.ReadWrite.All « Lire et écrire toutes les alertes »
Déléguée (compte professionnel ou scolaire) Alert.ReadWrite « Lire et écrire des alertes »

Remarque

Lors de l’obtention d’un jeton à l’aide des informations d’identification de l’utilisateur :

  • L’utilisateur doit disposer au moins de l’autorisation de rôle suivante : « Actions de correction actives » (voir Create et gérer les rôles pour plus d’informations)
  • L’utilisateur doit avoir accès à l’appareil, en fonction des paramètres du groupe d’appareils (voir Create et gérer les groupes d’appareils pour plus d’informations)

La création de groupes d’appareils est prise en charge dans Defender pour point de terminaison Plan 1 et Plan 2.

Requête HTTP

POST https://api.security.microsoft.com/api/machines/{id}/startInvestigation

En-têtes de demande

Nom Type Description
Autorisation Chaîne Porteur {token}. Obligatoire.
Content-Type string application/json. Obligatoire.

Corps de la demande

Dans le corps de la demande, fournissez un objet JSON avec les paramètres suivants :

Paramètre Type Description
Commentaire Chaîne Commentaire à associer à l’action. Obligatoire.

Réponse

Si elle réussit, cette méthode renvoie 201 - Code de réponse créé et Investigation dans le corps de la réponse.

Exemple

Demande

Voici un exemple de demande.

POST https://api.security.microsoft.com/api/machines/1e5bc9d7e413ddd7902c2932e418702b84d0cc07/startInvestigation

{
  "Comment": "Test investigation"
}

Conseil

Voulez-vous en savoir plus ? Engage avec la communauté Microsoft Security dans notre communauté technique : Microsoft Defender pour point de terminaison Tech Community.