検出ルールを一覧表示する

[アーティクル]
03/05/2024

名前空間: microsoft.graph.security

重要

Microsoft Graph の /beta バージョンの API は変更される可能性があります。実稼働アプリケーションでこれらの API を使用することは、サポートされていません。 v1.0 で API を使用できるかどうかを確認するには、Version セレクターを使用します。

カスタム検出ルールの一覧を取得します。カスタム検出を使用すると、侵害の疑いのあるアクティビティや、organization ネットワーク内の資産の構成ミスなど、さまざまなイベントやシステム状態を事前に監視して対応できます。 Kusto クエリ言語 (KQL) で記述されたカスタム検出ルールは、KQL クエリに一致するイベントが発生すると、アラートと応答アクションを自動的にトリガーします。

この API は、次の国内クラウド展開で使用できます。

グローバルサービス	米国政府機関 L4	米国政府機関 L5 (DOD)	21Vianet が運営する中国
✅	❌	❌	❌

アクセス許可

この API の最小特権としてマークされているアクセス許可またはアクセス許可を選択します。アプリで必要な場合にのみ、より高い特権のアクセス許可またはアクセス許可を使用します。委任されたアクセス許可とアプリケーションのアクセス許可の詳細については、「アクセス許可の種類」を参照してください。これらのアクセス許可の詳細については、アクセス許可のリファレンスを参照してください。

アクセス許可の種類	最小特権アクセス許可	特権の高いアクセス許可
委任 (職場または学校のアカウント)	CustomDetection.Read.All	CustomDetection.ReadWrite.All
委任 (個人用 Microsoft アカウント)	サポートされていません。	サポートされていません。
アプリケーション	CustomDetection.Read.All	CustomDetection.ReadWrite.All

HTTP 要求

GET /security/rules/detectionRules

省略可能なクエリパラメーター

また、このメソッドは応答をカスタマイズするための一部の OData クエリパラメーターをサポートします。一般的な情報については、「OData クエリパラメーター」を参照してください。

要求ヘッダー

名前	説明
Authorization	ベアラー {token}。必須です。

要求本文

このメソッドには、要求本文を指定しません。

応答

成功した場合、このメソッドは 200 OK 応答コードと、応答本文の detectionRule オブジェクトのコレクションを返します。

例

要求

次の例は要求を示しています。

GET https://graph.microsoft.com/beta/security/rules/detectionRules?$top=3


// Code snippets are only available for the latest version. Current version is 5.x

// To initialize your graphClient, see https://learn.microsoft.com/en-us/graph/sdks/create-client?from=snippets&tabs=csharp
var result = await graphClient.Security.Rules.DetectionRules.GetAsync((requestConfiguration) =>
{
	requestConfiguration.QueryParameters.Top = 3;
});

重要

Microsoft Graph SDK では、既定で v1.0 バージョンの API が使用され、ベータ版で使用可能なすべての型、プロパティ、API がサポートされているわけではありません。 SDK を使用してベータ API にアクセスする方法の詳細については、「ベータ API で Microsoft Graph SDK を使用する」を参照してください。

プロジェクトに SDK を追加し、authProvider インスタンスを作成する方法の詳細については、SDK のドキュメントを参照してください。



mgc-beta security rules detection-rules list --top "3"

重要

プロジェクトに SDK を追加し、authProvider インスタンスを作成する方法の詳細については、SDK のドキュメントを参照してください。



// Code snippets are only available for the latest major version. Current major version is $v0.*

// Dependencies
import (
	  "context"
	  msgraphsdk "github.com/microsoftgraph/msgraph-beta-sdk-go"
	  graphsecurity "github.com/microsoftgraph/msgraph-beta-sdk-go/security"
	  //other-imports
)


requestTop := int32(3)

requestParameters := &graphsecurity.SecurityRulesDetectionRulesRequestBuilderGetQueryParameters{
	Top: &requestTop,
}
configuration := &graphsecurity.SecurityRulesDetectionRulesRequestBuilderGetRequestConfiguration{
	QueryParameters: requestParameters,
}

// To initialize your graphClient, see https://learn.microsoft.com/en-us/graph/sdks/create-client?from=snippets&tabs=go
detectionRules, err := graphClient.Security().Rules().DetectionRules().Get(context.Background(), configuration)

重要

プロジェクトに SDK を追加し、authProvider インスタンスを作成する方法の詳細については、SDK のドキュメントを参照してください。


// Code snippets are only available for the latest version. Current version is 6.x

GraphServiceClient graphClient = new GraphServiceClient(requestAdapter);

com.microsoft.graph.models.security.DetectionRuleCollectionResponse result = graphClient.security().rules().detectionRules().get(requestConfiguration -> {
	requestConfiguration.queryParameters.top = 3;
});

重要

プロジェクトに SDK を追加し、authProvider インスタンスを作成する方法の詳細については、SDK のドキュメントを参照してください。


const options = {
	authProvider,
};

const client = Client.init(options);

let detectionRules = await client.api('/security/rules/detectionRules')
	.version('beta')
	.top(3)
	.get();

重要

プロジェクトに SDK を追加し、authProvider インスタンスを作成する方法の詳細については、SDK のドキュメントを参照してください。


<?php
use Microsoft\Graph\Beta\GraphServiceClient;
use Microsoft\Graph\Beta\Generated\Security\Rules\DetectionRules\DetectionRulesRequestBuilderGetRequestConfiguration;


$graphServiceClient = new GraphServiceClient($tokenRequestContext, $scopes);

$requestConfiguration = new DetectionRulesRequestBuilderGetRequestConfiguration();
$queryParameters = DetectionRulesRequestBuilderGetRequestConfiguration::createQueryParameters();
$queryParameters->top = 3;
$requestConfiguration->queryParameters = $queryParameters;


$result = $graphServiceClient->security()->rules()->detectionRules()->get($requestConfiguration)->wait();

重要

プロジェクトに SDK を追加し、authProvider インスタンスを作成する方法の詳細については、SDK のドキュメントを参照してください。


Import-Module Microsoft.Graph.Beta.Security

Get-MgBetaSecurityRuleDetectionRule -Top 3

重要

プロジェクトに SDK を追加し、authProvider インスタンスを作成する方法の詳細については、SDK のドキュメントを参照してください。


from msgraph_beta import GraphServiceClient
from msgraph_beta.generated.security.rules.detection_rules.detection_rules_request_builder import DetectionRulesRequestBuilder
from kiota_abstractions.base_request_configuration import RequestConfiguration

graph_client = GraphServiceClient(credentials, scopes)

query_params = DetectionRulesRequestBuilder.DetectionRulesRequestBuilderGetQueryParameters(
		top = 3,
)

request_configuration = RequestConfiguration(
query_parameters = query_params,
)

result = await graph_client.security.rules.detection_rules.get(request_configuration = request_configuration)

重要

プロジェクトに SDK を追加し、authProvider インスタンスを作成する方法の詳細については、SDK のドキュメントを参照してください。

応答

次の例は応答を示しています。

注: ここに示す応答オブジェクトは、読みやすさのために短縮されている場合があります。

HTTP/1.1 200 OK
Content-Type: application/json

{
  "value": [
    {
      "@odata.type": "#microsoft.graph.security.detectionRule",
      "id": "7506",
      "displayName": "ban file",
      "isEnabled": true,
      "createdBy": "NaderK@winatptestlic06.ccsctp.net",
      "createdDateTime": "2021-02-28T16:28:15.3863467Z",
      "lastModifiedDateTime": "2023-05-24T09:26:11.8630516Z",
      "lastModifiedBy": "GlobalAdmin@unifiedrbactest3.ccsctp.net",
      "detectorId": "67895317-b2a8-4ac3-8f8b-fa6b7765f2fe",
      "queryCondition": {
        "queryText": "DeviceFileEvents\r\n| where Timestamp > ago(1h)\r\n| where FileName == \"ifz30zlx.dll\"",
        "lastModifiedDateTime": null
      },
      "schedule": {
        "period": "24H",
        "nextRunDateTime": "2023-06-26T08:52:06.1766667Z"
      },
      "lastRunDetails": {
        "lastRunDateTime": "2023-06-25T08:52:06.1766667Z",
        "status": null,
        "failureReason": null,
        "errorCode": null
      },
      "detectionAction": {
        "alertTemplate": {
          "title": "unwanted dll",
          "description": "test",
          "severity": "low",
          "category": "Malware",
          "recommendedActions": null,
          "mitreTechniques": [],
          "impactedAssets": []
        },
        "organizationalScope": null,
        "responseActions": [
          {
            "@odata.type": "#microsoft.graph.security.restrictAppExecutionResponseAction",
            "identifier": "deviceId"
          },
          {
            "@odata.type": "#microsoft.graph.security.initiateInvestigationResponseAction",
            "identifier": "deviceId"
          },
          {
            "@odata.type": "#microsoft.graph.security.collectInvestigationPackageResponseAction",
            "identifier": "deviceId"
          },
          {
            "@odata.type": "#microsoft.graph.security.runAntivirusScanResponseAction",
            "identifier": "deviceId"
          },
          {
            "@odata.type": "#microsoft.graph.security.isolateDeviceResponseAction",
            "isolationType": "full",
            "identifier": "deviceId"
          },
          {
            "@odata.type": "#microsoft.graph.security.blockFileResponseAction",
            "identifier": "sha1",
            "deviceGroupNames": []
          }
        ]
      }
    },
    {
      "@odata.type": "#microsoft.graph.security.detectionRule",
      "id": "8575",
      "displayName": "Continuous_EmailAttachmentInfo_Mod300",
      "isEnabled": true,
      "createdBy": "rony@winatptestlic06.ccsctp.net",
      "createdDateTime": "2021-11-03T21:32:01.6144651Z",
      "lastModifiedDateTime": "2022-11-03T19:27:14.4187141Z",
      "lastModifiedBy": "InESecAdmin@winatptestlic06.ccsctp.net",
      "detectorId": "56ef4994-fe31-4ac9-b29f-0ca2f2cc9112",
      "queryCondition": {
        "queryText": "EmailAttachmentInfo\r\n| extend second = datetime_diff('second',now(),Timestamp)\r\n| where second % 300 == 0 ",
        "lastModifiedDateTime": "2022-11-03T19:27:14.4331537Z"
      },
      "schedule": {
        "period": "0",
        "nextRunDateTime": "2021-11-03T21:32:01.7863185Z"
      },
      "lastRunDetails": {
        "lastRunDateTime": "2021-11-03T21:32:01.7863185Z",
        "status": null,
        "failureReason": null,
        "errorCode": null
      },
      "detectionAction": {
        "alertTemplate": {
          "title": "EmailAttachmentInfo",
          "description": "EmailAttachmentInfo",
          "severity": "low",
          "category": "Exfiltration",
          "recommendedActions": "EmailAttachmentInfo",
          "mitreTechniques": [],
          "impactedAssets": [
            {
              "@odata.type": "#microsoft.graph.security.impactedMailboxAsset",
              "identifier": "recipientEmailAddress"
            },
            {
              "@odata.type": "#microsoft.graph.security.impactedUserAsset",
              "identifier": "recipientObjectId"
            }
          ]
        },
        "organizationalScope": null,
        "responseActions": [
          {
            "@odata.type": "#microsoft.graph.security.moveToDeletedItemsResponseAction",
            "identifier": "networkMessageId, recipientEmailAddress"
          }
        ]
      }
    },
    {
      "@odata.type": "#microsoft.graph.security.detectionRule",
      "id": "9794",
      "displayName": "UPDATED DET: Office/LoLBin Network Connection to Low-Reputation TLD",
      "isEnabled": true,
      "createdBy": "NaderK@winatptestlic06.ccsctp.net",
      "createdDateTime": "2022-02-02T10:26:01.7708581Z",
      "lastModifiedDateTime": "2022-02-02T10:26:01.7708581Z",
      "lastModifiedBy": "NaderK@winatptestlic06.ccsctp.net",
      "detectorId": "67aa92a1-b04b-4f2a-a223-236968a3da96",
      "queryCondition": {
        "queryText": "//https://www.spamhaus.org/statistics/tlds/      http://www.surbl.org/tld       https://www.iana.org/domains/root/db      https://unit42.paloaltonetworks.com/top-level-domains-cybercrime/\r\nDeviceNetworkEvents\r\n| where isnotempty(RemoteUrl) and RemoteIPType == \"Public\"\r\n| where InitiatingProcessFileName in~ (\"winword.exe\", \"excel.exe\", \"powerpnt.exe\", \"rundll32.exe\", \"regsvr32.exe\", \"certutil.exe\", \"bitsadmin.exe\", \"wscript.exe\", \"cscript.exe\", \"powershell.exe\", \"pwsh.exe\", \"powershell_ise.exe\")\r\n| extend TopLevelDomain=tolower(extract(@\"([A-Za-z0-9-]{1,63}\\.)+([A-Za-z]{2,10})\", 2, RemoteUrl))\r\n| where TopLevelDomain in (\"xyz\", \"top\", \"live\", \"loan\", \"club\", \"surf\", \"work\", \"biz\", \"ryukyu\", \"press\", \"ltd\", \"bid\", \"vip\", \"online\", \"download\" \"buzz\", \"cam\", \"ru\", \"cn\", \"ci\", \"ga\", \"gq\", \"tk\", \"tw\", \"ml\", \"cf\", \"cfd\", \"icu\", \"cm\")\r\n| extend TimeDiff=datetime_diff(\"Second\", Timestamp, InitiatingProcessCreationTime)\r\n| where TimeDiff < 30\r\n| project-reorder Timestamp, DeviceName, RemoteUrl, TopLevelDomain, TimeDiff, InitiatingProcessCommandLine, *\r\n//| summarize count() by InitiatingProcessFolderPath, TopLevelDomain, RemoteUrl",
        "lastModifiedDateTime": null
      },
      "schedule": {
        "period": "1H",
        "nextRunDateTime": "2023-06-25T10:17:06.4366667Z"
      },
      "lastRunDetails": {
        "lastRunDateTime": "2023-06-25T09:17:06.4366667Z",
        "status": null,
        "failureReason": null,
        "errorCode": null
      },
      "detectionAction": {
        "alertTemplate": {
          "title": "updated Office/LoLBin Network Connection to Low-Reputation TLD",
          "description": "This is a custom detection created by the Centene Detection Engineering team.\n\nAn Office application or Living-Off-The-Land Binary made an immediate remote connection to a domain with a low-reputation top level domain after execution. This activity is suspicious as threat actors typically use low-reputation TLDs for malicious purposes, such as hosting payloads for potential targets. These TLDs are often abused because of their low cost and lack of oversite. The TLDs included in the list cover destinations that have either a high count or a high percentage of low-reputation sites. ",
          "severity": "low",
          "category": "CommandAndControl",
          "recommendedActions": "Check the reputation of the RemoteUrl through OSINT tools such as VirusTotal and Hybrid Analysis.\n\nReview the document and device timeline for additional context and IOCs. \n\nCheck for related alerts on the associated endpoint. ",
          "mitreTechniques": ["T1071.001"],
          "impactedAssets": [
            {
              "@odata.type": "#microsoft.graph.security.impactedDeviceAsset",
              "identifier": "deviceId"
            }
          ]
        },
        "organizationalScope": {
          "scopeType": "deviceGroup",
          "scopeNames": ["UnassignedGroup"]
        },
        "responseActions": []
      }
    }
  ]
}

次の方法で共有

検出ルールを一覧表示する

アクセス許可

HTTP 要求

省略可能なクエリパラメーター

要求ヘッダー

要求本文

応答

例

要求

応答

フィードバック

フィードバック

その他のリソース

次の方法で共有

検出ルールを一覧表示する

アクセス許可

HTTP 要求

省略可能なクエリ パラメーター

要求ヘッダー

要求本文

応答

例

要求

応答

フィードバック

フィードバック

その他のリソース

省略可能なクエリパラメーター