批量更新警报

适用于：

• Microsoft Defender for Endpoint 计划 1
• Microsoft Defender for Endpoint

希望体验 Microsoft Defender for Endpoint？ 注册免费试用版。

注意

如果你是美国政府客户，请使用美国政府客户Microsoft Defender for Endpoint中列出的 URI。

提示

为了提高性能，可以使用离地理位置更近的服务器：

• us.api.security.microsoft.com
• eu.api.security.microsoft.com
• uk.api.security.microsoft.com
• au.api.security.microsoft.com
• swa.api.security.microsoft.com

API 说明

汇报一批现有警报的属性。

无论是否更新属性，都可以提交 注释 。

可更新的属性包括：status、 determinationclassification 和 assignedTo。

限制

1. 可以更新 API 中可用的警报。 有关详细信息，请参阅 列出警报。
2. 此 API 的速率限制是每分钟 10 个调用和每小时 500 个调用。

权限

要调用此 API，需要以下权限之一。 若要了解详细信息（包括如何选择权限），请参阅使用Microsoft Defender for Endpoint API

权限类型	权限	权限显示名称
应用程序	Alert.ReadWrite.All	“读取和写入所有警报”
委派（工作或学校帐户）	Alert.ReadWrite	“读取和写入警报”

注意

使用用户凭据获取令牌时：

• 用户至少需要具有以下角色权限：“警报调查”。 有关详细信息，请参阅Create和管理角色。
• 用户需要有权访问与警报关联的设备，具体取决于设备组设置。 有关详细信息，请参阅Create和管理设备组。

Defender for Endpoint 计划 1 和计划 2 支持创建设备组。

HTTP 请求

POST /api/alerts/batchUpdate

请求标头

名称	类型	说明
Authorization	String	持有者 {token}。 必需。
Content-Type	String	application/json. 必需。

请求正文

在请求正文中，提供要更新的警报的 ID 以及要针对这些警报更新的相关字段的值。

请求正文中未包含的现有属性将保留其以前的值，或者根据对其他属性值的更改重新计算。

为了实现最佳性能，不得添加未变化的现有值。

属性	类型	说明
alertIds	列表<字符串>	要更新的警报的 ID 列表。 必需
status	String	指定指定警报的更新状态。 属性值为：“New”、“InProgress”和“Resolved”。
assignedTo	String	指定警报的所有者
classification	字符串	指定指定警报的规范。 属性值为： TruePositive、 Informational, expected activity和 FalsePositive。
测定	String	指定指定警报的确定。 每个分类的可能确定值为： 真正： Multistage attack (MultiStagedAttack) 、 Malicious user activity (MaliciousUserActivity) 、 Compromised account (CompromisedUser) – 考虑相应地更改公共 api 中的枚举名称、 Malware (恶意软件) 、 Phishing (钓鱼) 、 Unwanted software (不需要的Software) 和其他 Other () 。 信息性预期活动：Security test (SecurityTesting) 、 Line-of-business application (LineOfBusinessApplication) 、 Confirmed activity (ConfirmedUserActivity) - 考虑相应地更改公共 api 中的枚举名称，并 Other (其他) 。 误报：Not malicious (清理) - 考虑相应地更改公共 api 中的枚举名称， Not enough data to validate (InsufficientData) ，并 Other (其他) 。
注释	String	要添加到指定警报的注释。

注意

在 2022 年 8 月 29 日左右，以前支持的警报确定值 (“Apt”和“SecurityPersonnel”) 将弃用，不再通过 API 提供。

响应

如果成功，此方法返回 200 正常，响应正文为空。

示例

请求

下面是请求的示例。

POST https://api.securitycenter.microsoft.com/api/alerts/batchUpdate

{
    "alertIds": ["da637399794050273582_760707377", "da637399989469816469_51697947354"],
    "status": "Resolved",
    "assignedTo": "secop2@contoso.com",
    "classification": "FalsePositive",
    "determination": "Malware",
    "comment": "Resolve my alert and assign to secop2"
}

提示

想要了解更多信息？ Engage技术社区中的 Microsoft 安全社区：Microsoft Defender for Endpoint技术社区。