Import analýzy hrozeb do Microsoft Sentinel pomocí rozhraní API pro nahrávání (Preview)

Platí pro: Microsoft Sentinel in the Azure portal

Import analýzy hrozeb pro použití v Microsoft Sentinel s rozhraním API pro nahrávání Ať už používáte platformu analýzy hrozeb nebo vlastní aplikaci, použijte tento dokument jako doplňkový odkaz na pokyny v tématu Připojení tipu k rozhraní API pro nahrávání. Instalace datového konektoru se pro připojení k rozhraní API nevyžaduje. Analýza hrozeb, kterou můžete importovat, zahrnuje indikátory ohrožení zabezpečení a další objekty domény STIX.

Důležité

Toto rozhraní API je aktuálně ve verzi PREVIEW. Dodatkové podmínky Azure Preview obsahují další právní podmínky, které se vztahují na Azure funkce, které jsou ve verzi beta, preview nebo jinak ještě nejsou obecně dostupné.

STIX (Structured Threat Information Expression) je jazyk pro vyjádření kybernetických hrozeb a pozorovatelných informací. Rozhraní API pro nahrávání zahrnuje rozšířenou podporu pro následující objekty domény:

Indikátor
vzor útoku
aktér hrozby
identita
relace

Další informace najdete v tématu Úvod do STIX.

Poznámka

Předchozí rozhraní API pro indikátory nahrávání je teď starší. Pokud potřebujete při přechodu na toto nové rozhraní API pro nahrávání odkazovat na toto rozhraní API, přečtěte si téma Starší rozhraní API pro indikátory nahrávání.

Volání rozhraní API

Volání rozhraní API pro nahrávání má pět komponent:

Identifikátor URI požadavku
Hlavička zprávy požadavku HTTP
Text zprávy požadavku HTTP
Volitelně zpracujte hlavičku zprávy odpovědi HTTP.
Volitelně zpracujte text zprávy odpovědi HTTP.

Registrace klientské aplikace v Microsoft Entra ID

Aby bylo možné ověřit Microsoft Sentinel, požadavek na rozhraní API pro nahrávání vyžaduje platný přístupový token Microsoft Entra. Další informace o registraci aplikace najdete v tématu Registrace aplikace pomocí Microsoft identity platform nebo si projděte základní kroky v části Připojení analýzy hrozeb pomocí rozhraní API pro nahrávání.

Toto rozhraní API vyžaduje, aby volající Microsoft Entra aplikaci byla udělena role přispěvatele Microsoft Sentinel na úrovni pracovního prostoru.

Vytvoření žádosti

Tato část se zabývá prvními třemi z pěti komponent popsaných výše. Nejprve je potřeba získat přístupový token z Microsoft Entra ID, který použijete k sestavení hlavičky zprávy požadavku.

Získání přístupového tokenu

Získejte přístupový token Microsoft Entra s ověřováním OAuth 2.0. V1.0 a V2.0 jsou platné tokeny přijímané rozhraním API.

Verze přijatého tokenu (v1.0 nebo v2.0) je určena accessTokenAcceptedVersion vlastností v manifestu aplikace rozhraní API, které vaše aplikace volá. Pokud accessTokenAcceptedVersion je nastavená hodnota 1, obdrží vaše aplikace token v1.0.

Pomocí knihovny Identity a ověřování Microsoftu (MSAL) získejte přístupový token verze 1.0 nebo v2.0. Pomocí přístupového tokenu vytvořte autorizační hlavičku, která obsahuje nosný token.

Například požadavek na rozhraní API pro nahrávání používá následující prvky k načtení přístupového tokenu a vytvoření autorizační hlavičky, která se použije v každém požadavku:

PŘÍSPĚVEK https://login.microsoftonline.com/{{tenantId}}/oauth2/v2.0/token

Hlavičky pro používání aplikace Microsoft Entra:

grant_type: "client_credentials"
client_id: {ID klienta aplikace Microsoft Entra}
client_secret nebo client_certificate: {tajné kódy aplikace Microsoft Entra}
Rozsah: "https://management.azure.com/.default"

Pokud accessTokenAcceptedVersion je v manifestu aplikace nastavená hodnota 1, vaše aplikace obdrží přístupový token verze 1.0, i když volá koncový bod tokenu v2.

Hodnota prostředku nebo oboru je cílová skupina tokenu. Toto rozhraní API přijímá pouze následující cílové skupiny:

https://management.core.windows.net/
https://management.core.windows.net
https://management.azure.com/
https://management.azure.com

Sestavení zprávy požadavku

Identifikátor URI požadavku

Správa verzí rozhraní API: api-version=2024-02-01-preview
Koncový bod: https://api.ti.sentinel.azure.com/workspaces/{workspaceId}/threat-intelligence-stix-objects:upload?api-version={apiVersion}
Metoda: POST

Hlavička požadavku

Authorization: Obsahuje nosný token OAuth2.
Content-Type: application/json

Text požadavku

Objekt JSON pro tělo obsahuje následující pole:

Název pole	Datový typ	Popis
`sourcesystem` (povinné)	řetězec	Identifikujte název zdrojového systému. Hodnota `Microsoft Sentinel` je omezena.
`stixobjects` (povinné)	pole	Pole objektů STIX ve formátu STIX 2.0 nebo 2.1

Vytvořte pole objektů STIX pomocí specifikace formátu STIX. Některé specifikace vlastností STIX jsou zde pro vaše pohodlí rozšířeny o odkazy na příslušné části dokumentu STIX. Všimněte si také, že některé vlastnosti, i když jsou platné pro STIX, nemají odpovídající vlastnosti schématu objektu v Microsoft Sentinel.

Upozornění

Pokud k připojení k rozhraní API pro nahrávání používáte aplikaci logiky Microsoft Sentinel, mějte na paměti, že jsou k dispozici tři akce analýzy hrozeb. Používejte pouze analýzu hrozeb – Nahrání objektů STIX (Preview). Další dvě selžou s tímto koncovým bodem a polem textu JSON.

Zpráva ukázkové žádosti

Tady je ukázková funkce PowerShellu, která používá certifikát podepsaný svým držitelem nahraný do registrace aplikace Entra k vygenerování přístupového tokenu a autorizační hlavičky:

function Test-UploadApi {
<#
.SYNOPSIS
    requires Powershell module MSAL.PS version 4.37 or higher
    https://www.powershellgallery.com/packages/MSAL.PS/
.EXAMPLE
    Test-Api -API UploadApi -WorkspaceName "workspacename" -ResourceGroupName "rgname" -AppId "00001111-aaaa-2222-bbbb-3333cccc4444" -TenantName "contoso.onmicrosoft.com" -FilePath "C:\Users\user\Documents\stixobjects.json"
#>
[CmdletBinding()]
param (
    [Parameter(Mandatory = $true)]
    [string]$TenantName,
    [Parameter(Mandatory = $true)]
    [string]$CertThumbprint,
    [Parameter(Mandatory = $true)]
    [string]$AppId,
    [Parameter(Mandatory = $true)]
    [string]$WorkspaceId,
    [Parameter(Mandatory = $true)]
    [string]$FilePath
)
$Scope = "https://management.azure.com/.default"
# Connection details for getting initial token with self-signed certificate from local store
$connectionDetails = @{
    'TenantId'          = $TenantName
    'ClientId'          = $AppId
    'ClientCertificate' = Get-Item -Path "Cert:\CurrentUser\My\$CertThumbprint"
    scope               = $Scope
}
# Request the token
#  Using Powershell module MSAL.PS https://www.powershellgallery.com/packages/MSAL.PS/
#  Get-MsalToken is automatically using OAuth 2.0 token endpoint https://login.microsoftonline.com/$TenantName/oauth2/v2.0/token
#  and sets auth flow to grant_type = 'client_credentials'
$token = Get-MsalToken @connectionDetails

# Create header
#  Again relying on MSAL.PS which has method CreateAuthorizationHeader() getting us the bearer token
$Header = @{
    'Authorization' = $token.CreateAuthorizationHeader()
}
$Uri = "https://api.ti.sentinel.azure.com/workspaces/$workspaceId/threat-intelligence-stix-objects:upload?api-version=$apiVersion"
$stixobjects = get-content -path $FilePath
if(-not $stixobjects) { Write-Host "No file found at $FilePath"; break }
$results = Invoke-RestMethod -Uri $Uri -Headers $Header -Body $stixobjects -Method POST -ContentType "application/json"

$results | ConvertTo-Json -Depth 4
}

Společné vlastnosti

Všechny objekty, které importujete pomocí rozhraní API pro nahrávání, sdílejí tyto společné vlastnosti.

Název vlastnosti	Typ	Popis
`id` (povinné)	řetězec	ID sloužící k identifikaci objektu STIX. V části 2.9 najdete specifikace týkající se vytvoření .`id` Formát vypadá přibližně takto: `indicator--<UUID>`
`spec_version` (volitelné)	řetězec	Verze objektu STIX. Tato hodnota je vyžadována ve specifikaci STIX, ale protože toto rozhraní API podporuje pouze STIX 2.0 a 2.1, pokud toto pole není nastavené, rozhraní API ve výchozím nastavení `2.0`
`type` (povinné)	řetězec	Hodnota této vlastnosti musí být podporovaný objekt STIX.
`created` (povinné)	časové razítko	Specifikace této společné vlastnosti najdete v oddílu 3.2 .
`created_by_ref` (volitelné)	řetězec	Vlastnost created_by_ref určuje vlastnost ID entity, která vytvořila tento objekt. Pokud je tento atribut vynechán, zdroj těchto informací není definován. Tvůrci objektů, kteří chtějí zůstat anonymní, nechte tuto hodnotu nedefinovanou.
`modified` (povinné)	časové razítko	Specifikace této společné vlastnosti najdete v oddílu 3.2 .
`revoked` (volitelné)	Boolean	Odvolané objekty už tvůrce objektu nepovažuje za platné. Odvolání objektu je trvalé; budoucí verze objektu s tímto `id`nesmí být vytvořeny. Výchozí hodnota této vlastnosti je false.
`labels` (volitelné)	seznam řetězců	Vlastnost `labels` určuje sadu termínů používaných k popisu tohoto objektu. Termíny jsou definované uživatelem nebo skupina důvěryhodnosti. Tyto popisky se v Microsoft Sentinel zobrazují jako značky.
`confidence` (volitelné)	integer	Vlastnost `confidence` identifikuje důvěru, kterou má tvůrce ve správnosti svých dat. Hodnota spolehlivosti musí být číslo v rozsahu 0–100. Příloha A obsahuje tabulku normativních mapování na jiná měřítka spolehlivosti, která se musí použít při prezentaci hodnoty spolehlivosti v jedné z těchto škál. Pokud vlastnost confidence není k dispozici, pak se neurčí spolehlivost obsahu.
`lang` (volitelné)	řetězec	Vlastnost `lang` identifikuje jazyk textového obsahu v tomto objektu. Pokud je k dispozici, musí být kód jazyka vyhovující RFC5646. Pokud vlastnost neexistuje, jazykem obsahu je `en` (angličtina). Tato vlastnost by měla být k dispozici, pokud typ objektu obsahuje přeložitelné textové vlastnosti (například název, popis). Jazyk jednotlivých polí v tomto objektu může přepsat vlastnost v podrobném `lang` označení (viz oddíl 7.2.3).
`object_marking_refs` (volitelné, včetně TLP)	seznam řetězců	Vlastnost `object_marking_refs` určuje seznam vlastností ID objektů definice označení, které se vztahují k tomuto objektu. K určení citlivosti zdroje indikátoru použijte například ID definice označení TLP (Traffic Light Protocol). Podrobnosti o tom, jaká ID definic označení se mají použít pro obsah TLP, najdete v oddílu 7.2.1.4. V některých případech, i když neobvyklé, můžou být samotné definice označení označené pokyny ke sdílení nebo zpracování. V tomto případě nesmí tato vlastnost obsahovat žádné odkazy na stejný objekt Definice označení (to znamená, že nesmí obsahovat žádné cyklické odkazy). Další definici označení údajů najdete v oddílu 7.2.2 .
`external_references` (volitelné)	seznam objektů	Vlastnost `external_references` určuje seznam externích odkazů, které odkazují na jiné informace než STIX. Tato vlastnost slouží k poskytování jedné nebo více adres URL, popisů nebo ID záznamům v jiných systémech.
`granular_markings` (volitelné)	seznam podrobných označení	Vlastnost `granular_markings` pomáhá definovat části ukazatele odlišně. Například jazyk ukazatele je angličtina, `en` ale popis je němčina, `de`. V některých případech, i když neobvyklé, můžou být samotné definice označení označené pokyny ke sdílení nebo zpracování. V tomto případě nesmí tato vlastnost obsahovat žádné odkazy na stejný objekt Definice označení (to znamená, že nesmí obsahovat žádné cyklické odkazy). Další definici označení údajů najdete v oddílu 7.2.3 .

Další informace najdete v tématu Společné vlastnosti STIX.

Indikátor

Název vlastnosti	Typ	Popis
`name` (volitelné)	řetězec	Název sloužící k identifikaci indikátoru. Producenti by měli tuto vlastnost poskytnout, aby pomohli produktům a analytikům pochopit, co tento ukazatel skutečně dělá.
`description` (volitelné)	řetězec	Popis, který poskytuje další podrobnosti a kontext o indikátoru, případně včetně jeho účelu a jeho klíčových charakteristik. Producenti by měli tuto vlastnost poskytnout, aby pomohli produktům a analytikům pochopit, co tento ukazatel skutečně dělá.
`indicator_types` (volitelné)	seznam řetězců	Sada kategorizací pro tento ukazatel. Hodnoty této vlastnosti by měly pocházet z parametru indicator-type-ov.
`pattern` (povinné)	řetězec	Vzor detekce pro tento indikátor může být vyjádřen jako vzorování STIX nebo jiný vhodný jazyk, jako je SNORT, YARA atd.
`pattern_type` (povinné)	řetězec	Jazyk vzorů použitý v tomto indikátoru. Hodnota této vlastnosti by měla pocházet z typů vzorů. Hodnota této vlastnosti se musí shodovat s typem vzorových dat zahrnutých ve vlastnosti vzor.
`pattern_version` (volitelné)	řetězec	Verze jazyka vzoru použitého pro data ve vlastnosti pattern, která musí odpovídat typu dat vzoru zahrnutých ve vlastnosti pattern. Pro vzory, které nemají formální specifikaci, by se mělo použít sestavení nebo verze kódu, se kterými je známo, že vzor funguje. Pro jazyk vzoru STIX určuje verze specifikace objektu výchozí hodnotu. U jiných jazyků by výchozí hodnotou měla být nejnovější verze jazyka vzorování v době vytvoření tohoto objektu.
`valid_from` (povinné)	časové razítko	Čas, od kterého se tento indikátor považuje za platný ukazatel chování, se kterým souvisí nebo představuje.
`valid_until` (volitelné)	časové razítko	Čas, kdy by se tento indikátor již neměl považovat za platný ukazatel chování, se kterým souvisí nebo které představuje. Pokud je vlastnost valid_until vynechána, neexistuje žádné omezení pro poslední čas, pro který je indikátor platný. Toto časové razítko musí být větší než časové razítko valid_from.
`kill_chain_phases` (volitelné)	seznam řetězců	Fáze řetězce ukončení, kterým tento indikátor odpovídá. Hodnota této vlastnosti by měla pocházet z fáze kill chain.

Další informace najdete v tématu Indikátor STIX.

Vzor útoku

Postupujte podle specifikací STIX pro vytvoření objektu STIX vzoru útoku. Tento příklad použijte jako další odkaz.

Další informace najdete v tématu Vzor útoku STIX.

Identita

Postupujte podle specifikací STIX pro vytvoření objektu STIX identity. Tento příklad použijte jako další odkaz.

Další informace najdete v tématu Identita STIX.

Aktér hrozeb

Postupujte podle specifikací STIX pro vytvoření objektu STIX aktéra hrozby. Tento příklad použijte jako další odkaz.

Další informace najdete v tématu Aktér hrozby STIX.

Vztah

Postupujte podle specifikací STIX pro vytvoření objektu STIX relace. Tento příklad použijte jako další odkaz.

Další informace najdete v tématu Relace STIX.

Zpracování zprávy odpovědi

Hlavička odpovědi obsahuje stavový kód HTTP. Další informace o tom, jak interpretovat výsledek volání rozhraní API, najdete v této tabulce.

Stavový kód	Popis
200	Úspěch. Pokud se jeden nebo více objektů STIX úspěšně ověří a publikuje, vrátí rozhraní API hodnotu 200.
400	Chybný formát. Něco v požadavku není správně naformátované.
401	Neoprávněným.
404	Soubor nebyl nalezen. K této chybě obvykle dochází, když se nenajde ID pracovního prostoru.
429	Byl překročen maximální počet požadavků za minutu.
500	Chyba serveru. Obvykle se jedná o chybu v rozhraní API nebo Microsoft Sentinel službách.

Text odpovědi je pole chybových zpráv ve formátu JSON:

Název pole	Datový typ	Popis
Chyby	Pole chybových objektů	Seznam chyb ověřování

Objekt Error

Název pole	Datový typ	Popis
recordIndex	Int	Index objektů STIX v požadavku
errorMessages	Pole řetězců	Chybové zprávy

Omezení omezení pro rozhraní API

Na uživatele se použijí všechna omezení:

100 objektů na požadavek.
100 požadavků za minutu.

Pokud existuje více požadavků, než je limit, v hlavičce odpovědi se vrátí stavový 429 kód HTTP s následujícím textem odpovědi:

{
    "statusCode": 429,
    "message": "Rate limit is exceeded. Try again in <number of seconds> seconds."
}

Přibližně 10 000 objektů za minutu představuje maximální propustnost před tím, než dojde k chybě omezování.

Text požadavku ukázkového indikátoru

Následující příklad ukazuje, jak reprezentovat dva indikátory ve specifikaci STIX. Test Indicator 2 Zvýrazní protokol TLP (Traffic Light Protocol) nastavený na bílou s namapovaným označením objektu a objasňuje, že jeho popis a popisky jsou v angličtině.

{
    "sourcesystem": "test", 
    "stixobjects":[
        {
            "type": "indicator",
            "spec_version": "2.1",
            "id": "indicator--10000003-71a2-445c-ab86-927291df48f8", 
            "name": "Test Indicator 1",
            "created": "2010-02-26T18:29:07.778Z", 
            "modified": "2011-02-26T18:29:07.778Z",
            "pattern": "[ipv4-addr:value = '172.29.6.7']", 
            "pattern_type": "stix",
            "valid_from": "2015-02-26T18:29:07.778Z"
        },
        {
            "type": "indicator",
            "spec_version": "2.1",
            "id": "indicator--67e62408-e3de-4783-9480-f595d4fdae52", 
            "created": "2023-01-01T18:29:07.778Z",
            "modified": "2025-02-26T18:29:07.778Z",
            "created_by_ref": "identity--19f33886-d196-468e-a14d-f37ff0658ba7", 
            "revoked": false,
            "labels": [
                "label 1",
                "label 2"
            ],
            "confidence": 55, 
            "lang": "en", 
            "external_references": [
                {
                    "source_name": "External Test Source", 
                    "description": "Test Report",
                    "external_id": "e8085f3f-f2b8-4156-a86d-0918c98c498f", 
                    "url": "https://fabrikam.com//testreport.json",
                    "hashes": {
                        "SHA-256": "6db12788c37247f2316052e142f42f4b259d6561751e5f401a1ae2a6df9c674b"
                    }
                }
            ],
            "object_marking_refs": [
                "marking-definition--613f2e26-407d-48c7-9eca-b8e91df99dc9"
            ],
            "granular_markings": [
                {
                    "marking_ref": "marking-definition--beb3ec79-03aa-4594-ad24-09982d399b80", 
                    "selectors": [ "description", "labels" ],
                    "lang": "en"
                }
            ],
            "name": "Test Indicator 2",
            "description": "This is a test indicator to demo valid fields", 
            "indicator_types": [
                "threatstream-severity-low", "threatstream-confidence-80"
            ],
            "pattern": "[ipv4-addr:value = '192.168.1.1']", 
            "pattern_type": "stix",
            "pattern_version": "2.1",
            "valid_from": "2023-01-01T18:29:07.778Z", 
            "valid_until": "2025-02-26T18:29:07.778Z",
            "kill_chain_phases": [
                {
                    "kill_chain_name": "lockheed-martin-cyber-kill-chain", 
                    "phase_name": "reconnaissance"
                }
            ]
        }
    ]
}

Text ukázkové odpovědi s chybou ověření

Pokud jsou všechny objekty STIX úspěšně ověřeny, vrátí se stav HTTP 200 s prázdným textem odpovědi.

Pokud se ověření jednoho nebo více objektů nezdaří, vrátí se text odpovědi s dalšími informacemi. Pokud například odešlete pole se čtyřmi indikátory a první tři jsou dobré, ale čtvrtý pole neobsahuje id (povinné pole), vygeneruje se spolu s následujícím textem odpověď se stavovým kódem HTTP 200:

{
    "errors": [
        {
            "recordIndex":3, 
            "errorMessages": [
                "Error for Property=id: Required property is missing. Actual value: NULL."
            ]
        }
    ]
}

Objekty se odesílají jako pole, takže začíná recordIndex na 0.

Další ukázky

Ukázkový indikátor

V tomto příkladu je indikátor označen zelenou TLP pomocí ve marking-definition--089a6ecb-cc15-43cc-9494-767639779123object_marking_refs společné vlastnosti. K dispozici jsou také další atributy rozšíření a toxicityrank . I když tyto vlastnosti nejsou ve schématu Microsoft Sentinel indikátorů, ingestování objektu s těmito vlastnostmi neaktivuje chybu. Na vlastnosti se jednoduše v pracovním prostoru neodkazuje ani neindexuje.

Poznámka

Tento indikátor má vlastnost nastavenou revoked na $true a jeho valid_until datum je v minulosti. Tento indikátor nefunguje v analytických pravidlech a nevrací se v dotazech, pokud není zadaný odpovídající časový rozsah.

{
    "sourcesystem": "TestStixObjects",
    "stixobjects": [
    {
          "type": "indicator",
          "spec_version": "2.1",
          "id": "indicator--12345678-71a2-445c-ab86-927291df48f8",
          "created": "2010-02-26T18:29:07.778Z",
          "modified": "2011-02-26T18:29:07.778Z",
          "created_by_ref": "identity--f431f809-377b-45e0-aa1c-6a4751cae5ff",
          "revoked": true,
          "labels": [
            "heartbleed",
            "has-logo"
          ],
          "confidence": 55,
          "lang": "en",
          "external_references": [
            {
              "source_name": "veris",
              "description": "Threat report",
              "external_id": "0001AA7F-C601-424A-B2B8-BE6C9F5164E7",
              "url": "https://abc.com//example.json",
              "hashes": {
                "SHA-256": "6db12788c37247f2316052e142f42f4b259d6561751e5f401a1ae2a6df9c674b"
              }
            }
          ],
          "object_marking_refs": [
            "marking-definition--34098fce-860f-48ae-8e50-ebd3cc5e41da"
          ],
          "granular_markings": [
            {
              "marking_ref": "marking-definition--089a6ecb-cc15-43cc-9494-767639779123",
              "selectors": [
                "description",
                "labels"
              ],
              "lang": "en"
            }
          ],
          "extensions": {
            "extension-definition--d83fce45-ef58-4c6c-a3f4-1fbc32e98c6e": {
              "extension_type": "property-extension",
              "rank": 5,
              "toxicity": 8
            }
          },
          "name": "Indicator 2.1 Test",
          "description": "TS ID: 35766958; iType: bot_ip; State: active; Org: 52.3667; Source: Emerging Threats - Compromised",
          "indicator_types": [
            "threatstream-severity-low",
            "threatstream-confidence-80"
          ],
          "pattern": "[ipv4-addr:value = '94.102.52.185']",
          "pattern_type": "stix",
          "pattern_version": "2.1",
          "valid_from": "2015-02-26T18:29:07.778Z",
          "valid_until": "2016-02-26T18:29:07.778Z",
          "kill_chain_phases": [
            {
              "kill_chain_name": "lockheed-martin-cyber-kill-chain",
              "phase_name": "reconnaissance"
            }
          ]
        }
    ]
}

Ukázkový vzor útoku

Tento vzor útoku a všechny ostatní objekty STIX, které nejsou indikátory, jsou v rozhraní pro správu zobrazeny pouze v případě, že se přihlásíte k novým tabulkám STIX. Další informace o tabulkách potřebných k zobrazení objektů podobných tomuto v KQL najdete v tématu Zobrazení analýzy hrozeb.

{
    "sourcesystem": "TestStixObjects",
    "stixobjects": [
        {
          "type": "attack-pattern",
          "spec_version": "2.1",
          "id": "attack-pattern--fb6aa549-c94a-4e45-b4fd-7e32602dad85",
          "created": "2015-05-15T09:12:16.432Z",
          "modified": "2015-05-20T09:12:16.432Z",
          "created_by_ref": "identity--f431f809-377b-45e0-aa1c-6a4751cae5ff",
          "revoked": false,
          "labels": [
            "heartbleed",
            "has-logo"
          ],
          "confidence": 55,
          "lang": "en",
          "object_marking_refs": [
            "marking-definition--34098fce-860f-48ae-8e50-ebd3cc5e41da"
          ],
          "granular_markings": [
            {
              "marking_ref": "marking-definition--089a6ecb-cc15-43cc-9494-767639779123",
              "selectors": [
                "description",
                "labels"
              ],
              "lang": "en"
            }
          ],
          "extensions": {
            "extension-definition--d83fce45-ef58-4c6c-a3f4-1fbc32e98c6e": {
              "extension_type": "property-extension",
              "rank": 5,
              "toxicity": 8
            }
          },
          "external_references": [
            {
              "source_name": "capec",
              "description": "spear phishing",
              "external_id": "CAPEC-163"
            }
          ],
          "name": "Attack Pattern 2.1",
          "description": "menuPass appears to favor spear phishing to deliver payloads to the intended targets. While the attackers behind menuPass have used other RATs in their campaign, it appears that they use PIVY as their primary persistence mechanism.",
          "kill_chain_phases": [
            {
              "kill_chain_name": "mandiant-attack-lifecycle-model",
              "phase_name": "initial-compromise"
            }
          ],
          "aliases": [
            "alias_1",
            "alias_2"
          ]
        }
    ]
}

Ukázkový vztah s objektem actor hrozby a identitou

{
    "sourcesystem": "TestStixObjects",
    "stixobjects": [
    {
          "type": "identity",
          "spec_version": "2.1",
          "id": "identity--733c5838-34d9-4fbf-949c-62aba761184c",
          "created": "2016-08-23T18:05:49.307Z",
          "modified": "2016-08-23T18:05:49.307Z",
          "name": "Identity 2.1",
          "description": "Disco Team is the name of an organized threat actor crime-syndicate.",
          "identity_class": "organization",
          "contact_information": "disco-team@stealthemail.com",
          "roles": [
            "administrators"
          ],
          "sectors": [
            "education"
          ],
          "created_by_ref": "identity--f431f809-377b-45e0-aa1c-6a4751cae5ff",
          "revoked": true,
          "labels": [
            "heartbleed",
            "has-logo"
          ],
          "confidence": 55,
          "lang": "en",
          "external_references": [
            {
              "source_name": "veris",
              "description": "Threat report",
              "external_id": "0001AA7F-C601-424A-B2B8-BE6C9F5164E7",
              "url": "https://abc.com//example.json",
              "hashes": {
                "SHA-256": "6db12788c37247f2316052e142f42f4b259d6561751e5f401a1ae2a6df9c674b"
              }
            }
          ],
          "object_marking_refs": [
            "marking-definition--34098fce-860f-48ae-8e50-ebd3cc5e41da"
          ],
          "granular_markings": [
            {
              "marking_ref": "marking-definition--089a6ecb-cc15-43cc-9494-767639779123",
              "selectors": [
                "description",
                "labels"
              ],
              "lang": "en"
            }
          ]
        },
        {
          "type": "threat-actor",
          "spec_version": "2.1",
          "id": "threat-actor--dfaa8d77-07e2-4e28-b2c8-92e9f7b04428",
          "created": "2014-11-19T23:39:03.893Z",
          "modified": "2014-11-19T23:39:03.893Z",
          "created_by_ref": "identity--f431f809-377b-45e0-aa1c-6a4751cae5ff",
          "revoked": true,
          "labels": [
            "heartbleed",
            "has-logo"
          ],
          "confidence": 55,
          "lang": "en",
          "external_references": [
            {
              "source_name": "veris",
              "description": "Threat report",
              "external_id": "0001AA7F-C601-424A-B2B8-BE6C9F5164E7",
              "url": "https://abc.com//example.json",
              "hashes": {
                "SHA-256": "6db12788c37247f2316052e142f42f4b259d6561751e5f401a1ae2a6df9c674b"
              }
            }
          ],
          "object_marking_refs": [
            "marking-definition--34098fce-860f-48ae-8e50-ebd3cc5e41da"
          ],
          "granular_markings": [
            {
              "marking_ref": "marking-definition--089a6ecb-cc15-43cc-9494-767639779123",
              "selectors": [
                "description",
                "labels"
              ],
              "lang": "en"
            }
          ],
          "name": "Threat Actor 2.1",
          "description": "This organized threat actor group operates to create profit from all types of crime.",
          "threat_actor_types": [
            "crime-syndicate"
          ],
          "aliases": [
            "Equipo del Discoteca"
          ],
          "first_seen": "2014-01-19T23:39:03.893Z",
          "last_seen": "2014-11-19T23:39:03.893Z",
          "roles": [
            "agent"
          ],
          "goals": [
            "Steal Credit Card Information"
          ],
          "sophistication": "expert",
          "resource_level": "organization",
          "primary_motivation": "personal-gain",
          "secondary_motivations": [
            "dominance"
          ],
          "personal_motivations": [
            "revenge"
          ]
        },
        {
          "type": "relationship",
          "spec_version": "2.1",
          "id": "relationship--a2e3efb5-351d-4d46-97a0-6897ee7c77a0",
          "created": "2020-02-29T18:01:28.577Z",
          "modified": "2020-02-29T18:01:28.577Z",
          "relationship_type": "attributed-to",
          "description": "Description Relationship 2.1",
          "source_ref": "threat-actor--dfaa8d77-07e2-4e28-b2c8-92e9f7b04428",
          "target_ref": "identity--733c5838-34d9-4fbf-949c-62aba761184c",
          "start_time": "2020-02-29T18:01:28.577Z",
          "stop_time": "2020-03-01T18:01:28.577Z",
          "created_by_ref": "identity--f431f809-377b-45e0-aa1c-6a4751cae5ff",
          "revoked": true,
          "labels": [
            "heartbleed",
            "has-logo"
          ],
          "confidence": 55,
          "lang": "en",
          "external_references": [
            {
              "source_name": "veris",
              "description": "Threat report",
              "external_id": "0001AA7F-C601-424A-B2B8-BE6C9F5164E7",
              "url": "https://abc.com//example.json",
              "hashes": {
                "SHA-256": "6db12788c37247f2316052e142f42f4b259d6561751e5f401a1ae2a6df9c674b"
              }
            }
          ],
          "object_marking_refs": [
            "marking-definition--34098fce-860f-48ae-8e50-ebd3cc5e41da"
          ],
          "granular_markings": [
            {
              "marking_ref": "marking-definition--089a6ecb-cc15-43cc-9494-767639779123",
              "selectors": [
                "description",
                "labels"
              ],
              "lang": "en"
            }
          ]
        }
    ]
}

Další kroky

Další informace o tom, jak pracovat s analýzou hrozeb v Microsoft Sentinel, najdete v následujících článcích:

Vysvětlení analýzy hrozeb
Práce s indikátory hrozeb
Použití odpovídajících analýz k detekci hrozeb
Využijte informační kanál inteligentních informací od Microsoftu a povolte datový konektor MDTI.

Váš názor

Byla tato stránka užitečná?

Last updated on 2026-04-23

Import analýzy hrozeb do Microsoft Sentinel pomocí rozhraní API pro nahrávání (Preview)

Volání rozhraní API

Registrace klientské aplikace v Microsoft Entra ID

Vytvoření žádosti

Získání přístupového tokenu

Sestavení zprávy požadavku

Identifikátor URI požadavku

Hlavička požadavku

Text požadavku

Zpráva ukázkové žádosti

Společné vlastnosti

Indikátor

Vzor útoku

Identita

Aktér hrozeb

Vztah

Zpracování zprávy odpovědi

Omezení omezení pro rozhraní API

Text požadavku ukázkového indikátoru

Text ukázkové odpovědi s chybou ověření

Další ukázky

Ukázkový indikátor

Ukázkový vzor útoku

Ukázkový vztah s objektem actor hrozby a identitou

Další kroky

Váš názor

Další materiály