Microsoft Defender for Endpoint rozhraní API pomocí PowerShellu

  • Článek
  • 2 min ke čtení

Platí pro:

Důležité

Rozšířené možnosti proaktivního vyhledávání nejsou součástí Defenderu pro firmy. Viz Porovnání Microsoft Defender pro firmy s Microsoft Defender for Endpoint plány 1 a 2.

Chcete vyzkoušet Defender pro Endpoint? Zaregistrujte se a získejte bezplatnou zkušební verzi,

Poznámka

Pokud jste zákazníkem státní správy USA, použijte identifikátory URI uvedené v Microsoft Defender for Endpoint pro zákazníky státní správy USA.

Tip

Pro lepší výkon můžete použít server blíže k vašemu geografickému umístění:

  • api-us.securitycenter.microsoft.com
  • api-eu.securitycenter.microsoft.com
  • api-uk.securitycenter.microsoft.com

Chcete vyzkoušet Defender pro Endpoint? Zaregistrujte se a získejte bezplatnou zkušební verzi,

Úplný scénář s využitím více rozhraní API z Microsoft Defender for Endpoint

V této části sdílíme ukázky PowerShellu do

  • Načtení tokenu
  • Použití tokenu k načtení nejnovějších výstrah v Microsoft Defender for Endpoint
  • Pokud má upozornění střední nebo vysokou prioritu a stále probíhá, zkontrolujte, kolikrát se zařízení připojilo k podezřelé adrese URL.

Předpoklad: Nejdřív musíte vytvořit aplikaci.

Pokyny k přípravě

  • Otevřete okno PowerShellu.
  • Pokud vaše zásady neumožňují spouštět příkazy PowerShellu, můžete spustit následující příkaz:
    Set-ExecutionPolicy -ExecutionPolicy Bypass

Další informace najdete v dokumentaci k PowerShellu.

Získání tokenu

Spusťte následující příkaz:

  • $tenantId: ID tenanta, jehož jménem chcete dotaz spustit (tj. dotaz se spustí na datech tohoto tenanta)

  • $appId: ID vaší aplikace AAD (aplikace musí mít oprávnění Ke spouštění pokročilých dotazů pro Defender for Endpoint)

  • $appSecret: Tajný kód aplikace Azure AD

  • $suspiciousUrl: Adresa URL

$tenantId = '00000000-0000-0000-0000-000000000000' # Paste your own tenant ID here
$appId = '11111111-1111-1111-1111-111111111111' # Paste your own app ID here
$appSecret = '22222222-2222-2222-2222-222222222222' # Paste your own app secret here
$suspiciousUrl = 'www.suspiciousUrl.com' # Paste your own URL here

$resourceAppIdUri = 'https://securitycenter.onmicrosoft.com/windowsatpservice'
$oAuthUri = "https://login.microsoftonline.com/$TenantId/oauth2/token"
$authBody = [Ordered] @{
    resource = "$resourceAppIdUri"
    client_id = "$appId"
    client_secret = "$appSecret"
    grant_type = 'client_credentials'
}
$authResponse = Invoke-RestMethod -Method Post -Uri $oAuthUri -Body $authBody -ErrorAction Stop
$aadToken = $authResponse.access_token


#Get latest alert
$alertUrl = "https://api.securitycenter.microsoft.com/api/alerts?`$top=10"
$headers = @{ 
    'Content-Type' = 'application/json'
    Accept = 'application/json'
    Authorization = "Bearer $aadToken" 
}
$alertResponse = Invoke-WebRequest -Method Get -Uri $alertUrl -Headers $headers -ErrorAction Stop
$alerts =  ($alertResponse | ConvertFrom-Json).value

$machinesToInvestigate = New-Object System.Collections.ArrayList

Foreach($alert in $alerts)
{
    #echo $alert.id $alert.machineId    $alert.severity $alert.status

    $isSevereAlert = $alert.severity -in 'Medium', 'High'
    $isOpenAlert = $alert.status -in 'InProgress', 'New'
    if($isOpenAlert -and $isSevereAlert)
    {
        if (-not $machinesToInvestigate.Contains($alert.machineId))
        {
            $machinesToInvestigate.Add($alert.machineId) > $null
        }
    }
}

$commaSeparatedMachines = '"{0}"' -f ($machinesToInvestigate -join '","')

$query = "NetworkCommunicationEvents
| where MachineId in ($commaSeparatedMachines)
| where RemoteUrl  == `"$suspiciousUrl`"
| summarize ConnectionsCount = count() by MachineId"

$queryUrl = "https://api.securitycenter.microsoft.com/api/advancedqueries/run"

$queryBody = ConvertTo-Json -InputObject @{ 'Query' = $query }
$queryResponse = Invoke-WebRequest -Method Post -Uri $queryUrl -Headers $headers -Body $queryBody -ErrorAction Stop
$response =  ($queryResponse | ConvertFrom-Json).Results
$response

Viz také