Rozšířené proaktivní vyhledávání pomocí Pythonu

Platí pro:

• Microsoft Defender for Endpoint

Chcete vyzkoušet Defender pro Endpoint? Zaregistrujte se a získejte bezplatnou zkušební verzi,

Poznámka

Pokud jste zákazníkem státní správy USA, použijte identifikátory URI uvedené v Microsoft Defender for Endpoint pro zákazníky státní správy USA.

Tip

Pro lepší výkon můžete použít server blíže k vašemu geografickému umístění:

• us.api.security.microsoft.com
• eu.api.security.microsoft.com
• uk.api.security.microsoft.com
• au.api.security.microsoft.com
• swa.api.security.microsoft.com

Spouštění pokročilých dotazů pomocí Pythonu najdete v tématu Rozhraní API pro rozšířené proaktivní vyhledávání.

V této části sdílíme ukázky Pythonu pro načtení tokenu a jeho použití ke spuštění dotazu.

Předpoklad: Nejdřív musíte vytvořit aplikaci.

Získání tokenu

• Spusťte následující příkazy:

import json
import urllib.request
import urllib.parse

tenantId = '00000000-0000-0000-0000-000000000000' # Paste your own tenant ID here
appId = '11111111-1111-1111-1111-111111111111' # Paste your own app ID here
appSecret = '22222222-2222-2222-2222-222222222222' # Paste your own app secret here

url = "https://login.microsoftonline.com/%s/oauth2/token" % (tenantId)

resourceAppIdUri = 'https://api.securitycenter.microsoft.com'

body = {
    'resource' : resourceAppIdUri,
    'client_id' : appId,
    'client_secret' : appSecret,
    'grant_type' : 'client_credentials'
}

data = urllib.parse.urlencode(body).encode("utf-8")

req = urllib.request.Request(url, data)
response = urllib.request.urlopen(req)
jsonResponse = json.loads(response.read())
aadToken = jsonResponse["access_token"]

Kde

• tenantId: ID tenanta, jehož jménem chcete dotaz spustit (to znamená, že dotaz se spouští na datech tohoto tenanta).
• appId: ID aplikace Microsoft Entra (aplikace musí mít oprávnění ke spouštění pokročilých dotazů, aby Microsoft Defender for Endpoint)
• appSecret: Tajný kód aplikace Microsoft Entra

Spustit dotaz

Spusťte následující dotaz:

query = 'DeviceRegistryEvents | limit 10' # Paste your own query here

url = "https://api.securitycenter.microsoft.com/api/advancedqueries/run"
headers = { 
    'Content-Type' : 'application/json',
    'Accept' : 'application/json',
    'Authorization' : "Bearer " + aadToken
}

data = json.dumps({ 'Query' : query }).encode("utf-8")

req = urllib.request.Request(url, data, headers)
response = urllib.request.urlopen(req)
jsonResponse = json.loads(response.read())
schema = jsonResponse["Schema"]
results = jsonResponse["Results"]

• schéma obsahuje schéma výsledků dotazu.
• Výsledky obsahují výsledky dotazu.

Složité dotazy

Pokud chcete spouštět složité dotazy (nebo víceřádkové dotazy), uložte dotaz do souboru a místo prvního řádku ve výše uvedené ukázce spusťte následující příkaz:

queryFile = open("D:\\Temp\\myQuery.txt", 'r') # Replace with the path to your file
query = queryFile.read()
queryFile.close()

Práce s výsledky dotazu

Teď můžete použít výsledky dotazu.

K iteraci výsledků použijte následující příkaz:

for result in results:
    print(result) # Prints the whole result
    print(result["EventTime"]) # Prints only the property 'EventTime' from the result

K výstupu výsledků dotazu ve formátu CSV v souboru file1.csv použijte následující příkaz:

import csv

outputFile = open("D:\\Temp\\file1.csv", 'w')
output = csv.writer(outputFile)
output.writerow(results[0].keys())
for result in results:
    output.writerow(result.values())

outputFile.close()

K výstupu výsledků dotazu ve formátu JSON v souboru file1.json použijte následující příkaz:

outputFile = open("D:\\Temp\\file1.json", 'w')
json.dump(results, outputFile)
outputFile.close()

Související téma

• rozhraní API Microsoft Defender for Endpoint
• Rozhraní API pro pokročilé proaktivního vyhledávání
• Rozšířené proaktivní vyhledávání pomocí PowerShellu

Tip

Chcete se dozvědět více? Engage s komunitou Microsoft Security v naší technické komunitě: Microsoft Defender for Endpoint Tech Community.