Erweiterte Bedrohungssuche-API

  • Artikel

Gilt für:

  • .. /microsoft-defender-endpoint.md

Warnung

Diese erweiterte Hunting-API ist eine ältere Version mit eingeschränkten Funktionen. Eine umfassendere Version der API für die erweiterte Suche, die weitere Tabellen abfragen kann, ist bereits in der Microsoft Graph-Sicherheits-API verfügbar. Weitere Informationen finden Sie unter Erweiterte Suche mithilfe der Microsoft Graph-Sicherheits-API.

Möchten Sie Microsoft Defender für Endpunkt ausprobieren? Registrieren Sie sich für eine kostenlose Testversion.

Hinweis

Wenn Sie ein US Government-Kunde sind, verwenden Sie bitte die URIs, die in Microsoft Defender for Endpoint für US Government-Kunden aufgeführt sind.

Tipp

Um die Leistung zu verbessern, können Sie den Server näher an Ihrem geografischen Standort verwenden:

  • api-us.securitycenter.microsoft.com
  • api-eu.securitycenter.microsoft.com
  • api-uk.securitycenter.microsoft.com
  • api-au.securitycenter.microsoft.com

Begrenzungen

  1. Sie können eine Abfrage nur für Daten der letzten 30 Tage ausführen.

  2. Die Ergebnisse umfassen maximal 100.000 Zeilen.

  3. Die Anzahl der Ausführungen ist pro Mandant begrenzt:

    • API-Aufrufe: Bis zu 45 Aufrufe pro Minute und bis zu 1.500 Aufrufe pro Stunde.
    • Ausführungszeit: 10 Minuten Laufzeit pro Stunde und 3 Stunden Laufzeit pro Tag.

  4. Die maximale Ausführungszeit einer einzelnen Anforderung beträgt 200 Sekunden.

  5. 429 response stellt das Erreichen des Kontingentlimits entweder nach Anzahl von Anforderungen oder nach CPU dar. Lesen Sie den Antworttext, um zu verstehen, welcher Grenzwert erreicht wurde.

  6. Die maximale Abfrageergebnisgröße einer einzelnen Anforderung darf 124 MB nicht überschreiten. Bei Überschreitung wird eine http 400 Bad Request mit der Meldung "Abfrageausführung hat die zulässige Ergebnisgröße überschritten. Optimieren Sie Ihre Abfrage, indem Sie die Anzahl der Ergebnisse begrenzen und es erneut versuchen" auftritt.

Berechtigungen

Eine der nachfolgenden Berechtigungen ist erforderlich, um diese API aufrufen zu können. Weitere Informationen, einschließlich der Auswahl von Berechtigungen, finden Sie unter Verwenden von Microsoft Defender for Endpoint-APIs.

Berechtigungstyp Berechtigung Anzeigename der Berechtigung
App AdvancedQuery.Read.All Run advanced queries
Delegiert (Geschäfts-, Schul- oder Unikonto) AdvancedQuery.Read Run advanced queries

Hinweis

Beim Abrufen eines Tokens mit Benutzeranmeldeinformationen:

  • Dem Benutzer muss die View Data Rolle in Microsoft Entra ID
  • Der Benutzer muss basierend auf den Gerätegruppeneinstellungen Zugriff auf das Gerät haben (weitere Informationen finden Sie unter Create und Verwalten von Gerätegruppen).

Die Erstellung von Gerätegruppen wird in Defender für Endpunkt Plan 1 und Plan 2 unterstützt.

HTTP-Anforderung

POST https://api.securitycenter.microsoft.com/api/advancedqueries/run

Anforderungsheader

Kopfzeile Wert
Authorization Bearer {token}. Erforderlich.
Content-Type application/json

Anforderungstext

Geben Sie im Anforderungstext ein JSON-Objekt mit den folgenden Parametern an:

Parameter Typ Beschreibung
Abfrage Text Die auszuführende Abfrage. Erforderlich.

Antwort

Bei erfolgreicher Ausführung gibt die Methode 200 OK und das QueryResponse-Objekt im Antworttext zurück.

Beispiel

Anforderungsbeispiel

Hier sehen Sie ein Beispiel für die Anforderung.

POST https://api.securitycenter.microsoft.com/api/advancedqueries/run

{
    "Query":"DeviceProcessEvents
|where InitiatingProcessFileName =~ 'powershell.exe'
|where ProcessCommandLine contains 'appdata'
|project Timestamp, FileName, InitiatingProcessFileName, DeviceId
|limit 2"
}

Anforderungsbeispiel

Hier ist ein Beispiel für die Antwort.

Hinweis

Das hier gezeigte Antwortobjekt kann aus Platzgründen abgeschnitten werden. Von einem tatsächlichen Aufruf werden alle Eigenschaften zurückgegeben.

{
    "Schema": [
        {
            "Name": "Timestamp",
            "Type": "DateTime"
        },
        {
            "Name": "FileName",
            "Type": "String"
        },
        {
            "Name": "InitiatingProcessFileName",
            "Type": "String"
        },
        {
            "Name": "DeviceId",
            "Type": "String"
        }
    ],
    "Results": [
        {
            "Timestamp": "2020-02-05T01:10:26.2648757Z",
            "FileName": "csc.exe",
            "InitiatingProcessFileName": "powershell.exe",
            "DeviceId": "10cbf9182d4e95660362f65cfa67c7731f62fdb3"
        },
        {
            "Timestamp": "2020-02-05T01:10:26.5614772Z",
            "FileName": "csc.exe",
            "InitiatingProcessFileName": "powershell.exe",
            "DeviceId": "10cbf9182d4e95660362f65cfa67c7731f62fdb3"
        }
    ]
}

Tipp

Möchten Sie mehr erfahren? Engage mit der Microsoft-Sicherheitscommunity in unserer Tech Community: Microsoft Defender for Endpoint Tech Community.