Megosztás a következőn keresztül:

Speciális veszélyforrás-keresés a Python használatával

  • A következőre érvényes:: Microsoft Defender for Endpoint

Megjegyzés:

Ha Ön az USA kormányzati szerveinek ügyfele, használja a Végponthoz készült Microsoft Defender usa-beli kormányzati ügyfelek számára című szakaszban felsorolt URI-kat.

Tipp

A jobb teljesítmény érdekében a api.security.microsoft.com használata helyett használjon a földrajzi helyhez közelebbi kiszolgálót:

  • us.api.security.microsoft.com
  • eu.api.security.microsoft.com
  • uk.api.security.microsoft.com
  • au.api.security.microsoft.com
  • swa.api.security.microsoft.com
  • ina.api.security.microsoft.com
  • aea.api.security.microsoft.com

Speciális lekérdezések futtatása a Python használatával, lásd: Advanced Hunting API.

Ebben a szakaszban Python-mintákat osztunk meg egy jogkivonat lekéréséhez és lekérdezés futtatásához.

Előfeltétel: Először létre kell hoznia egy alkalmazást.

Jogkivonat lekérése

  • Futtassa a következő parancsokat:

Tipp

Egyes Végponthoz készült Microsoft Defender API-k továbbra is megkövetelik az örökölt erőforráshoz https://api.securitycenter.microsoft.comkibocsátott hozzáférési jogkivonatokat. Ha a jogkivonat célközönsége nem egyezik az API által várt erőforrással, a kérések meghiúsulnak a következővel 403 Forbidden: , még akkor is, ha az API-végpont a következőt használja https://api.security.microsoft.com: . A https://api.securitycenter.microsoft.com jogkivonatok beszerzésekor használja erőforrásként vagy hatókörként.

import json
import urllib.request
import urllib.parse

tenantId = '00000000-0000-0000-0000-000000000000' # Paste your own tenant ID here
appId = '11111111-1111-1111-1111-111111111111' # Paste your own app ID here
appSecret = '22222222-2222-2222-2222-222222222222' # Paste your own app secret here

url = "https://login.microsoftonline.com/%s/oauth2/token" % (tenantId)

resourceAppIdUri = 'https://api.securitycenter.microsoft.com'

body = {
    'resource' : resourceAppIdUri,
    'client_id' : appId,
    'client_secret' : appSecret,
    'grant_type' : 'client_credentials'
}

data = urllib.parse.urlencode(body).encode("utf-8")

req = urllib.request.Request(url, data)
response = urllib.request.urlopen(req)
jsonResponse = json.loads(response.read())
aadToken = jsonResponse["access_token"]

Hely:

  • tenantId: Annak a bérlőnek az azonosítója, amelynek nevében futtatni szeretné a lekérdezést (azaz a lekérdezés ennek a bérlőnek az adatain fut)
  • appId: a Microsoft Entra alkalmazás azonosítója (az alkalmazásnak speciális lekérdezések futtatására vonatkozó engedéllyel kell rendelkeznie a Végponthoz készült Microsoft Defender)
  • appSecret: A Microsoft Entra alkalmazás titkos kódja

Lekérdezés futtatása

Futtassa a következő lekérdezést:

query = 'DeviceRegistryEvents | limit 10' # Paste your own query here

url = "https://api.security.microsoft.com/api/advancedqueries/run"
headers = {
    'Content-Type' : 'application/json',
    'Accept' : 'application/json',
    'Authorization' : "Bearer " + aadToken
}

data = json.dumps({ 'Query' : query }).encode("utf-8")

req = urllib.request.Request(url, data, headers)
response = urllib.request.urlopen(req)
jsonResponse = json.loads(response.read())
schema = jsonResponse["Schema"]
results = jsonResponse["Results"]
  • A séma tartalmazza a lekérdezés eredményeinek sémáját
  • az eredmények tartalmazzák a lekérdezés eredményeit

Összetett lekérdezések

Ha összetett lekérdezéseket (vagy többsoros lekérdezéseket) szeretne futtatni, mentse a lekérdezést egy fájlba, és az előző példa első sora helyett futtassa a következő parancsot:

queryFile = open("D:\\Temp\\myQuery.txt", 'r') # Replace with the path to your file
query = queryFile.read()
queryFile.close()

A lekérdezés eredményeinek használata

Most már használhatja a lekérdezés eredményeit.

Az eredmények iterálásához használja a következő parancsot:

for result in results:
    print(result) # Prints the whole result
    print(result["EventTime"]) # Prints only the property 'EventTime' from the result

Ha a lekérdezés eredményeit CSV formátumban szeretné kimenetként file1.csv fájlban, használja a következő parancsot:

import csv

outputFile = open("D:\\Temp\\file1.csv", 'w')
output = csv.writer(outputFile)
output.writerow(results[0].keys())
for result in results:
    output.writerow(result.values())

outputFile.close()

A lekérdezés eredményeinek JSON formátumban, fájlban file1.json való kimenetéhez használja a következő parancsot:

outputFile = open("D:\\Temp\\file1.json", 'w')
json.dump(results, outputFile)
outputFile.close()

Tipp

Szeretne többet megtudni? Lépjen kapcsolatba a Microsoft biztonsági közösségével a technikai közösségünkben: Végponthoz készült Microsoft Defender Tech Community.

  • Last updated on