Jenis sumber daya pemberitahuan

Untuk pengalaman API Pemberitahuan lengkap yang tersedia di semua produk Microsoft Defenders, kunjungi: Gunakan API keamanan Microsoft Graph - Microsoft Graph | Microsoft Learn.

Karakteristik

Property	Type	Deskripsi
ID	String	ID Pemberitahuan.
title	String	Judul peringatan.
description	String	Deskripsi pemberitahuan.
alertCreationTime	Nullable DateTimeOffset	Tanggal dan waktu (dalam UTC) pemberitahuan dibuat.
lastEventTime	Nullable DateTimeOffset	Kejadian terakhir dari peristiwa yang memicu pemberitahuan pada perangkat yang sama.
firstEventTime	Nullable DateTimeOffset	Kejadian pertama dari peristiwa yang memicu pemberitahuan pada perangkat tersebut.
lastUpdateTime	Nullable DateTimeOffset	Tanggal dan waktu (dalam UTC) pemberitahuan terakhir diperbarui.
resolvedTime	Nullable DateTimeOffset	Tanggal dan waktu di mana status pemberitahuan diubah menjadi Diselesaikan.
insidenID	Panjang Nullable	ID Insiden Pemberitahuan.
investigationId	Panjang Nullable	ID Investigasi yang terkait dengan Pemberitahuan.
investigationState	Nullable Enum	Status Investigasi saat ini. Nilai yang mungkin adalah: Tidak diketahui, Dihentikan, BerhasilRemediasi, Jinak, Gagal, PartiallyRemediated, Running, PendingApproval, PendingResource, PartiallyInvestigated, TerminatedByUser, TerminatedBySystem, Queued, InnerFailure, PreexistingAlert, UnsupportedOs, UnsupportedAlertType, SuppressedAlert.
ditugaskanKe	String	Pemilik pemberitahuan.
rbacGroupName	String	Nama grup perangkat kontrol akses berbasis peran.
mitreTechniques	String	ID teknik Mitre Enterprise.
relatedUser	String	Detail pengguna yang terkait dengan pemberitahuan tertentu.
severity	Enum	Tingkat keparahan pemberitahuan. Nilai yang mungkin adalah: Tidak Ditentukan, Informasi, Rendah, Sedang, dan Tinggi.
status	Enum	Menentukan status pemberitahuan saat ini. Nilai yang mungkin adalah: Tidak Diketahui, Baru, InProgress , dan Diselesaikan.
klasifikasi	Nullable Enum	Spesifikasi pemberitahuan. Nilai yang mungkin adalah: TruePositive, Informational, expected activity, dan FalsePositive.
Penentuan	Nullable Enum	Menentukan penentuan pemberitahuan. Kemungkinan nilai penentuan untuk setiap klasifikasi adalah: Positif benar: Multistage attack (MultiStagedAttack), Malicious user activity (MaliciousUserActivity), Compromised account (CompromisedUser) – pertimbangkan untuk mengubah nama enum di API publik yang sesuai, Malware (Malware), Phishing (Phishing), Unwanted software (UnwantedSoftware), dan Other (Lainnya). Informasi, aktivitas yang diharapkan:Security test (SecurityTesting), Line-of-business application (LineOfBusinessApplication), Confirmed activity (ConfirmedUserActivity) - pertimbangkan untuk mengubah nama enum di API publik yang sesuai, dan Other (Lainnya). Positif palsu:Not malicious (Bersihkan) - pertimbangkan untuk mengubah nama enum di API publik yang sesuai, Not enough data to validate (InsufficientData), dan Other (Lainnya).
kategori	String	Kategori pemberitahuan.
detectionSource	String	Sumber deteksi.
threatFamilyName	String	Keluarga ancaman.
threatName	String	Nama ancaman.
mesin	String	ID entitas komputer yang terkait dengan pemberitahuan.
computerDnsName	String	nama mesin yang sepenuhnya memenuhi syarat.
aadTenantId	String	Microsoft Entra ID.
detectorId	String	ID detektor yang memicu pemberitahuan.
comments	Daftar komentar Pemberitahuan	Objek Komentar Pemberitahuan berisi: string komentar, string createBy, dan waktu tanggal createTime.
Evidence	Daftar bukti Pemberitahuan	Bukti yang terkait dengan pemberitahuan. Lihat contoh berikut.

Note

Sekitar 29 Agustus 2022, nilai penentuan pemberitahuan yang didukung sebelumnya (Apt dan SecurityPersonnel) tidak akan digunakan lagi dan tidak lagi tersedia melalui API.

Contoh respons untuk mendapatkan pemberitahuan tunggal:

GET https://api.security.microsoft.com/api/alerts/da637472900382838869_1364969609

{
    "id": "da637472900382838869_1364969609",
    "incidentId": 1126093,
    "investigationId": null,
    "assignedTo": null,
    "severity": "Low",
    "status": "New",
    "classification": null,
    "determination": null,
    "investigationState": "Queued",
    "detectionSource": "WindowsDefenderAtp",
    "detectorId": "17e10bbc-3a68-474a-8aad-faef14d43952",
    "category": "Execution",
    "threatFamilyName": null,
    "title": "Low-reputation arbitrary code executed by signed executable",
    "description": "Binaries signed by Microsoft can be used to run low-reputation arbitrary code. This technique hides the execution of malicious code within a trusted process. As a result, the trusted process might exhibit suspicious behaviors, such as opening a listening port or connecting to a command-and-control (C&C) server.",
    "alertCreationTime": "2021-01-26T20:33:57.7220239Z",
    "firstEventTime": "2021-01-26T20:31:32.9562661Z",
    "lastEventTime": "2021-01-26T20:31:33.0577322Z",
    "lastUpdateTime": "2021-01-26T20:33:59.2Z",
    "resolvedTime": null,
    "machineId": "111e6dd8c833c8a052ea231ec1b19adaf497b625",
    "computerDnsName": "temp123.middleeast.corp.microsoft.com",
    "rbacGroupName": "A",
    "aadTenantId": "a839b112-1253-6432-9bf6-94542403f21c",
    "threatName": null,
    "mitreTechniques": [
        "T1064",
        "T1085",
        "T1220"
    ],
    "relatedUser": {
        "userName": "temp123",
        "domainName": "DOMAIN"
    },
    "comments": [
        {
            "comment": "test comment for docs",
            "createdBy": "secop123@contoso.com",
            "createdTime": "2021-01-26T01:00:37.8404534Z"
        }
    ],
    "evidence": [
        {
            "entityType": "User",
            "evidenceCreationTime": "2021-01-26T20:33:58.42Z",
            "sha1": null,
            "sha256": null,
            "fileName": null,
            "filePath": null,
            "processId": null,
            "processCommandLine": null,
            "processCreationTime": null,
            "parentProcessId": null,
            "parentProcessCreationTime": null,
            "parentProcessFileName": null,
            "parentProcessFilePath": null,
            "ipAddress": null,
            "url": null,
            "registryKey": null,
            "registryHive": null,
            "registryValueType": null,
            "registryValue": null,
            "accountName": "name",
            "domainName": "DOMAIN",
            "userSid": "S-1-5-21-11111607-1111760036-109187956-75141",
            "aadUserId": "11118379-2a59-1111-ac3c-a51eb4a3c627",
            "userPrincipalName": "temp123@microsoft.com",
            "detectionStatus": null
        },
        {
            "entityType": "Process",
            "evidenceCreationTime": "2021-01-26T20:33:58.6133333Z",
            "sha1": "ff836cfb1af40252bd2a2ea843032e99a5b262ed",
            "sha256": "a4752c71d81afd3d5865d24ddb11a6b0c615062fcc448d24050c2172d2cbccd6",
            "fileName": "rundll32.exe",
            "filePath": "C:\\Windows\\SysWOW64",
            "processId": 3276,
            "processCommandLine": "rundll32.exe  c:\\temp\\suspicious.dll,RepeatAfterMe",
            "processCreationTime": "2021-01-26T20:31:32.9581596Z",
            "parentProcessId": 8420,
            "parentProcessCreationTime": "2021-01-26T20:31:32.9004163Z",
            "parentProcessFileName": "rundll32.exe",
            "parentProcessFilePath": "C:\\Windows\\System32",
            "ipAddress": null,
            "url": null,
            "registryKey": null,
            "registryHive": null,
            "registryValueType": null,
            "registryValue": null,
            "accountName": null,
            "domainName": null,
            "userSid": null,
            "aadUserId": null,
            "userPrincipalName": null,
            "detectionStatus": "Detected"
        },
        {
            "entityType": "File",
            "evidenceCreationTime": "2021-01-26T20:33:58.42Z",
            "sha1": "8563f95b2f8a284fc99da44500cd51a77c1ff36c",
            "sha256": "dc0ade0c95d6db98882bc8fa6707e64353cd6f7767ff48d6a81a6c2aef21c608",
            "fileName": "suspicious.dll",
            "filePath": "c:\\temp",
            "processId": null,
            "processCommandLine": null,
            "processCreationTime": null,
            "parentProcessId": null,
            "parentProcessCreationTime": null,
            "parentProcessFileName": null,
            "parentProcessFilePath": null,
            "ipAddress": null,
            "url": null,
            "registryKey": null,
            "registryHive": null,
            "registryValueType": null,
            "registryValue": null,
            "accountName": null,
            "domainName": null,
            "userSid": null,
            "aadUserId": null,
            "userPrincipalName": null,
            "detectionStatus": "Detected"
        }
    ]
}