重要
Microsoft Graph の /beta バージョンの API は変更される可能性があります。 実稼働アプリケーションでこれらの API を使用することは、サポートされていません。 v1.0 で API を使用できるかどうかを確認するには、Version セレクターを使用します。
Microsoft Graph セキュリティ API は、Microsoft およびエコシステム パートナーのセキュリティ ソリューションと統合するための統合インターフェイスとスキーマを提供します。 これにより、顧客はセキュリティ運用を合理化し、増大するサイバー脅威に対する防御を強化することができます。 Microsoft Graph セキュリティ API は、オンボードされているすべてのセキュリティ プロバイダーに対してクエリをフェデレーションし、応答を集約します。 Microsoft Graph セキュリティ API を使用して、次のようなアプリケーションを構築します:
- 複数のソースからのセキュリティ アラートを統合して関連付けます。
- Microsoft 365 Defender の一部または Microsoft 365 Defender と統合されているサービスから、すべてのインシデントとアラートを取得して調査します。
- コンテキスト データをロック解除し、調査について通知します。
- セキュリティ タスク、ビジネス プロセス、ワークフロー、レポートを自動化します。
- 脅威インジケーターを Microsoft 製品に送信して、検出をカスタマイズします。
- 新しい脅威に対応してアクションを呼び出します。
- セキュリティ データを可視化して、プロアクティブなリスク管理を実現します。
Microsoft Graph セキュリティ API には、次のセクションで説明する主要な機能が用意されています。
アクション (プレビュー)
securityAction エンティティを使用して、脅威を防御するための即時アクションを実行します。 セキュリティ アナリストが、悪意のあるファイル、URL、ドメイン、IP アドレスなどの新しいインジケーターを発見した場合、Microsoft のセキュリティ ソリューションでそれらに対する保護をすぐに有効にできます。 特定のプロバイダーのアクションを呼び出し、実行されるすべての操作を表示し、必要な場合は操作を取り消します。 Microsoft Defender for Endpoint (旧 Microsoft Defender ATP) でセキュリティ アクションを実行し、アラートに表示されたプロパティまたは調査で特定されたプロパティを使用して Windows のエンドポイント上の悪意のあるアクティビティをブロックします。
注: 現在、セキュリティ アクションでサポートされているのは、アプリケーションのアクセス許可のみです。
高度な追及
高度な捜索は、クエリ ベースの脅威の捜索ツールで、最大 30 日間のロー データを検索できます。 ネットワーク内のイベントを事前に検査して、脅威インジケーターとエンティティを見つけることができます。 データへの柔軟なアクセスにより、既知の脅威と潜在的な脅威の両方を無制限に捜索できます。
runHuntingQuery を使用して、Microsoft 365 Defender に格納されているデータに対して Kusto 照会言語 (KQL) クエリを実行します。 返された結果セットを活用して、既存の調査を強化したり、ネットワーク内の未検出の脅威を明らかにしたりします。
クォータとリソース割り当て
過去 30 日間のデータに対してのみクエリを実行できます。
結果には、最大 100,000 行が含まれます。
実行回数はテナントごとに制限されています。
- API 呼び出し: 1 分あたり最大 45 件の要求、1 時間あたり最大 1500 件の要求。
- 実行時間: 1 時間ごとに 10 分の実行時間、1 日あたり 3 時間の実行時間。
1 回の要求の最大実行時間は 200 秒です。
HTTP 429 の応答コードは、API 呼び出し数または実行時間のいずれかのクォータに到達したことを意味します。 レスポンス本文を参照して、制限に達したことを確認してください。
1 つの要求の最大クエリ結果サイズは 124 MB を超えることはできません。 サイズ制限を超えると、HTTP 400 要求が正しくありません。「クエリの実行が許可された結果サイズを超えています。 結果の数を制限してクエリを最適化し、もう一度やり直してください。"
クエリ結果には、全体のサイズ制限は 50 MB です。 この制限は、単にレコード数を指すものではありません。列の数、データ型、フィールドの長さなどの要因も、クエリ結果のサイズに影響します。
古い API から移行する
Microsoft Graph の高度な捜索 API は、 https://api.security.microsoft.com/api/advancedhunting/run エンドポイントと https://api.security.microsoft.com/api/advancedqueries/run エンドポイント経由で使用可能だった古いバージョンの API を置き換えます。 古い API は廃止され、2027 年 2 月 1 日にデータの返品を停止します。
Microsoft Graph の高度な捜索 API に移行するには、アプリケーションで次のパラメーターを更新します。
| 件名 | 古いパラメーター | Microsoft Graph |
|---|---|---|
| エンドポイント | https://api.securitycenter.microsoft.com/api/advancedqueries/run https://api.security.microsoft.com/api/advancedhunting/run |
https://graph.microsoft.com/beta/security/runHuntingQuery |
| リソース URI | オンの Microsoft Defender for Endpointhttps://api.securitycenter.microsoft.com |
Microsoft Graph on https://graph.microsoft.com |
| API アクセス許可 | Microsoft Defender for Endpoint (旧 Windows Defender 高度な脅威保護) の AdvancedQuery.Read (委任) と AdvancedQuery.Read.All (アプリケーション) Microsoft Threat Protection の AdvancedHunting.Read (委任) および AdvancedHunting.Read.All (アプリケーション) |
ThreatHunting.Read.All (委任およびアプリケーション) |
| 要求本文 | クエリ プロパティ。 例 {"Query":"DeviceProcessEvents \|where InitiatingProcessFileName =~ 'powershell.exe' \|where ProcessCommandLine contains 'appdata'\|project Timestamp, FileName, InitiatingProcessFileName, DeviceId\|limit 2"} |
クエリ および Timespan プロパティ。 たとえば、{"Query": "DeviceProcessEvents", "Timespan": "P90D"} のように指定します。 |
| 応答 | 統計、スキーマ、結果で構成される QueryResponse オブジェクト | (スキーマではなく) と結果 (結果ではなく) で構成されます。これは、 スキーマ ( スキーマではなく) と 結果 ( 結果ではなく) で構成されます。 |
アプリで Microsoft Graph API を呼び出すことを承認する方法の詳細については、「 ユーザーの代わりにアクセス権を取得する」 および「 ユーザーなしでアクセス権を取得する」を参照してください。
Power Platform フロー移行 (PowerApps / Power Automate / Logic Apps)
Microsoft Graph には、Microsoft Defender ATP 用の Power Platform コネクタで使用可能だった組み込みの高度な捜索アクションはありません。 Power Platform フローで高度な捜索を引き続き使用するには、カスタム コネクタを作成します。 詳細については、「 Power Automate 用の Microsoft Graph JSON バッチ カスタム コネクタの作成 」を参照し、前の表で説明した Microsoft Graph パラメーターを使用します。
Power BI フロー移行
以前の API で作成されたカスタム Power BI レポートを使用している場合は、前の表で説明した Microsoft Graph パラメーターを使用するように Power BI クエリを更新します。 詳細については、「Microsoft Graph セキュリティ API と Power BI を使用してカスタム Microsoft Defender XDR レポートを作成する」を参照してください。
クラウド ゾーン (プレビュー)
Microsoft Defender for Cloud のクラウド ゾーン (クラウド スコープ) を使用すると、複数のクラウド プロバイダー (Azure、AWS、GCP) および DevOps プラットフォームにわたってクラウド環境をグループ化して管理できます。 ゾーンは、関連するクラウド環境をグループ化する論理コンテナであり、一貫したセキュリティポリシーを適用し、マルチクラウドインフラストラクチャ全体のセキュリティ体制を監視することを容易にします。 1 つのテナントは、最大 1,000 個のゾーンを持つことができます。
クラウド ゾーン API を使用して、次の手順を実行します。
- クラウド環境を整理するためのゾーンを作成、更新、削除します。
- 環境 (Azure サブスクリプション、AWS アカウント、GCP プロジェクト、DevOps 接続など) をゾーンにアタッチおよびデタッチします。
- ゾーンとそれに関連する環境を照会します。
詳細については、「 クラウド スコープと統合されたロールベースのアクセス制御の管理」を参照してください。
カスタム検出
高度な捜索 セキュリティ操作に固有の カスタム検出ルール を作成して、脅威を予防的に監視してアクションを実行できるようにします。 たとえば、既知のインジケーターや誤って構成されたデバイスを探すカスタム検出ルールを作成できます。 これらは、アラートと指定した対応アクションを自動的にトリガーします。
クォータ
- 複数のルールを取得する: アプリケーションあたり 1 分あたり 10 ルール、アプリケーションあたり 1 時間あたり 300 ルール、テナントあたり 1 時間あたり 600 ルール
- 単一のルールを取得する: アプリケーションあたり 1 分あたり 100 ルール、アプリケーションあたり 1 時間あたり 1,500 ルール、テナントあたり 1 時間あたり 1,800 ルール
- ルールの作成: アプリケーションあたり 1 分あたり 10 個のルール、アプリケーションあたり 1 時間あたり 1,500 個のルール、テナントあたり 1 時間あたり 1,800 個のルール
- ルールの更新: アプリケーションあたり 1 分あたり 100 ルール、アプリケーションあたり 1 時間あたり 1,500 ルール、テナントあたり 1 時間あたり 1,800 ルール
- ルールの削除: アプリケーションあたり 1 分あたり 100 ルール、アプリケーションあたり 1 時間あたり 1,500 ルール、テナントあたり 1 時間あたり 1,800 ルール
アラート
アラートは、Microsoft またはパートナーのセキュリティ プロバイダーが特定し、アクションのフラグを設定した、顧客のテナント内の疑わしいアクティビティに関する詳細な警告です。 攻撃では通常、デバイス、ユーザー、メールボックスなど、さまざまな種類のエンティティに対してさまざまな手法が使用されます。 その結果、テナント内の複数のエンティティに対して複数のセキュリティ プロバイダーからアラートが送信されます。 個々のアラートをつなぎ合わせて攻撃を把握することは、困難で時間がかかる場合があります。
セキュリティ API のベータ版には、セキュリティ プロバイダーからの他のアラートを集約し、攻撃の分析と対応の決定を容易にする 2 種類のアラートが用意されています。
-
アラートとインシデント - Microsoft Graph セキュリティ API の最新世代のアラート。 これらは、
microsoft.graph.security名前空間で定義されているアラート リソースとそのコレクションであるインシデント リソースによって表されます。 -
従来のアラート - Microsoft Graph セキュリティ API の第 1 世代のアラート。 これらは、
microsoft.graph名前空間で定義されているアラート リソースによって表されます。
重要
Sentinel のアラートとインシデントを表示するには、Sentinel を Defender ポータルにオンボードする必要があります。 詳細については、「Microsoft Sentinel を Microsoft Defender ポータルに接続する」を参照してください。
アラートとインシデント
これらの アラート リソースは、最初に、 Microsoft 365 Defender の一部であるか、Microsoft 365 Defender と統合されているセキュリティ プロバイダー サービスからアラート データをプルします。 次に、データを使用して、完了した攻撃または進行中の攻撃、影響を受けた資産、および関連する証拠に関する豊富で貴重な 手がかりを返します。 さらに、同じ攻撃手法または同じ攻撃者を使用する他のアラートを インシデント に自動的に関連付けて、攻撃のより広範なコンテキストを提供します。 対応と修復アクションを推奨し、すべての異なるプロバイダー間で一貫した対応可能性を提供します。 豊富なコンテンツにより、アナリストは脅威をまとめて調査して対応しやすくなります。
次のセキュリティ プロバイダーからのアラートは、これらの豊富なアラートとインシデントを介して利用できます。
- Microsoft Entra ID 保護
- Microsoft 365 Defender
- Microsoft Defender for Cloud Apps
- Microsoft Defender for Endpoint
- Microsoft Defender for Identity
- Microsoft Defender for Office 365
- Microsoft Purview データ損失防止
- Microsoft Purview インサイダー リスク管理
従来のアラート
重要
従来のアラート API は非推奨となり、2026 年 10 月 15 日に廃止されます。 新しい アラートとインシデント API に移行します。 詳細については、「 レガシ アラートからアラートとインシデント API への移行」を参照してください。
レガシ アラート リソースは、サポートされている Azure および Microsoft 365 Defender セキュリティ プロバイダーのフェデレーション呼び出しです。 これらは、異なるドメイン間で共通のアラート データを集約し、アプリケーションがすべての統合ソリューションにわたるセキュリティ問題の管理を統合および合理化できるようにします。 これにより、アプリケーションはアラートとコンテキストを関連付けて、脅威の保護と対応を向上させることができます。
アラート更新機能を使用すると、 アラート エンティティを更新することで、Microsoft Graph セキュリティ API と統合されているさまざまなセキュリティ製品やサービス間で特定のアラートの状態を同期できます。
次のセキュリティ プロバイダーからのアラートは、従来の アラート リソースを介して利用できます。 次の表に、GET アラート、PATCH アラート、サブスクライブ (Webhook 経由) のサポートを示します。
| セキュリティ プロバイダー | GET アラート |
PATCH アラート |
アラートへのサブスクライブ |
|---|---|---|---|
| Microsoft Entra ID 保護 | ✓ |
ファイルの問題 * |
✓ |
| Azure Security Center | ✓ |
✓ |
✓ |
Microsoft 365
|
✓ |
||
| Microsoft Defender for Cloud Apps (旧 Microsoft Cloud App Security) | ✓ |
ファイルの問題 * |
✓ |
| Microsoft Defender for Endpoint (旧 Microsoft Defender ATP) ** | ✓ |
✓ |
|
| Microsoft Defender for Identity (旧 Azure 高度な脅威保護) *** | ✓ |
ファイルの問題 * |
✓ |
| Microsoft Sentinel (旧称 Azure Sentinel) | ✓ |
Microsoft Sentinel ではサポートされていません |
✓ |
メモ: 新しいプロバイダーは、Microsoft Graph のセキュリティ エコシステムに継続的にオンボードしています。 新しいプロバイダーまたは既存のプロバイダーからの延長サポートを要求するには、 Microsoft Graph セキュリティ GitHub リポジトリに問題を提出します。
* ファイルの問題: アラートの状態は、Microsoft Graph セキュリティ API 統合アプリケーション全体で更新されますが、プロバイダーの管理エクスペリエンスには反映されません。
** Microsoft Defender for Endpoint では、Microsoft Graph セキュリティ API で必要なユーザー ロールに加えて、追加のユーザー ロールが必要です。 Microsoft Defender for Endpoint と Microsoft Graph セキュリティ API の両方のロールを持つユーザーのみが、Microsoft Defender for Endpoint データにアクセスできます。 アプリケーションのみの認証はこれによって制限されないため、アプリケーションのみの認証トークンを使用することをお勧めします。
Microsoft Defender for Identity アラートは、Microsoft Defender for Cloud Apps 統合を介して利用できます。 つまり、Unified SecOps に参加し、Microsoft Defender for Identity を Microsoft Defender for Cloud Apps に接続している場合にのみ、Microsoft Defender for Identityアラートが表示されます。 詳細については、「Microsoft Defender for Identity と Microsoft Defender for Cloud Apps を統合する方法」 を参照してください。
ケース管理 (プレビュー)
ケース管理 API を使用して、セキュリティ操作で調査ケースを作成および管理します。 API は、一般的なケース、サービスが作成したインシデント ケース、および /security/caseManagement エントリ ポイントを介して関連するタスク、アクティビティ、関係、および添付ファイルをサポートします。
攻撃シミュレーションとトレーニング
攻撃シミュレーションとトレーニングは、Microsoft Defender for Office 365 の一部です。 このサービスにより、テナントのユーザーは現実的な良性のフィッシング攻撃を体験し、そこから学ぶことができます。 エンド ユーザー向けのソーシャル エンジニアリング シミュレーションとトレーニングの経験は、これらの攻撃手法によってユーザーが侵害されるリスクを軽減するのに役立ちます。 攻撃シミュレーションとトレーニングの API を使用すると、テナント管理者は、起動されたシミュレーションの演習とトレーニングを表示し、フィッシング シミュレーションでのユーザーのオンライン行動に派生する分析情報に関するレポートを取得できます。
電子情報開示
Microsoft Purview eDiscovery は、organization の内部および外部の調査に対応するコンテンツを保存、収集、分析、レビュー、エクスポートするためのエンドツーエンドのワークフローを提供します。
監査ログのクエリ
Microsoft Purview 監査は、組織がセキュリティ イベント、フォレンジック調査、内部調査、コンプライアンス義務に効果的に対応できるよう支援する統合ソリューションを提供します。 何十もの Microsoft 365 サービスやソリューションで実行された何千ものユーザーや管理者の操作は、組織の統一された監査ログにキャプチャされ、記録されて保持されます。 これらのイベントの監査記録は、組織内のセキュリティ オペレーション、IT 管理者、インサイダー リスク チーム、コンプライアンスや法務調査担当者が検索できます。 この機能により、Microsoft 365 の組織全体で行われているアクティビティを可視化することができます。
ID
正常性の問題
Microsoft Defender for Identity の正常性の問題 API を使用すると、ハイブリッド ID インフラストラクチャ全体でセンサーとエージェントの正常性状態を監視できます。 正常性の問題 API を使用すると、問題の種類、状態、構成、重大度など、センサーの現在の正常性の問題に関する情報を取得できます。 API を使用して、センサーとエージェントの機能やセキュリティに影響を与える可能性のある問題を特定して解決することもできます。
メモ:Microsoft Defender for Identity の正常性の問題 API は、Defender for Identity プランまたは Microsoft 365 E5/A5/G5/F5 セキュリティ サービス プランでのみ使用できます。
センサー
Defender for Identity センサー管理 API を使用すると、次のことが可能になります。
- サーバー名、センサーのバージョン、種類、状態、正常性状態に関する情報など、ワークスペース内のセンサーの詳細レポートを作成します。
- 説明の追加、遅延更新の有効化または無効化、Entra ID を照会するためにセンサーが接続するドメイン コントローラーの指定など、センサーの設定を管理します。
- Unified Agent でアクティブ化する準備ができているサーバーを特定します。
- Unified Agent に適格なサーバーの自動アクティブ化を有効または無効にします。
- 有効なサーバーで Unified Agent をアクティブまたは非アクティブにします。
- センサーのアクティブ化中に必要なイベント監査構成の自動有効化を有効または無効にします。
- 移行の対象となるセンサーの一覧を表示します。
- 移行の対象となるセンサーを移行します。
インシデント
イン シデント は、攻撃のストーリーを構成する、相 関アラートと 関連データのコレクションです。 インシデント管理は Microsoft 365 Defender の一部であり、Microsoft 365 Defender ポータル (https://security.microsoft.com/) で利用できます。
Microsoft 365 サービスおよびアプリは、疑わしい、または悪意のあるイベントやアクティビティを検出した場合にアラートを作成します。 個々のアラートは、完了した攻撃、または進行中の攻撃に関する貴重な手がかりとなります。 ただし、攻撃は通常、デバイス、ユーザー、メールボックスなどの異なる種類のエンティティに対抗してさまざまな技術を採用しています。 その結果、テナント内の複数のエンティティに複数のアラートが表示されます。
個々のアラートをつなぎ合わせて攻撃を把握することは困難と時間がかかる場合があるため、Microsoft 365 Defender はアラートとそれに関連する情報を自動的に インシデントに集約します。
関連するアラートをインシデントにグループ化することで、攻撃を包括的に表示します。 たとえば、次が表示されます。
- 攻撃の開始場所。
- 使用された戦術。
- 攻撃がテナントにどの程度まで侵入したか。
- 攻撃の範囲 (影響を受けたデバイス、ユーザー、メールボックスの数など)。
- 攻撃に関連付けられているすべてのデータ。
インシデント リソースとその API を使用すると、インシデントを分類して、情報に基づいたサイバーセキュリティ対応を作成できます。 環境保持ポリシーで指定された時間範囲内に、ネットワークでフラグが設定されたインシデントのコレクションと、関連する アラートが公開されます。
情報保護
ラベル - 情報保護ラベルは、情報に秘密度ラベルを適切に適用する方法の詳細を示します。 情報保護ラベル API は、ユーザーやテナントに適用される秘密度ラベルの構成を記述します。
脅威の評価 - Microsoft Graph 脅威評価 API は、組織がテナント内の任意のユーザーが受け取った脅威を評価するのに役立ちます。 これによりお客様は、受信した迷惑メール、フィッシング URL、マルウェアの添付ファイルを、 Microsoft に報告できるようになります。 Microsoft は、テナント管理者が脅威スキャンの判定を理解し、組織ポリシーを調整できるように、結果を生成する前に問題のサンプルと実施中の組織ポリシーを確認します。 また、正当なメールを報告するために使用して、ブロックされないようにすることもできます。
メモ: 代わりに、脅威送信 API を使用することをお勧めします。
Security Copilot (プレビュー)
Microsoft Security Copilot は生成 AI 搭載のセキュリティ分析ツールであり、防御者は脅威に迅速に対応し、マシンの速度でシグナルを処理し、リスク エクスポージャーを数分で評価できます。 これにより、ロールやワークフロー全体でセキュリティ プロフェッショナルの有効性が向上し、インシデント対応、脅威の捜索、インテリジェンス収集、ポスチャ管理などがサポートされます。
Security Copilot は、自然言語のプロンプトをインテリジェントで実用的なガイダンスに変換し、複雑な業務を合理化し、サイバーセキュリティの人材ギャップを埋めます。 これにより、防御者は数時間や数日ではなく、数分でタスクを完了できます。
Security Copilot リソースとその API を使用すると、開発者は Security Copilot チャット エクスペリエンスをカスタム ポータルまたはアプリケーションに埋め込むことができます。 利用可能なプラグインを使用したセッション、プロンプト、評価の作成をサポートし、カスタマイズされた AI 主導のセキュリティ ワークフローを可能にします。
- Security Copilot のセッションでは、生成された AI プロンプトと評価結果が格納されます。 セッションは、セッションを作成したユーザーだけが表示できます。
- セッション内に 1 つ以上の プロンプト オブジェクトを含めることができます。 プロンプトを作成しても、AI 結果は自動で生成されません。 プロンプトの処理を開始するには、評価 API が必要です。
- 評価が作成されるとすぐに AI 処理が開始されます。 プロンプトを使用した評価の作成により、AI 推論が開始されます。 API を使用すると、AI 評価が完了するまで中間結果をポーリングできます。
詳細については、以下を参照してください:
レコード管理
ほとんどの組織は、業界の規制や内部ポリシーにプロアクティブに準拠し、訴訟やセキュリティ侵害が発生した場合のリスクを軽減し、従業員が最新で関連する知識を効果的かつ機敏に共有できるようにするためにデータを管理する必要があります。 レコード管理 API を使用すると、異なる保持設定を必要とするさまざまな種類のコンテンツに保持ラベルを体系的に適用できます。 たとえば、コンテンツが作成されたとき、最後に変更されたとき、ラベル付けされたとき、または特定のイベントの種類に対してイベントが発生したときから、保持期間の開始を構成できます。 さらに、 ファイル プラン記述子 を使用して、これらの保持ラベルの管理性を向上させることができます。
セキュア スコア
Microsoft セキュア スコアは、セキュリティ ポートフォリオを可視化し、その方法を向上させるためのセキュリティ分析ソリューションです。 単一のスコアを使用することによって、Microsoft ソリューションにおいてリスクを軽減するために実行した事柄についてより良く把握できます。 また、自分のスコアを他の組織のスコアと比較したり、スコアが時間とともにどのように変化する傾向があるかも理解できます。 secureScore エンティティと secureScoreControlProfile エンティティは、セキュリティ機能の適切な組み合わせを有効にしながら、organization のセキュリティと生産性のニーズのバランスを取るのに役立ちます。 また、セキュリティ機能を導入した後のスコアを予測することもできます。
脅威インテリジェンス (プレビュー)
Microsoft Defender 脅威インテリジェンスは、世界クラスの脅威インテリジェンスを提供して、最新のサイバー脅威からorganizationを保護するのに役立ちます。 脅威インテリジェンスを使用して、敵とその操作を特定し、検出と修復を加速し、セキュリティへの投資とワークフローを強化できます。
脅威インテリジェンス API (プレビュー) を使用すると、ユーザー インターフェイス内にあるインテリジェンスを運用化できます。 これには、記事やインテリジェンス プロファイルの形式で完成したインテリジェンス、IoC や評判の判断などのマシン インテリジェンス、そして最後にパッシブ DNS、Cookie、コンポーネント、トラッカーなどのエンリッチメント データが含まれます。
脅威インテリジェンス インジケーター
注:
tiIndicator エンティティは非推奨となり、2026 年 4 月までに削除される予定です。
脅威インジケーターは、侵害のインジケーター (IoC) とも呼ばれ、悪意のあるファイル、URL、ドメイン、IP アドレスなどの既知の脅威に関するデータを表します。 お客様は、内部のさまざまな脅威インテリジェンスからインジケーターを作成したり、脅威インテリジェンス コミュニティ、ライセンスを取得したフィード、およびその他のソースからインジケーターを取得したりすることができます。 これらのインジケーターは、関連する脅威から保護するためにさまざまなセキュリティ ツールで使用されます。
tiIndicator エンティティを使用すると、お客様は脅威インジケーターを Microsoft セキュリティ ソリューションにフィードして、悪意のあるアクティビティに対してブロックまたはアラート アクションを実行したり、organization に無関係であると判断されたアクティビティを許可し、インジケーターのアクションを抑制したりできます。 インジケーターを送信するには、インジケーターを利用するための Microsoft セキュリティ ソリューションと、そのインジケーターに対して実行するアクションを指定します。
tiIndicator エンティティをアプリケーションに統合するか、次の統合された脅威インテリジェンス プラットフォーム (TIP) のいずれかを使用できます。
- Palo Alto Networks MineMeld Threat Intelligence Sharing
- TI サンプル により利用できる MISP Open Source Threat Intelligence Platform
Microsoft Graph security API 経由で送信される脅威インジケーターは、現在、次の製品で利用できます。
- Microsoft Defender for Endpoint – 悪意のあるアクティビティに関連する脅威インジケーターに対してアラートやブロックを行います。 また、自動化された調査からインジケーターを無視するためのインジケーターも使用できます。 サポートされているインジケーターの種類の詳細と、テナントごとのインジケーターのカウントに対する制限については、「インジケーターを管理する」を参照してください。
- Microsoft Sentinel – 脅威インテリジェンス インジケーターを Microsoft Sentinel に送信する方法に関する最新かつ詳細な手順については、「脅威インテリジェンス プラットフォームを Microsoft Sentinel に接続する」を参照してください。
脅威の送信
Microsoft Graph 脅威 送信 API は、組織がテナント内の任意のユーザーが受信した脅威を送信するのに役立ちます。 これによりお客様は、受信した迷惑メール、フィッシング URL、マルウェアの添付ファイルを、 Microsoft に報告できるようになります。 Microsoft は、提出された内容を有効な組織のポリシーと照合し、分析のために人間の採点者に送信します。 その結果は、テナント管理者が脅威スキャンの判断を理解し、組織のポリシーを調整するのに役立ちます。 管理者は、結果を使用して正当なメールを報告し、ブロックされないようにすることもできます。
メモ:非推奨の Information Protection 脅威評価 API の代わりに、脅威送信 API を使用することをお勧めします。 脅威申請 API は、統合されたセキュリティ脅威送信機能を提供し、統合された結果サポート、ユーザー提出クエリのサポート、テナント許可ブロック リストのサポート、管理者レビューのサポート、アプリのみモードのサポートを追加します。
Emailとコラボレーションの保護
Microsoft Defender for Office 365 は、フィッシング、ビジネス メールの侵害、マルウェア攻撃など、電子メールやコラボレーション ツールに対する高度な脅威からorganizationを保護するのに役立つクラウドベースのメール フィルター サービスです。 Microsoft Graph analyzedemails と Remediate API を使用して、分析されたメッセージに対してメール メタデータを取得し、応答アクション (論理的な削除、物理的な削除、迷惑メールへの移動、受信トレイへの移動) を実行できます。
メモ:これらの API は、Defender for Office 365 プラン 2 または Microsoft 365 A5/E5/F5/G5 セキュリティ サービス プランでのみ使用できます。 サービス プランの最新の一覧については、「Microsoft Defender for Office 365 サービスの説明」を参照してください。
センサー
Defender for Identity センサー管理 API を使用すると、サーバーの名前、センサーのバージョン、種類、状態、正常性状態に関する情報など、ワークスペース内のセンサーの詳細レポートを作成できます。 また、説明の追加、遅延更新の有効/無効化、センサーが接続して Entra ID を照会するドメイン コントローラーを指定するなど、センサーの設定を管理することもできます。
identityAccounts
identityAccounts リソースと関連 API を使用すると、Microsoft Defender for Identity アラートによってフラグが設定されたユーザーの詳細を取得し、アカウントの無効化や侵害されたユーザーのユーザー パスワードのリセットなどのアクションを適用できます。
データのセキュリティとガバナンス (プレビュー)
Microsoft Purview は、organizationのデータ資産全体のデータ ガバナンスとコンプライアンスを統合します。 データの検出、分類、保護を一元的に制御し、Microsoft 365 やサード パーティのデータ ソースと直接統合します。 これは、機密情報を管理し、データベース、ドキュメント、クラウド ストレージのいずれにあるかに関係なく、すべてのデータにわたって規制コンプライアンスを確保するためのコマンド センターと考えてください。
データ セキュリティとガバナンスの API を使用すると、開発者は、RAG アプリケーション、LOB アプリケーション、機密データを処理するシステムに不可欠な Purview の保護をシームレスに組み込むことができます。 これらの API は、Purview のポリシー評価エンジンへのプログラムによるアクセスを提供し、さまざまなアプリケーションにわたって一貫したデータ セキュリティとガバナンスの適用を保証します。
一般的なユース ケース
以下に、Microsoft Graph セキュリティ API を操作するための最も一般的な要求の一部を示します。
Microsoft Graph の変更通知 を使用して、Microsoft Graph セキュリティ API エンティティの更新プログラムに関する通知をサブスクライブしたり、受信したりできます。
次の手順
Microsoft Graph セキュリティ API を使用すると、Microsoft とそのパートナーのさまざまなセキュリティ ソリューションを利用するための新しい方法が開かれます。 以下の手順に従って開始しましょう。
- アラート、tiIndicator (プレビュー)、securityAction (プレビュー)、secureScore、secureScoreControlProfilesについて詳しく調査します。
- Graph エクスプローラーで API をお試しください。 [ サンプルクエリ] で、[ その他のサンプルを表示 ] を選択し、[セキュリティ] カテゴリを [オン] に設定します。
- エンティティ変更時の通知のサブスクライブと受信を試します。
関連コンテンツ
コードをコーディングして、この Microsoft Graph セキュリティ API サンプルに貢献してください。
Microsoft Graph セキュリティ API に接続するための他のオプションを検討します。
以下のコミュニティに参加できます。