Del via

Send eller oppdater indikator-API

  • Artikkel

Gjelder for:

Vil du oppleve Defender for endepunkt? Registrer deg for en gratis prøveperiode.

Obs!

Hvis du er us Government-kunde, kan du bruke URI-ene som er oppført i Microsoft Defender for Endpoint for US Government-kunder.

Tips

Hvis du vil ha bedre ytelse, kan du bruke serveren nærmere geografisk plassering:

  • us.api.security.microsoft.com
  • eu.api.security.microsoft.com
  • uk.api.security.microsoft.com
  • au.api.security.microsoft.com
  • swa.api.security.microsoft.com
  • ina.api.security.microsoft.com

API-beskrivelse

Sender eller oppdaterer ny indikatorenhet .

CIDR-notasjon for IP-er støttes ikke.

Begrensninger

  1. Satsbegrensninger for denne API-en er 100 oppkall per minutt og 1500 anrop per time.
  2. Det er en grense på 15 000 aktive indikatorer per leier.

Tillatelser

Én av følgende tillatelser er nødvendig for å kalle opp denne API-en. Hvis du vil ha mer informasjon, inkludert hvordan du velger tillatelser, kan du se Komme i gang.

Tillatelsestype Tillatelse Visningsnavn for tillatelse
Program Ti.ReadWrite Read and write Indicators
Program Ti.ReadWrite.All Read and write All Indicators
Delegert (jobb- eller skolekonto) Ti.ReadWrite Read and write Indicators

HTTP-forespørsel

POST https://api.securitycenter.microsoft.com/api/indicators

Forespørselshoder

Navn Type: Beskrivelse
Autorisasjon Streng Bærer {token}. Obligatorisk.
Innholdstype streng program/json. Obligatorisk.

Forespørselstekst

Angi et JSON-objekt med følgende parametere i forespørselsteksten:

Parameter Type: Beskrivelse
indicatorValue Streng Identiteten til indikatorenheten . Obligatorisk
indicatorType Opplisting Type indikator. Mulige verdier er: FileSha1, FileMd5, CertificateThumbprint, FileSha256, IpAddress, DomainNameog Url. Obligatorisk
handling Opplisting Handlingen som utføres hvis indikatoren oppdages i organisasjonen. Mulige verdier er: Alert, Warn, Block, Audit, BlockAndRemediate, AlertAndBlockog Allowed. Obligatorisk. Parameteren GenerateAlert må settes til TRUE når du oppretter en handling med Audit.
søknad Streng Programmet som er knyttet til indikatoren. Dette feltet fungerer bare for nye indikatorer. Den oppdaterer ikke verdien på en eksisterende indikator. Valgfri
tittel Streng Tittel på indikatorvarsel. Obligatorisk
beskrivelse Streng Beskrivelse av indikatoren. Obligatorisk
expirationTime DateTimeOffset Utløpstiden for indikatoren. Valgfri
Alvorlighetsgraden Opplisting Alvorsgraden for indikatoren. Mulige verdier er: Informational, Low, Mediumog High. Valgfri
recommendedActions Streng Anbefalte handlinger for TI-indikatorvarsel. Valgfri
rbacGroupNames Streng Kommadelt liste over RBAC-gruppenavn indikatoren vil bli brukt på. Valgfri
educateUrl Streng Egendefinert url-adresse for varsling/støtte. Støttes for handlingstyper for blokk og advarsel for URL-indikatorer. Valgfri
generateAlert Opplisting Sann hvis generering av varsel kreves, Usann hvis denne indikatoren ikke skal generere et varsel.

Svar

  • Hvis dette lykkes, returnerer denne metoden 200 – OK-svarkode og den opprettede/oppdaterte indikatorenheten i svarteksten.
  • Hvis dette ikke lykkes, returnerer denne metoden 400 – ugyldig forespørsel. Ugyldig forespørsel angir vanligvis feil brødtekst.

Eksempel

Anmodning

Her er et eksempel på forespørselen.

POST https://api.securitycenter.microsoft.com/api/indicators

{
    "indicatorValue": "220e7d15b011d7fac48f2bd61114db1022197f7f",
    "indicatorType": "FileSha1",
    "title": "test",
    "application": "demo-test",
    "expirationTime": "2020-12-12T00:00:00Z",
    "action": "AlertAndBlock",
    "severity": "Informational",
    "description": "test",
    "recommendedActions": "nothing",
    "rbacGroupNames": ["group1", "group2"]
}

Relatert artikkel

Tips

Vil du lære mer? Engasjer deg med Microsoft Security-fellesskapet i det tekniske fellesskapet vårt: Microsoft Defender for Endpoint Tech Community.