Compartilhar via

Deteção de listasRules

  • Artigo

Espaço de nomes: microsoft.graph.security

Importante

As APIs na versão /beta no Microsoft Graph estão sujeitas a alterações. Não há suporte para o uso dessas APIs em aplicativos de produção. Para determinar se uma API está disponível na v1.0, use o seletor Versão.

Obtenha uma lista de regras de deteção personalizadas. Com as deteções personalizadas, pode monitorizar e responder proativamente a vários eventos e estados do sistema, incluindo atividades suspeitas de violação e recursos configurados incorretamente na rede da organização. As regras de deteção personalizadas, escritas na linguagem de consulta Kusto (KQL), acionam automaticamente alertas e ações de resposta assim que existirem eventos que correspondam às consultas KQL.

Esta API está disponível nas seguintes implementações de cloud nacionais.

Serviço global US Government L4 US Government L5 (DOD) China operada pela 21Vianet
✅ ❌ ❌ ❌

Permissões

Escolha a permissão ou permissões marcadas como menos privilegiadas para esta API. Utilize uma permissão ou permissões com privilégios mais elevados apenas se a sua aplicação o exigir. Para obter detalhes sobre as permissões delegadas e de aplicação, veja Tipos de permissão. Para saber mais sobre estas permissões, veja a referência de permissões.

Tipo de permissão Permissões com menos privilégios Permissões com privilégios superiores
Delegado (conta corporativa ou de estudante) CustomDetection.Read.All CustomDetection.ReadWrite.All
Delegado (conta pessoal da Microsoft) Sem suporte. Sem suporte.
Application CustomDetection.Read.All CustomDetection.ReadWrite.All

Solicitação HTTP

GET /security/rules/detectionRules

Parâmetros de consulta opcionais

Este método dá suporte a alguns parâmetros de consulta OData para ajudar a personalizar a resposta. Para obter informações gerais, acesse Parâmetros de consulta OData.

Cabeçalhos de solicitação

Nome Descrição
Autorização {token} de portador. Obrigatório. Saiba mais sobre autenticação e autorização.

Corpo da solicitação

Não forneça um corpo de solicitação para esse método.

Resposta

Se for bem-sucedido, este método devolve um 200 OK código de resposta e uma coleção de objetos detectionRule no corpo da resposta.

Exemplos

Solicitação

O exemplo a seguir mostra uma solicitação.

GET https://graph.microsoft.com/beta/security/rules/detectionRules?$top=3

Resposta

O exemplo a seguir mostra a resposta.

Observação: o objeto de resposta mostrado aqui pode ser encurtado para legibilidade.

HTTP/1.1 200 OK
Content-Type: application/json

{
  "value": [
    {
      "@odata.type": "#microsoft.graph.security.detectionRule",
      "id": "7506",
      "displayName": "ban file",
      "isEnabled": true,
      "createdBy": "NaderK@winatptestlic06.ccsctp.net",
      "createdDateTime": "2021-02-28T16:28:15.3863467Z",
      "lastModifiedDateTime": "2023-05-24T09:26:11.8630516Z",
      "lastModifiedBy": "GlobalAdmin@unifiedrbactest3.ccsctp.net",
      "detectorId": "67895317-b2a8-4ac3-8f8b-fa6b7765f2fe",
      "queryCondition": {
        "queryText": "DeviceFileEvents\r\n| where Timestamp > ago(1h)\r\n| where FileName == \"ifz30zlx.dll\"",
        "lastModifiedDateTime": null
      },
      "schedule": {
        "period": "24H",
        "nextRunDateTime": "2023-06-26T08:52:06.1766667Z"
      },
      "lastRunDetails": {
        "lastRunDateTime": "2023-06-25T08:52:06.1766667Z",
        "status": null,
        "failureReason": null,
        "errorCode": null
      },
      "detectionAction": {
        "alertTemplate": {
          "title": "unwanted dll",
          "description": "test",
          "severity": "low",
          "category": "Malware",
          "recommendedActions": null,
          "mitreTechniques": [],
          "impactedAssets": []
        },
        "organizationalScope": null,
        "responseActions": [
          {
            "@odata.type": "#microsoft.graph.security.restrictAppExecutionResponseAction",
            "identifier": "deviceId"
          },
          {
            "@odata.type": "#microsoft.graph.security.initiateInvestigationResponseAction",
            "identifier": "deviceId"
          },
          {
            "@odata.type": "#microsoft.graph.security.collectInvestigationPackageResponseAction",
            "identifier": "deviceId"
          },
          {
            "@odata.type": "#microsoft.graph.security.runAntivirusScanResponseAction",
            "identifier": "deviceId"
          },
          {
            "@odata.type": "#microsoft.graph.security.isolateDeviceResponseAction",
            "isolationType": "full",
            "identifier": "deviceId"
          },
          {
            "@odata.type": "#microsoft.graph.security.blockFileResponseAction",
            "identifier": "sha1",
            "deviceGroupNames": []
          }
        ]
      }
    },
    {
      "@odata.type": "#microsoft.graph.security.detectionRule",
      "id": "8575",
      "displayName": "Continuous_EmailAttachmentInfo_Mod300",
      "isEnabled": true,
      "createdBy": "rony@winatptestlic06.ccsctp.net",
      "createdDateTime": "2021-11-03T21:32:01.6144651Z",
      "lastModifiedDateTime": "2022-11-03T19:27:14.4187141Z",
      "lastModifiedBy": "InESecAdmin@winatptestlic06.ccsctp.net",
      "detectorId": "56ef4994-fe31-4ac9-b29f-0ca2f2cc9112",
      "queryCondition": {
        "queryText": "EmailAttachmentInfo\r\n| extend second = datetime_diff('second',now(),Timestamp)\r\n| where second % 300 == 0 ",
        "lastModifiedDateTime": "2022-11-03T19:27:14.4331537Z"
      },
      "schedule": {
        "period": "0",
        "nextRunDateTime": "2021-11-03T21:32:01.7863185Z"
      },
      "lastRunDetails": {
        "lastRunDateTime": "2021-11-03T21:32:01.7863185Z",
        "status": null,
        "failureReason": null,
        "errorCode": null
      },
      "detectionAction": {
        "alertTemplate": {
          "title": "EmailAttachmentInfo",
          "description": "EmailAttachmentInfo",
          "severity": "low",
          "category": "Exfiltration",
          "recommendedActions": "EmailAttachmentInfo",
          "mitreTechniques": [],
          "impactedAssets": [
            {
              "@odata.type": "#microsoft.graph.security.impactedMailboxAsset",
              "identifier": "recipientEmailAddress"
            },
            {
              "@odata.type": "#microsoft.graph.security.impactedUserAsset",
              "identifier": "recipientObjectId"
            }
          ]
        },
        "organizationalScope": null,
        "responseActions": [
          {
            "@odata.type": "#microsoft.graph.security.moveToDeletedItemsResponseAction",
            "identifier": "networkMessageId, recipientEmailAddress"
          }
        ]
      }
    },
    {
      "@odata.type": "#microsoft.graph.security.detectionRule",
      "id": "9794",
      "displayName": "UPDATED DET: Office/LoLBin Network Connection to Low-Reputation TLD",
      "isEnabled": true,
      "createdBy": "NaderK@winatptestlic06.ccsctp.net",
      "createdDateTime": "2022-02-02T10:26:01.7708581Z",
      "lastModifiedDateTime": "2022-02-02T10:26:01.7708581Z",
      "lastModifiedBy": "NaderK@winatptestlic06.ccsctp.net",
      "detectorId": "67aa92a1-b04b-4f2a-a223-236968a3da96",
      "queryCondition": {
        "queryText": "//https://www.spamhaus.org/statistics/tlds/      http://www.surbl.org/tld       https://www.iana.org/domains/root/db      https://unit42.paloaltonetworks.com/top-level-domains-cybercrime/\r\nDeviceNetworkEvents\r\n| where isnotempty(RemoteUrl) and RemoteIPType == \"Public\"\r\n| where InitiatingProcessFileName in~ (\"winword.exe\", \"excel.exe\", \"powerpnt.exe\", \"rundll32.exe\", \"regsvr32.exe\", \"certutil.exe\", \"bitsadmin.exe\", \"wscript.exe\", \"cscript.exe\", \"powershell.exe\", \"pwsh.exe\", \"powershell_ise.exe\")\r\n| extend TopLevelDomain=tolower(extract(@\"([A-Za-z0-9-]{1,63}\\.)+([A-Za-z]{2,10})\", 2, RemoteUrl))\r\n| where TopLevelDomain in (\"xyz\", \"top\", \"live\", \"loan\", \"club\", \"surf\", \"work\", \"biz\", \"ryukyu\", \"press\", \"ltd\", \"bid\", \"vip\", \"online\", \"download\" \"buzz\", \"cam\", \"ru\", \"cn\", \"ci\", \"ga\", \"gq\", \"tk\", \"tw\", \"ml\", \"cf\", \"cfd\", \"icu\", \"cm\")\r\n| extend TimeDiff=datetime_diff(\"Second\", Timestamp, InitiatingProcessCreationTime)\r\n| where TimeDiff < 30\r\n| project-reorder Timestamp, DeviceName, RemoteUrl, TopLevelDomain, TimeDiff, InitiatingProcessCommandLine, *\r\n//| summarize count() by InitiatingProcessFolderPath, TopLevelDomain, RemoteUrl",
        "lastModifiedDateTime": null
      },
      "schedule": {
        "period": "1H",
        "nextRunDateTime": "2023-06-25T10:17:06.4366667Z"
      },
      "lastRunDetails": {
        "lastRunDateTime": "2023-06-25T09:17:06.4366667Z",
        "status": null,
        "failureReason": null,
        "errorCode": null
      },
      "detectionAction": {
        "alertTemplate": {
          "title": "updated Office/LoLBin Network Connection to Low-Reputation TLD",
          "description": "This is a custom detection created by the Centene Detection Engineering team.\n\nAn Office application or Living-Off-The-Land Binary made an immediate remote connection to a domain with a low-reputation top level domain after execution. This activity is suspicious as threat actors typically use low-reputation TLDs for malicious purposes, such as hosting payloads for potential targets. These TLDs are often abused because of their low cost and lack of oversite. The TLDs included in the list cover destinations that have either a high count or a high percentage of low-reputation sites. ",
          "severity": "low",
          "category": "CommandAndControl",
          "recommendedActions": "Check the reputation of the RemoteUrl through OSINT tools such as VirusTotal and Hybrid Analysis.\n\nReview the document and device timeline for additional context and IOCs. \n\nCheck for related alerts on the associated endpoint. ",
          "mitreTechniques": ["T1071.001"],
          "impactedAssets": [
            {
              "@odata.type": "#microsoft.graph.security.impactedDeviceAsset",
              "identifier": "deviceId"
            }
          ]
        },
        "organizationalScope": {
          "scopeType": "deviceGroup",
          "scopeNames": ["UnassignedGroup"]
        },
        "responseActions": []
      }
    }
  ]
}