Partilhar via


Referência da API de gestão de alertas para consolas de gestão no local

Este artigo lista as APIs REST de gestão de alertas suportadas para Microsoft Defender para consolas de gestão no local do IoT.

alertas (Obter informações de alerta)

Utilize esta API para obter todos os alertas ou os alertas filtrados a partir de uma consola de gestão no local.

URI: /external/v1/alerts ou /external/v2/alerts

GET

Parâmetros de consulta:

Nome Descrição Exemplo Obrigatório/Opcional
estado Obtenha apenas alertas processados ou não processados. Valores suportados:
- handled
- unhandled
Todos os outros valores são ignorados.
/api/v1/alerts?state=handled Opcional
fromTime Obtenha alertas criados a partir de um determinado momento, em milissegundos a partir da hora da época e no fuso horário UTC. /api/v1/alerts?fromTime=<epoch> Opcional
toTime Obtenha alertas criados apenas antes num determinado momento, em milissegundos a partir da hora da época e no fuso horário UTC. /api/v1/alerts?toTime=<epoch> Opcional
siteId O site no qual o alerta foi detetado. /api/v1/alerts?siteId=1 Opcional
zoneId A zona em que o alerta foi detetado. /api/v1/alerts?zoneId=1 Opcional
sensorId O sensor no qual o alerta foi detetado. /api/v1/alerts?sensorId=1 Opcional

Nota

Poderá não ter o ID do site e da zona. Se for este o caso, consulte primeiro todos os dispositivos para obter o ID do site e da zona. Para obter mais informações, veja Referência da API de Integração para consolas de gestão no local (Pré-visualização pública).

UUID (Gerir alertas com base no UUID)

Utilize esta API para tomar medidas especificadas num alerta específico detetado pelo Defender para IoT.

Por exemplo, pode utilizar esta API para criar uma regra de reencaminhamento que reencaminha dados para o QRadar. Para obter mais informações, veja Integrar o Qradar com Microsoft Defender para IoT.

URI: /external/v1/alerts/<UUID>

PUT

Tipo: JSON

Parâmetros de consulta:

Nome Descrição Exemplo Obrigatório/Opcional
UUID Define o identificador universalmente exclusivo (UUID) para o alerta que pretende processar ou processar e aprender. /api/v1/alerts/7903F632-H7EJ-4N69-F40F-4B1E689G00Q0 Necessário

Parâmetros do corpo

Nome Descrição Exemplo Obrigatório/Opcional
ação String Ou handlehandleAndLearn Necessário

Exemplo de pedido

{
    "action": "handle"
}

maintenanceWindow (Criar exclusões de alerta)

Gere janelas de manutenção, nas quais os alertas não serão enviados. Utilize esta API para definir e atualizar horas de paragem e início, dispositivos ou sub-redes que devem ser excluídos ao acionar alertas ou definir e atualizar motores do Defender para IoT que devem ser excluídos.

Por exemplo, durante uma janela de manutenção, poderá querer parar a entrega de alertas de todos os alertas, exceto alertas de software maligno em dispositivos críticos.

As janelas de manutenção que definem com a maintenanceWindow API aparecem na janela Exclusões de Alertas da consola de gestão no local como uma regra de exclusão só de leitura, com o nome com a seguinte sintaxe: Maintenance-{token name}-{ticket ID}.

Importante

Esta API é suportada apenas para fins de manutenção e por um período de tempo limitado e não se destina a ser utilizada em vez de regras de exclusão de alertas. Utilize esta API apenas para operações de manutenção temporária única.

URI: /external/v1/maintenanceWindow

POST

Cria uma nova janela de manutenção.

Parâmetros do corpo:

Nome Descrição Exemplo Obrigatório/Opcional
ticketId Cadeia. Define o ID do pedido de manutenção nos sistemas do utilizador. Certifique-se de que o ID da permissão não está ligado a uma janela aberta existente. 2987345p98234 Necessário
ttl Número inteiro positivo. Define o TTL (time to live), que é a duração da janela de manutenção, em minutos. Após a conclusão do período de tempo definido, a janela de manutenção termina e o sistema comporta-se normalmente novamente. 180 Necessário
motores Matriz JSON de cadeias. Define o motor a partir do qual suprimir alertas durante a janela de manutenção. Valores possíveis:

- ANOMALY
- MALWARE
- OPERATIONAL
- POLICY_VIOLATION
- PROTOCOL_VIOLATION
ANOMALY,OPERATIONAL Opcional
sensorIds Matriz JSON de cadeias. Define os sensores a partir dos quais suprimir alertas durante a janela de manutenção. Pode obter estes IDs de sensor a partir da API de aplicações (Gerir aplicações de sensores OT ). 1,35,63 Opcional
sub-redes Matriz JSON de cadeias. Define as sub-redes a partir das quais suprimir alertas durante a janela de manutenção. Defina cada sub-rede numa notação CIDR. 192.168.0.0/16,138.136.80.0/14,112.138.10.0/8 Opcional

DELETE

Fecha uma janela de manutenção existente.

Parâmetros de consulta:

Nome Descrição Exemplo Obrigatório/Opcional
ticketId Define o ID do pedido de manutenção nos sistemas do utilizador. Certifique-se de que o ID do pedido está ligado a uma janela aberta existente. 2987345p98234 Necessário

GET

Obtenha um registo de todas as ações abertas (POST), close (DELETE) e update (PUT) que foram realizadas com esta API para processar janelas de manutenção. T

Parâmetros de consulta:

Nome Descrição Exemplo Obrigatório/Opcional
fromDate Filtra os registos a partir da data predefinida e posterior. O formato é YYYY-MM-DD. 2022-08-10 Opcional
toDate Filtra os registos até à data predefinida. O formato é YYYY-MM-DD. 2022-08-10 Opcional
ticketId Filtra os registos relacionados com um ID de pedido específico. 9a5fe99c-d914-4bda-9332-307384fe40bf Opcional
tokenName Filtra os registos relacionados com um nome de token específico. quarterly-sanidade-window Opcional

Códigos de erro:

Código Mensagem Descrição
200 OK A ação foi concluída com êxito.
204: Sem Conteúdo Não existem dados para mostrar.
400 Pedido Incorreto O formato de data está incorreto.
500 Erro de Servidor Interno Qualquer outro erro inesperado.

PUT

Permite-lhe atualizar a duração da janela de manutenção depois de iniciar o processo de manutenção ao alterar o ttl parâmetro. A nova definição de duração substitui a anterior.

Este método é útil quando pretende definir uma duração mais longa do que a duração atualmente configurada. Por exemplo, se tiver definido originalmente 180 minutos, passaram 90 minutos e pretender adicionar mais 30 minutos, atualize o ttl minuto para 120 repor a contagem de duração.

Parâmetros de consulta:

Nome Descrição Exemplo Obrigatório/Opcional
ticketId Cadeia. Define o ID do pedido de manutenção nos sistemas do utilizador. 2987345p98234 Necessário
ttl Número inteiro positivo. Define a duração da janela em minutos. 210 Necessário

pcap (PCAP de alerta de pedido)

Utilize esta API para pedir um ficheiro PCAP relacionado com um alerta.

URI: /external/v2/alerts/

GET

Parâmetros de consulta:

Nome Descrição Exemplo Obrigatório/Opcional
id ID de alerta da consola de gestão no local /external/v2/alerts/pcap/<id> Necessário

Passos seguintes

Para obter mais informações, veja Descrição geral da referência da API do Defender para IoT.