API списков индикаторов

Статья
08/14/2024

Область применения:

Хотите попробовать Microsoft Defender для конечной точки? Зарегистрироваться для бесплатной пробной версии.

Примечание.

Если вы являетесь клиентом для государственных организаций США, используйте URI, перечисленные в Microsoft Defender для конечной точки для клиентов государственных организаций США.

Совет

Для повышения производительности можно использовать сервер ближе к географическому расположению:

us.api.security.microsoft.com
eu.api.security.microsoft.com
uk.api.security.microsoft.com
au.api.security.microsoft.com
swa.api.security.microsoft.com
ina.api.security.microsoft.com

Описание API

Извлекает коллекцию всех активных индикаторов.

Поддерживает запросы OData версии 4.

Запрос OData поддерживается для applicationсвойств , createdByDisplayName, expirationTime, generateAlert, title, rbacGroupNames, , rbacGroupIds, indicatorValue, indicatorType, creationTimeDateTimeUtc, createdByaction, и severity .$filter
$stop с максимальным значением 10 000.
$skip.

Примеры см. в статье Запросы OData с помощью Microsoft Defender для конечной точки.

Ограничения

Ограничения скорости для этого API — 100 вызовов в минуту и 1500 вызовов в час.

Разрешения

Для вызова этого API требуется одно из следующих разрешений. Дополнительные сведения, включая выбор разрешений, см. в статье Начало работы.

Тип разрешения	Разрешение	Отображаемое имя разрешения
Приложение	Ti.ReadWrite	`Read and write Indicators`
Приложение	Ti.ReadWrite.All	`Read and write All Indicators`
Делегированные (рабочая или учебная учетная запись)	Ti.ReadWrite	`Read and write Indicators`

HTTP-запрос

GET https://api.securitycenter.microsoft.com/api/indicators

Заголовки запросов

Имя	Тип	Описание
Авторизация	String	Bearer {token}. Обязательное поле.

Текст запроса

переменная Empty

Отклик

В случае успешного выполнения этот метод возвращает код ответа 200, ОК с коллекцией сущностей Индикатора .

Примечание.

Если у приложения есть Ti.ReadWrite.All разрешение, оно будет предоставляться для всех индикаторов. В противном случае он будет предоставляться только созданным индикаторам.

Пример 1

Пример запроса 1

Ниже приведен пример запроса, который получает все индикаторы.

GET https://api.securitycenter.microsoft.com/api/indicators

Пример ответа 1

Ниже приведен пример отклика.

HTTP/1.1 200 Ok
Content-type: application/json
{
    "@odata.context": "https://api.securitycenter.microsoft.com/api/$metadata#Indicators",
    "value": [
        {
            "id": "995",
            "indicatorValue": "12.13.14.15",
            "indicatorType": "IpAddress",
            "action": "Alert",
            "application": "demo-test",
            "source": "TestPrdApp",
            "sourceType": "AadApp",
            "title": "test",
            "creationTimeDateTimeUtc": "2018-10-24T11:15:35.3688259Z",
            "createdBy": "45097602-1234-5678-1234-9f453233e62c",
            "expirationTime": "2020-12-12T00:00:00Z",
            "lastUpdateTime": "2019-10-24T10:54:23.2009016Z",
            "lastUpdatedBy": TestPrdApp,
            "severity": "Informational",
            "description": "test",
            "recommendedActions": "test",
            "rbacGroupNames": []
        },
        {
            "id": "996",
            "indicatorValue": "220e7d15b0b3d7fac48f2bd61114db1022197f7f",
            "indicatorType": "FileSha1",
            "action": "AlertAndBlock",
            "application": null,
            "source": "TestPrdApp",
            "sourceType": "AadApp",
            "title": "test",
            "creationTimeDateTimeUtc": "2018-10-24T10:54:23.2009016Z",
            "createdBy": "45097602-1234-5678-1234-9f453233e62c",
            "expirationTime": "2020-12-12T00:00:00Z",
            "lastUpdateTime": "2019-10-24T10:54:23.2009016Z",
            "lastUpdatedBy": TestPrdApp,
            "severity": "Informational",
            "description": "test",
            "recommendedActions": "TEST",
            "rbacGroupNames": [ "Group1", "Group2" ]
        }
        ...
    ]
}

Пример 2

Пример запроса 2

Ниже приведен пример запроса, который получает все индикаторы с AlertAndBlock действием.

GET https://api.securitycenter.microsoft.com/api/indicators?$filter=action+eq+'AlertAndBlock'

Пример 2 ответа