Тип ресурса alert

Полный интерфейс API оповещений для всех продуктов Майкрософт Defender см. в статье Использование API безопасности Microsoft Graph — Microsoft Graph | Майкрософт Learn.

Свойства

Свойство	Тип	Описание
ИД	String	ИД оповещения.
title	String	Заголовок оповещения.
description	String	Описание оповещения.
alertCreationTime	DateTimeOffset, допускающий значение NULL	Дата и время создания оповещения (в формате UTC).
lastEventTime	DateTimeOffset, допускающий значение NULL	Последнее событие, которое вызвало оповещение на том же устройстве.
firstEventTime	DateTimeOffset, допускающий значение NULL	Первое событие, которое активировало оповещение на этом устройстве.
lastUpdateTime	DateTimeOffset, допускающий значение NULL	Дата и время последнего обновления оповещения (в формате UTC).
resolvedTime	DateTimeOffset, допускающий значение NULL	Дата и время изменения состояния оповещения на Разрешено.
incidentId	Long, допускающий значение NULL	Идентификатор инцидента оповещения.
investigationId	Long, допускающий значение NULL	Идентификатор исследования , связанный с оповещением.
investigationState	Перечисление, допускающее значение NULL	Текущее состояние исследования. Возможные значения: Unknown, Terminated, SuccessfullyRemediated, Доброкачественный, Failed, PartiallyRemediated, Running, PendingApproval, PendingResource, PartiallyInvestigated, TerminatedByUser, TerminatedBySystem, Queued, InnerFailure, PreexistingAlert, UnsupportedOs, UnsupportedAlertType, SuppressedAlert.
assignedTo	String	Владелец оповещения.
rbacGroupName	String	Имя группы устройств управления доступом на основе ролей.
mitreTechniques	String	Идентификатор техники Mitre Enterprise.
relatedUser	String	Сведения о пользователе, связанном с определенным оповещением.
severity	Перечисление	Степень серьезности оповещения. Возможные значения: UnSpecified, Информационный, Low, Medium и High.
status	Перечисление	Указывает текущее состояние оповещения. Возможные значения: Unknown, New, InProgress и Resolved.
classification	Перечисление, допускающее значение NULL	Спецификация оповещения. Возможные значения: TruePositive, Informational, expected activityи FalsePositive.
Определение	Перечисление, допускающее значение NULL	Указывает определение оповещения. Возможные значения определения для каждой классификации: Истинный положительный результат: Multistage attack (MultiStagedAttack), Malicious user activity (MalwareUserActivity), Compromised account (CompromisedUser) — рассмотрите возможность изменения имени перечисления в общедоступном API соответствующим образом Malware (Вредоносные программы), Phishing (Фишинг), Unwanted software (UnwantedSoftware) и Other (Прочее). Информационное ожидаемое действие:Security test (SecurityTesting), Line-of-business application (LineOfBusinessApplication), Confirmed activity (ConfirmedUserActivity) — рассмотрите возможность изменения имени перечисления в общедоступном API соответствующим образом и Other (Другое). Ложноположительный результат:Not malicious (Чистая) — рассмотрите возможность изменения имени перечисления в общедоступном API соответствующим образом ( Not enough data to validate InsufficientData) и Other (Other).
category	String	Категория оповещения.
detectionSource	String	Источник обнаружения.
threatFamilyName	String	Семейство угроз.
threatName	String	Имя угрозы.
machineId	String	Идентификатор сущности компьютера , связанной с оповещением.
computerDnsName	String	полное имя компьютера.
aadTenantId	String	Microsoft Entra ID.
detectorId	String	Идентификатор детектора, активировав оповещение.
comments	Список комментариев к оповещению	Объект Alert Comment содержит строку комментария, строку createdBy и время даты createTime.
Свидетельство	Список свидетельств оповещений	Доказательства, связанные с оповещением. См. следующий пример.

Примечание.

Примерно 29 августа 2022 г. поддерживаемые ранее значения определения оповещений (Apt и SecurityPersonnel) будут устарели и больше не будут доступны через API.

Пример ответа для получения одного оповещения:

GET https://api.security.microsoft.com/api/alerts/da637472900382838869_1364969609

{
    "id": "da637472900382838869_1364969609",
    "incidentId": 1126093,
    "investigationId": null,
    "assignedTo": null,
    "severity": "Low",
    "status": "New",
    "classification": null,
    "determination": null,
    "investigationState": "Queued",
    "detectionSource": "WindowsDefenderAtp",
    "detectorId": "17e10bbc-3a68-474a-8aad-faef14d43952",
    "category": "Execution",
    "threatFamilyName": null,
    "title": "Low-reputation arbitrary code executed by signed executable",
    "description": "Binaries signed by Microsoft can be used to run low-reputation arbitrary code. This technique hides the execution of malicious code within a trusted process. As a result, the trusted process might exhibit suspicious behaviors, such as opening a listening port or connecting to a command-and-control (C&C) server.",
    "alertCreationTime": "2021-01-26T20:33:57.7220239Z",
    "firstEventTime": "2021-01-26T20:31:32.9562661Z",
    "lastEventTime": "2021-01-26T20:31:33.0577322Z",
    "lastUpdateTime": "2021-01-26T20:33:59.2Z",
    "resolvedTime": null,
    "machineId": "111e6dd8c833c8a052ea231ec1b19adaf497b625",
    "computerDnsName": "temp123.middleeast.corp.microsoft.com",
    "rbacGroupName": "A",
    "aadTenantId": "a839b112-1253-6432-9bf6-94542403f21c",
    "threatName": null,
    "mitreTechniques": [
        "T1064",
        "T1085",
        "T1220"
    ],
    "relatedUser": {
        "userName": "temp123",
        "domainName": "DOMAIN"
    },
    "comments": [
        {
            "comment": "test comment for docs",
            "createdBy": "secop123@contoso.com",
            "createdTime": "2021-01-26T01:00:37.8404534Z"
        }
    ],
    "evidence": [
        {
            "entityType": "User",
            "evidenceCreationTime": "2021-01-26T20:33:58.42Z",
            "sha1": null,
            "sha256": null,
            "fileName": null,
            "filePath": null,
            "processId": null,
            "processCommandLine": null,
            "processCreationTime": null,
            "parentProcessId": null,
            "parentProcessCreationTime": null,
            "parentProcessFileName": null,
            "parentProcessFilePath": null,
            "ipAddress": null,
            "url": null,
            "registryKey": null,
            "registryHive": null,
            "registryValueType": null,
            "registryValue": null,
            "accountName": "name",
            "domainName": "DOMAIN",
            "userSid": "S-1-5-21-11111607-1111760036-109187956-75141",
            "aadUserId": "11118379-2a59-1111-ac3c-a51eb4a3c627",
            "userPrincipalName": "temp123@microsoft.com",
            "detectionStatus": null
        },
        {
            "entityType": "Process",
            "evidenceCreationTime": "2021-01-26T20:33:58.6133333Z",
            "sha1": "ff836cfb1af40252bd2a2ea843032e99a5b262ed",
            "sha256": "a4752c71d81afd3d5865d24ddb11a6b0c615062fcc448d24050c2172d2cbccd6",
            "fileName": "rundll32.exe",
            "filePath": "C:\\Windows\\SysWOW64",
            "processId": 3276,
            "processCommandLine": "rundll32.exe  c:\\temp\\suspicious.dll,RepeatAfterMe",
            "processCreationTime": "2021-01-26T20:31:32.9581596Z",
            "parentProcessId": 8420,
            "parentProcessCreationTime": "2021-01-26T20:31:32.9004163Z",
            "parentProcessFileName": "rundll32.exe",
            "parentProcessFilePath": "C:\\Windows\\System32",
            "ipAddress": null,
            "url": null,
            "registryKey": null,
            "registryHive": null,
            "registryValueType": null,
            "registryValue": null,
            "accountName": null,
            "domainName": null,
            "userSid": null,
            "aadUserId": null,
            "userPrincipalName": null,
            "detectionStatus": "Detected"
        },
        {
            "entityType": "File",
            "evidenceCreationTime": "2021-01-26T20:33:58.42Z",
            "sha1": "8563f95b2f8a284fc99da44500cd51a77c1ff36c",
            "sha256": "dc0ade0c95d6db98882bc8fa6707e64353cd6f7767ff48d6a81a6c2aef21c608",
            "fileName": "suspicious.dll",
            "filePath": "c:\\temp",
            "processId": null,
            "processCommandLine": null,
            "processCreationTime": null,
            "parentProcessId": null,
            "parentProcessCreationTime": null,
            "parentProcessFileName": null,
            "parentProcessFilePath": null,
            "ipAddress": null,
            "url": null,
            "registryKey": null,
            "registryHive": null,
            "registryValueType": null,
            "registryValue": null,
            "accountName": null,
            "domainName": null,
            "userSid": null,
            "aadUserId": null,
            "userPrincipalName": null,
            "detectionStatus": "Detected"
        }
    ]
}