Пакетное обновление оповещений

  • Применяется к: Microsoft Defender for Endpoint, Microsoft Defender for Endpoint Plan 1

Описание API

Обновления свойства пакета существующих оповещений.

Отправка комментария доступна с обновлением свойств или без нее.

Обновляемые свойства: status, determination, classificationи assignedTo.

Ограничения

  • Вы можете обновить оповещения, доступные в API. Дополнительные сведения см. в разделе Список оповещений.
  • Ограничения скорости для этого API : 10 вызовов в минуту и 500 вызовов в час.

Разрешения

При получении маркера с использованием учетных данных пользователя:

Для вызова этого API требуется одно из следующих разрешений. Дополнительные сведения о выборе разрешений см. в статье Использование API Microsoft Defender для конечной точки.

Тип разрешения Разрешение Отображаемое имя разрешения
Приложение Alert.ReadWrite.All "Чтение и запись всех оповещений"
Делегированные (рабочая или учебная учетная запись) Alert.ReadWrite "Чтение и запись оповещений"

HTTP-запрос

POST /api/alerts/batchUpdate

Заголовки запросов

Имя Тип Описание
Авторизация String Носитель {token}. Обязательное поле.
Content-Type String application/json. Обязательное поле.

Текст запроса

В тексте запроса укажите идентификаторы обновляемых оповещений и значения соответствующих полей, которые необходимо обновить для этих оповещений.

Существующие свойства, которые не включены в текст запроса, будут поддерживать свои предыдущие значения или пересчитываться на основе изменений других значений свойств.

Для достижения оптимальной производительности не следует включать существующие значения, которые не изменились.

Свойство Тип Описание
alertIds Строка списка<> Список идентификаторов оповещений, которые необходимо обновить. Required
status String Указывает обновленное состояние указанных оповещений. Значения свойств: "New", "InProgress" и "Resolved".
assignedTo String Владелец указанных оповещений
classification String Указывает спецификацию указанных оповещений. Значения свойств: TruePositive, Informational, expected activityи FalsePositive.
Определение String Указывает определение указанных оповещений.

Возможные значения определения для каждой классификации:

  • Истинный положительный результат: Multistage attack (MultiStagedAttack), Malicious user activity (MalwareUserActivity), Compromised account (CompromisedUser) — рассмотрите возможность изменения имени перечисления в общедоступном API соответствующим образом Malware (Вредоносные программы), Phishing (Фишинг), Unwanted software (UnwantedSoftware) и Other (Прочее).
  • Информационное ожидаемое действие:Security test (SecurityTesting), Line-of-business application (LineOfBusinessApplication), Confirmed activity (ConfirmedUserActivity) — рассмотрите возможность изменения имени перечисления в общедоступном API соответствующим образом и Other (Другое).
  • Ложноположительный результат:Not malicious (Чистая) — рассмотрите возможность изменения имени перечисления в общедоступном API соответствующим образом ( Not enough data to validate InsufficientData) и Other (Other).
    		•
    комментарий String Комментарий, добавляемый в указанные оповещения.

    Примечание.

    Примерно 29 августа 2022 г. поддерживаемые ранее значения определения оповещений ("Apt" и "SecurityPersonnel") станут устаревшими и больше не будут доступны через API.

    Отклик

    В случае успешного выполнения этот метод возвращает значение 200 ОК с пустым текстом ответа.

    Пример

    Запрос

    Ниже приведен пример запроса.

    POST https://api.security.microsoft.com/api/alerts/batchUpdate

    {
    "alertIds": ["da637399794050273582_760707377", "da637399989469816469_51697947354"],
    "status": "Resolved",
    "assignedTo": "secop2@contoso.com",
    "classification": "FalsePositive",
    "determination": "Malware",
    "comment": "Resolve my alert and assign to secop2"
}
    • Last updated on