API списков индикаторов

  • Применяется к: Microsoft Defender for Endpoint, Microsoft Defender for Endpoint Plan 1

Описание API

Извлекает коллекцию всех активных индикаторов.

Поддерживает запросы OData версии 4. Поддерживаемые операторы OData:

  • $filter в следующих операторах: application
    • createdByDisplayName
    • expirationTime
    • generateAlert
    • title
    • rbacGroupNames
    • rbacGroupIds
    • indicatorValue
    • indicatorType
    • creationTimeDateTimeUtc
    • createdBy
    • action
    • severity
  • $stop с максимальным значением 10 000.
  • $skip

Примеры см. в статье Запросы OData с Microsoft Defender для конечной точки.

Ограничения

Ограничения скорости для этого API — 100 вызовов в минуту и 1500 вызовов в час.

Разрешения

Для вызова этого API требуется одно из следующих разрешений. Дополнительные сведения, включая выбор разрешений, см. в статье Начало работы.

Тип разрешения Разрешение Отображаемое имя разрешения
Приложение Ti.ReadWrite Read and write Indicators
Приложение Ti.ReadWrite.All Read and write All Indicators
Делегированные (рабочая или учебная учетная запись) Ti.ReadWrite Read and write Indicators

HTTP-запрос

GET https://api.security.microsoft.com/api/indicators

Заголовки запросов

Имя Тип Описание
Авторизация String Bearer {token}. Обязательное поле.

Текст запроса

переменная Empty

Отклик

В случае успешного выполнения этот метод возвращает код ответа 200, ОК с коллекцией сущностей Индикатора .

Если у приложения есть Ti.ReadWrite.All разрешение, оно будет предоставляться для всех индикаторов. В противном случае он будет предоставляться только созданным индикаторам.

Пример 1

Пример запроса 1

Ниже приведен пример запроса, который получает все индикаторы.

GET https://api.security.microsoft.com/api/indicators

Пример ответа 1

Ниже приведен пример отклика.

HTTP/1.1 200 Ok
Content-type: application/json
{
    "@odata.context": "https://api.security.microsoft.com/api/$metadata#Indicators",
    "value": [
        {
            "id": "995",
            "indicatorValue": "12.13.14.15",
            "indicatorType": "IpAddress",
            "action": "Alert",
            "application": "demo-test",
            "source": "TestPrdApp",
            "sourceType": "AadApp",
            "title": "test",
            "creationTimeDateTimeUtc": "2018-10-24T11:15:35.3688259Z",
            "createdBy": "45097602-1234-5678-1234-9f453233e62c",
            "expirationTime": "2020-12-12T00:00:00Z",
            "lastUpdateTime": "2019-10-24T10:54:23.2009016Z",
            "lastUpdatedBy": TestPrdApp,
            "severity": "Informational",
            "description": "test",
            "recommendedActions": "test",
            "rbacGroupNames": []
        },
        {
            "id": "996",
            "indicatorValue": "220e7d15b0b3d7fac48f2bd61114db1022197f7f",
            "indicatorType": "FileSha1",
            "action": "AlertAndBlock",
            "application": null,
            "source": "TestPrdApp",
            "sourceType": "AadApp",
            "title": "test",
            "creationTimeDateTimeUtc": "2018-10-24T10:54:23.2009016Z",
            "createdBy": "45097602-1234-5678-1234-9f453233e62c",
            "expirationTime": "2020-12-12T00:00:00Z",
            "lastUpdateTime": "2019-10-24T10:54:23.2009016Z",
            "lastUpdatedBy": TestPrdApp,
            "severity": "Informational",
            "description": "test",
            "recommendedActions": "TEST",
            "rbacGroupNames": [ "Group1", "Group2" ]
        }
        ...
    ]
}

Пример 2

Пример запроса 2

Ниже приведен пример запроса, который получает все индикаторы с AlertAndBlock действием.

GET https://api.security.microsoft.com/api/indicators?$filter=action+eq+'AlertAndBlock'

Пример 2 ответа

Ниже приведен пример отклика.

HTTP/1.1 200 Ok
Content-type: application/json
{
    "@odata.context": "https://api.security.microsoft.com/api/$metadata#Indicators",
    "value": [
        {
            "id": "997",
            "indicatorValue": "111e7d15b0b3d7fac48f2bd61114db1022197f7f",
            "indicatorType": "FileSha1",
            "action": "AlertAndBlock",
            "application": null,
            "source": "TestPrdApp",
            "sourceType": "AadApp",
            "title": "test",
            "creationTimeDateTimeUtc": "2018-10-24T10:54:23.2009016Z",
            "createdBy": "45097602-1234-5678-1234-9f453233e62c",
            "expirationTime": "2020-12-12T00:00:00Z",
            "lastUpdateTime": "2019-10-24T10:54:23.2009016Z",
            "lastUpdatedBy": TestPrdApp,
            "severity": "Informational",
            "description": "test",
            "recommendedActions": "TEST",
            "rbacGroupNames": [ "Group1", "Group2" ]
        }
        ...
    ]
}
  • Last updated on