API'leri kullanarak Microsoft Sentinel veri gölünde KQL sorguları çalıştırma

Microsoft Sentinel data lake, REST API'lerini kullanarak program aracılığıyla Kusto Sorgu Dili (KQL) sorguları çalıştırmayı destekler. REST API'lerinin kullanılması, güvenlik ekiplerinin ve otomasyon sistemlerinin Azure portalı veya etkileşimli sorgu editörleri kullanmadan analitik sonuçları elde etmesini sağlar. Bu makalede API'nin ne zaman kullanılacağı, gerekli izinler ve temel bir sorgu isteğinin nasıl gönder yapılacağı açıklanır.

KQL sorgu API'si ne zaman kullanılır

KQL sorgu API'si, aşağıdakiler dahil olmak üzere sistemden sisteme erişim senaryoları için tasarlanmıştır:

  • Otomasyon ve düzenleme iş akışları
  • Arka plan hizmetleri ve zamanlanmış işler
  • Girdi olarak sorgu sonuçlarını kullanan ajan ve güvenlik araçları
  • Dış sistem veya aracılarla tümleştirme

Etkileşimli araştırma ve geçici analiz için bunun yerine Defender portalından KQL sorguları çalıştırın.

Kimlik doğrulaması ve izinler

aşağıdakilerden birini kullanarak Sentinel data lake API'sinde kimlik doğrulaması yapabilirsiniz:

  • Hizmet sorumlusu
  • Kullanıcı erişim belirteci

Not

Hizmet sorumlusu kullanıldığında, Entra ID rolleri ve Microsoft Defender XDR birleşik RBAC rolleri, Sentinel veri gölü KQL sorgu API'si aracılığıyla Sentinel veri gölünü sorgulamak için şu anda desteklenmemektedir.

API'yi çağırma

API uç noktası

Tüm KQL sorguları aşağıdaki REST uç noktası kullanılarak gönderilir:

POST https://api.securityplatform.microsoft.com/lake/kql/v2/rest/query

İstek gövdesi biçimi

Sorgu isteği şunlardan oluşur:

  • KQL sorgusu
  • workspaceName-workspaceId olarak belirtilen hedef çalışma alanı

Payload parametreleri

Alan Açıklama
csl Yürütülecek KQL sorgusu
db Sentinel çalışma alanı adı ve çalışma alanı kimliği

Örnek yük:

{
"csl": "SigninLogs | take 10",
"db": "workspace1-12345678-abcd-abcd-1234-1234567890ab"
}

İsteği gönderme

İstek, Yetkilendirme üst bilgisine bir OAuth 2.0 taşıyıcı belirteci içermelidir.

Authorization: Bearer <access_token>
Content-Type: application/json

API, sorgu sonuçlarını otomasyon iş akışları veya uygulamalar tarafından işlenebilen yapılandırılmış bir JSON biçiminde döndürür.

İsteğe bağlı sorgu ayarları

İstek yüküne aşağıdakiler gibi ek yürütme seçenekleri ekleyebilirsiniz:

  • Sunucu zaman aşımı
  • Sorgu tutarlılığı
  • Yalnızca okunur uygulaması

Sunucu zaman aşımı, sorgu tutarlılığı ve yalnızca okunma uygulama seçenekleri otomatik veya yüksek ölçekli ortamlarda sorgular çalıştırılırken faydalıdır.

örnek yük:

{
    "csl": "SigninLogs | take 10",
    "db": "workspace1-12345678-abcd-abcd-1234-1234567890ab",
    "properties": {
        "Options": {
            "servertimeout": "00:04:00",
            "queryconsistency": "strongconsistency",
            "query_language": "kql",
            "request_readonly": false,
            "request_readonly_hardline": false
        }
    }
}

Hizmet sınırları ve dikkat edilmesi gerekenler

Sorgu yürütme zaman ve sonuç boyutu sınırlarına tabidir. Geçerli limitler için bkz.: Microsoft Sentinel veri gölü hizmeti limitleri

İlgili içerik

Daha fazla bilgi edinmek için aşağıdaki kaynaklara bakın:

  • Son güncelleştirme: