Microsoft Defender XDR Gelişmiş avcılık API'si

  • Şunlara uygulanır: Microsoft Defender XDR

Uyarı

Bu gelişmiş avcılık API'si sınırlı özelliklere sahip eski bir sürümdür. Gelişmiş avcılık API'sinin daha kapsamlı bir versiyonu Microsoft Graph güvenlik API'sinde mevcuttur. Daha fazla bilgi için bkz. Microsoft Graph güvenlik API'sini kullanarak gelişmiş avcılık.

Microsoft Defender XDR gelişmiş avlama API'si, otomasyon ve güvenlik iş akışları için daha geniş veri kapsaması, daha iyi tutarlılık ve daha iyi ölçeklenebilirlik sağlayan Microsoft Graph güvenlik API'sine geçiş yapıyor. Emeklilik Ocak 2026'da başladı. Emeklilik tamamlandıktan sonra, Microsoft Defender XDR gelişmiş avlama API'si artık işlevini kaybetmektedir. Kullanımdan kaldırma zaman çizelgesi için bkz. MC1220762. Göç rehberliği için bkz. Microsoft Graph güvenlik API'sini kullanın.

Önemli

Bazı bilgiler, ticari olarak piyasaya sürülmeden önce önemli ölçüde değiştirilebilen önceden yayımlanmış ürünle ilgilidir. Microsoft, burada sağlanan bilgilerle ilgili olarak açık veya zımni hiçbir garanti vermez.

Gelişmiş tehdit avcılığı, Microsoft Defender'da son 30 günlük olay verilerini incelemek için özel olarak geliştirilmiş sorgular kullanan bir tehdit avcılığı aracıdır. Olağan dışı etkinlikleri incelemek, olası tehditleri algılamak ve hatta saldırılara yanıt vermek için gelişmiş avcılık sorgularını kullanabilirsiniz. Gelişmiş tehdit avcılığı API'si, olay verilerini program aracılığıyla sorgulamanıza olanak tanır.

Kotalar ve kaynak ayırma

Aşağıdaki koşullar tüm sorgular ile ilgilidir.

  1. Sorgular son 30 güne ait verileri inceler ve döndürür.
  2. Sonuçlar en fazla 100.000 satır döndürebilir.
  3. Kiracı başına dakikada en az 45 çağrı yapabilirsiniz. Çağrı sayısı, kiracı başına boyutuna göre değişir.
  4. Her kiracıya, kiracı boyutuna göre CPU kaynakları ayrılır. Kiracı, sonraki 15 dakikalık döngüye kadar ayrılan kaynakların %100'lerine ulaşmışsa sorgular engellenir. Aşırı tüketim nedeniyle engellenen sorgulardan kaçınmak için , CPU kotalarına ulaşılmasını önlemek için Sorgularınızı iyileştirme makalesindeki yönergeleri izleyin.
  5. Tek bir istek üç dakikadan uzun süre çalıştırılırsa zaman aşımına uğradıktan sonra bir hata döndürür.
  6. 429 HTTP yanıt kodu, gönderilen istek sayısına veya ayrılan çalışma süresine göre ayrılmış CPU kaynaklarına ulaştığınızı gösterir. Ulaştığınız sınırı anlamak için yanıt gövdesini okuyun.

İzinler

Gelişmiş tehdit avcılığı API'sini çağırmak için aşağıdaki izinlerden biri gereklidir. İzinleri seçme de dahil olmak üzere daha fazla bilgi edinmek için bkz. Microsoft Defender Koruması API'lerine erişme.

İzin türü İzin İzin görünen adı
Uygulama AdvancedHunting.Read.All Gelişmiş sorgular çalıştırma
Temsilci (iş veya okul hesabı) AdvancedHunting.Read Gelişmiş sorgular çalıştırma

Not

Kullanıcı kimlik bilgilerini kullanarak belirteç alırken:

  • Kullanıcının 'Verileri Görüntüle' rolüne sahip olması gerekir.
  • Kullanıcının cihaz grubu ayarlarına göre cihaza erişimi olmalıdır.

HTTP isteği

POST https://api.security.microsoft.com/api/advancedhunting/run

İstek üst bilgileri

Üstbilgi Değer
Yetkilendirme Taşıyıcı {token} Not: gerekli
İçerik Türü application/json

İstek gövdesi

İstek gövdesinde aşağıdaki parametreleri içeren bir JSON nesnesi sağlayın:

Parametre Tür Açıklama
Sorgu Metin Çalıştırılacak sorgu. (gerekli)

Yanıt

Başarılı olursa, bu yöntem yanıt gövdesinde ve 200 OK nesnesi döndürür.

Yanıt nesnesi üç üst düzey özellik içerir:

  1. İstatistikler - Sorgu performansı istatistikleri sözlüğü.
  2. Schema - Yanıtın şeması, her sütun için Name-Type çiftlerinin listesi.
  3. Sonuçlar - Gelişmiş tehdit avcılığı olaylarının listesi.

Örnek

Aşağıdaki örnekte, kullanıcı aşağıdaki sorguyu gönderir ve , Statsve Schemaiçeren Resultsbir API yanıt nesnesi alır.

Sorgu

{
    "Query":"DeviceProcessEvents | where InitiatingProcessFileName =~ \"powershell.exe\" | project Timestamp, FileName, InitiatingProcessFileName | order by Timestamp desc | limit 2"
}

Yanıt nesnesi

{
    "Stats": {
        "ExecutionTime": 4.621215,
        "resource_usage": {
            "cache": {
                "memory": {
                    "hits": 773461,
                    "misses": 4481,
                    "total": 777942
                },
                "disk": {
                    "hits": 994,
                    "misses": 197,
                    "total": 1191
                }
            },
            "cpu": {
                "user": "00:00:19.0468750",
                "kernel": "00:00:00.0156250",
                "total cpu": "00:00:19.0625000"
            },
            "memory": {
                "peak_per_node": 236822432
            }
        },
        "dataset_statistics": [
            {
                "table_row_count": 2,
                "table_size": 102
            }
        ]
    },
    "Schema": [
        {
            "Name": "Timestamp",
            "Type": "DateTime"
        },
        {
            "Name": "FileName",
            "Type": "String"
        },
        {
            "Name": "InitiatingProcessFileName",
            "Type": "String"
        }
    ],
    "Results": [
        {
            "Timestamp": "2020-08-30T06:38:35.7664356Z",
            "FileName": "conhost.exe",
            "InitiatingProcessFileName": "powershell.exe"
        },
        {
            "Timestamp": "2020-08-30T06:38:30.5163363Z",
            "FileName": "conhost.exe",
            "InitiatingProcessFileName": "powershell.exe"
        }
    ]
}

İpucu

Daha fazla bilgi edinmek mi istiyorsunuz? Teknoloji Topluluğumuzdaki Microsoft Güvenlik topluluğuyla etkileşime geçin: Microsoft Defender XDR Teknoloji Topluluğu.

  • Last updated on