启动调查 API
适用于:
希望体验 Defender for Endpoint? 注册免费试用版。
注意
如果你是美国政府客户,请使用美国政府客户Microsoft Defender for Endpoint中列出的 URI。
提示
为了提高性能,可以使用离地理位置更近的服务器:
- us.api.security.microsoft.com
- eu.api.security.microsoft.com
- uk.api.security.microsoft.com
- au.api.security.microsoft.com
- swa.api.security.microsoft.com
API 说明
在设备上启动自动调查。
有关详细信息 ,请参阅自动调查概述 。
限制
- 此 API 的速率限制为每小时 50 个调用。
AIR 的要求
你的组织必须具有 Defender for Endpoint (请参阅Microsoft Defender for Endpoint的最低要求。
目前,AIR 仅支持以下操作系统版本:
- Windows Server 2019
- Windows Server 2022
- Windows 10版本 1709 (OS 内部版本 16299.1085,KB4493441) 或更高版本
- Windows 10版本 1803 (操作系统内部版本 17134.704,KB4493464) 或更高版本
- Windows 10版本 1803 或更高版本
- Windows 11
权限
要调用此 API,需要以下权限之一。 若要了解详细信息(包括如何选择权限),请参阅使用Microsoft Defender for Endpoint API
权限类型 | 权限 | 权限显示名称 |
---|---|---|
应用程序 | Alert.ReadWrite.All | “读取和写入所有警报” |
委派(工作或学校帐户) | Alert.ReadWrite | “读取和写入警报” |
注意
使用用户凭据获取令牌时:
- 用户至少需要具有以下角色权限:“主动修正操作” (有关详细信息,请参阅Create和管理角色)
- 用户需要根据设备组设置 (请参阅Create和管理设备组,了解详细信息)
Defender for Endpoint 计划 1 和计划 2 支持创建设备组。
HTTP 请求
POST https://api.security.microsoft.com/api/machines/{id}/startInvestigation
请求标头
名称 | 类型 | 说明 |
---|---|---|
Authorization | String | 持有者 {token}。 必需。 |
Content-Type | string | application/json. 必需。 |
请求正文
在请求正文中,提供具有以下参数的 JSON 对象:
参数 | 类型 | 说明 |
---|---|---|
评论 | 字符串 | 要与操作关联的注释。 必需。 |
响应
如果成功,此方法在响应正文中返回 201 - 创建的响应代码和 调查 。
示例
请求
下面是一个请求示例。
POST https://api.security.microsoft.com/api/machines/1e5bc9d7e413ddd7902c2932e418702b84d0cc07/startInvestigation
{
"Comment": "Test investigation"
}
提示
想要了解更多信息? Engage技术社区中的 Microsoft 安全社区:Microsoft Defender for Endpoint技术社区。
反馈
https://aka.ms/ContentUserFeedback。
即将发布:在整个 2024 年,我们将逐步淘汰作为内容反馈机制的“GitHub 问题”,并将其取代为新的反馈系统。 有关详细信息,请参阅:提交和查看相关反馈