启动调查 API

适用于:

希望体验 Defender for Endpoint? 注册免费试用版

注意

如果你是美国政府客户,请使用美国政府客户Microsoft Defender for Endpoint中列出的 URI。

提示

为了提高性能,可以使用离地理位置更近的服务器:

  • us.api.security.microsoft.com
  • eu.api.security.microsoft.com
  • uk.api.security.microsoft.com
  • au.api.security.microsoft.com
  • swa.api.security.microsoft.com

API 说明

在设备上启动自动调查。

有关详细信息 ,请参阅自动调查概述

限制

  1. 此 API 的速率限制为每小时 50 个调用。

AIR 的要求

你的组织必须具有 Defender for Endpoint (请参阅Microsoft Defender for Endpoint的最低要求

目前,AIR 仅支持以下操作系统版本:

  • Windows Server 2019
  • Windows Server 2022
  • Windows 10版本 1709 (OS 内部版本 16299.1085,KB4493441) 或更高版本
  • Windows 10版本 1803 (操作系统内部版本 17134.704,KB4493464) 或更高版本
  • Windows 10版本 1803 或更高版本
  • Windows 11

权限

要调用此 API,需要以下权限之一。 若要了解详细信息(包括如何选择权限),请参阅使用Microsoft Defender for Endpoint API

权限类型 权限 权限显示名称
应用程序 Alert.ReadWrite.All “读取和写入所有警报”
委派(工作或学校帐户) Alert.ReadWrite “读取和写入警报”

注意

使用用户凭据获取令牌时:

Defender for Endpoint 计划 1 和计划 2 支持创建设备组。

HTTP 请求

POST https://api.security.microsoft.com/api/machines/{id}/startInvestigation

请求标头

名称 类型 说明
Authorization String 持有者 {token}。 必需。
Content-Type string application/json. 必需。

请求正文

在请求正文中,提供具有以下参数的 JSON 对象:

参数 类型 说明
评论 字符串 要与操作关联的注释。 必需。

响应

如果成功,此方法在响应正文中返回 201 - 创建的响应代码和 调查

示例

请求

下面是一个请求示例。

POST https://api.security.microsoft.com/api/machines/1e5bc9d7e413ddd7902c2932e418702b84d0cc07/startInvestigation
{
  "Comment": "Test investigation"
}

提示

想要了解更多信息? Engage技术社区中的 Microsoft 安全社区:Microsoft Defender for Endpoint技术社区