停止和隔离文件 API

  • 项目

适用于：

希望体验 Microsoft Defender for Endpoint？ 注册免费试用版。

注意

如果你是美国政府客户，请使用美国政府客户Microsoft Defender for Endpoint中列出的 URI。

提示

为了提高性能，可以使用离地理位置更近的服务器：

  • us.api.security.microsoft.com
  • eu.api.security.microsoft.com
  • uk.api.security.microsoft.com
  • au.api.security.microsoft.com
  • swa.api.security.microsoft.com

API 说明

停止在设备上执行文件并将其删除。

限制

  1. 此 API 的速率限制是每分钟 100 个调用和每小时 1500 个调用。

注意

本页重点介绍如何通过 API 执行计算机操作。 有关通过Microsoft Defender for Endpoint响应操作功能的详细信息，请参阅在计算机上执行响应操作。

重要

只有在以下情况中才能执行此操作：

  • 正在执行操作的设备正在运行Windows 10版本 1703 或更高版本，或者Windows 11
  • 该文件不属于受信任的第三方发布者或未由 Microsoft 签名
  • Microsoft Defender防病毒必须至少在被动模式下运行。 有关详细信息，请参阅Microsoft Defender防病毒兼容性。

权限

要调用此 API，需要以下权限之一。 若要了解详细信息（包括如何选择权限），请参阅使用Microsoft Defender for Endpoint API

权限类型 权限 权限显示名称
应用程序 Machine.StopAndQuarantine “停止和隔离”
应用程序 Machine.Read.All “读取所有计算机配置文件”
应用程序 Machine.ReadWrite.All “读取和写入所有计算机信息”
委派（工作或学校帐户） Machine.StopAndQuarantine “停止和隔离”

注意

使用用户凭据获取令牌时：

Defender for Endpoint 计划 1 和计划 2 支持创建设备组。

HTTP 请求

POST https://api.securitycenter.microsoft.com/api/machines/{id}/StopAndQuarantineFile

请求标头

名称 类型 说明
Authorization String 持有者 {token}。 必需。
Content-Type string application/json. 必需。

请求正文

在请求正文中，提供具有以下参数的 JSON 对象：

参数 类型 说明
评论 字符串 要与操作关联的注释。 必需。
Sha1 String 要停止并在设备上隔离的文件的 Sha1。 必需。

响应

如果成功，此方法在响应正文中返回 201 - 创建的响应代码和 计算机操作 。

示例

请求

下面是一个请求示例。

POST https://api.securitycenter.microsoft.com/api/machines/1e5bc9d7e413ddd7902c2932e418702b84d0cc07/StopAndQuarantineFile 

{
  "Comment": "Stop and quarantine file on machine due to alert 441688558380765161_2136280442",
  "Sha1": "87662bc3d60e4200ceaf7aae249d1c343f4b83c9"
}

提示

想要了解更多信息？ Engage技术社区中的 Microsoft 安全社区：Microsoft Defender for Endpoint技术社区。