Sammeln der Untersuchungspaket-API

Artikel
08/14/2024

Gilt für:

Möchten Sie Microsoft Defender für Endpunkt ausprobieren? Registrieren Sie sich für eine kostenlose Testversion.

Hinweis

Wenn Sie ein US Government-Kunde sind, verwenden Sie die URIs, die unter Microsoft Defender für Endpunkt für US Government-Kunden aufgeführt sind.

Tipp

Um die Leistung zu verbessern, können Sie den Server näher an Ihrem geografischen Standort verwenden:

us.api.security.microsoft.com
eu.api.security.microsoft.com
uk.api.security.microsoft.com
au.api.security.microsoft.com
swa.api.security.microsoft.com
ina.api.security.microsoft.com

API-Beschreibung

Erfassen des Untersuchungspakets von einem Gerät.

Begrenzungen

Ratenbeschränkungen für diese API sind 100 Aufrufe pro Minute und 1500 Aufrufe pro Stunde.

Wichtig

Diese Antwortaktionen sind nur für Geräte unter Windows 10, Version 1703 oder höher, und unter Windows 11 verfügbar.

Berechtigungen

Eine der nachfolgenden Berechtigungen ist erforderlich, um diese API aufrufen zu können. Weitere Informationen, einschließlich der Auswahl von Berechtigungen, finden Sie unter Verwenden von Defender für Endpunkt-APIs.

Berechtigungstyp	Berechtigung	Anzeigename der Berechtigung
App	Machine.CollectForensics	"Forensik sammeln"
Delegiert (Geschäfts-, Schul- oder Unikonto)	Machine.CollectForensics	"Forensik sammeln"

Hinweis

Beim Abrufen eines Tokens mit Benutzeranmeldeinformationen:

Der Benutzer muss mindestens über die folgende Rollenberechtigung verfügen: "Warnungsuntersuchung" (weitere Informationen finden Sie unter Erstellen und Verwalten von Rollen ).
Der Benutzer muss basierend auf den Gerätegruppeneinstellungen Zugriff auf das Gerät haben (weitere Informationen finden Sie unter Erstellen und Verwalten von Gerätegruppen ).

Die Erstellung von Gerätegruppen wird in Defender für Endpunkt Plan 1 und Plan 2 unterstützt.

HTTP-Anforderung

POST https://api.securitycenter.microsoft.com/api/machines/{id}/collectInvestigationPackage

Anforderungsheader

Name	Typ	Beschreibung
Authorization	Zeichenfolge	Bearer {token}. Erforderlich.
Content-Type	string	application/json. Erforderlich.

Anforderungstext

Geben Sie im Anforderungstext ein JSON-Objekt mit den folgenden Parametern an:

Parameter	Typ	Beschreibung
Kommentar	Zeichenfolge	Kommentar, der der Aktion zugeordnet werden soll. Erforderlich.

Antwort

Bei erfolgreicher Ausführung gibt die Methode 201 – Erstellter Antwortcode und Computeraktion im Antworttext zurück. Wenn bereits eine Sammlung ausgeführt wird, wird 400 Ungültige Anforderung zurückgegeben.

Beispiel

Anforderung

Nachfolgend sehen Sie ein Beispiel der Anforderung.

POST https://api.securitycenter.microsoft.com/api/machines/fb9ab6be3965095a09c057be7c90f0a2/collectInvestigationPackage

{
  "Comment": "Collect forensics due to alert 1234"
}