Démarrer l’API d’investigation
S’applique à :
Vous voulez découvrir Defender pour point de terminaison ? Inscrivez-vous pour bénéficier d’un essai gratuit.
Remarque
Si vous êtes un client du gouvernement des États-Unis, utilisez les URI répertoriés dans Microsoft Defender pour point de terminaison pour les clients du gouvernement des États-Unis.
Conseil
Pour de meilleures performances, vous pouvez utiliser le serveur plus près de votre emplacement géographique :
- us.api.security.microsoft.com
- eu.api.security.microsoft.com
- uk.api.security.microsoft.com
- au.api.security.microsoft.com
- swa.api.security.microsoft.com
- ina.api.security.microsoft.com
Description de l’API
Démarrez l’investigation automatisée sur un appareil.
Pour plus d’informations, consultez Vue d’ensemble des investigations automatisées .
Limitations
- Les limitations de débit pour cette API sont de 50 appels par heure.
Configuration requise pour AIR
Votre organization doit disposer de Defender pour point de terminaison (consultez Configuration minimale requise pour Microsoft Defender pour point de terminaison.
Actuellement, AIR prend uniquement en charge les versions de système d’exploitation suivantes :
- Windows Server 2019
- Windows Server 2022
- Windows 10, version 1709 (build du système d’exploitation 16299.1085 avec KB4493441) ou ultérieure
- Windows 10, version 1803 (build du système d’exploitation 17134.704 avec KB4493464) ou ultérieure
- Windows 10, version 1803 ou ultérieure
- Windows 11
Autorisations
L’une des autorisations suivantes est nécessaire pour appeler cette API. Pour en savoir plus, notamment sur le choix des autorisations, consultez Utiliser des API Microsoft Defender pour point de terminaison.
| Type d’autorisation | Autorisation | Nom complet de l’autorisation |
|---|---|---|
| Application | Alert.ReadWrite.All | « Lire et écrire toutes les alertes » |
| Déléguée (compte professionnel ou scolaire) | Alert.ReadWrite | « Lire et écrire des alertes » |
Remarque
Lors de l’obtention d’un jeton à l’aide des informations d’identification de l’utilisateur :
- L’utilisateur doit disposer au moins de l’autorisation de rôle suivante : « Actions de correction actives » (voir Créer et gérer des rôles pour plus d’informations)
- L’utilisateur doit avoir accès à l’appareil, en fonction des paramètres du groupe d’appareils (voir Créer et gérer des groupes d’appareils pour plus d’informations)
La création de groupes d’appareils est prise en charge dans Defender pour point de terminaison Plan 1 et Plan 2.
Requête HTTP
POST https://api.security.microsoft.com/api/machines/{id}/startInvestigation
En-têtes de demande
| Nom | Type | Description |
|---|---|---|
| Autorisation | Chaîne | Porteur {token}. Obligatoire. |
| Content-Type | string | application/json. Obligatoire. |
Corps de la demande
Dans le corps de la demande, fournissez un objet JSON avec les paramètres suivants :
| Paramètre | Type | Description |
|---|---|---|
| Commentaire | Chaîne | Commentaire à associer à l’action. Obligatoire. |
Réponse
Si elle réussit, cette méthode renvoie 201 - Code de réponse créé et Investigation dans le corps de la réponse.
Exemple
Demande
Voici un exemple de demande.
POST https://api.security.microsoft.com/api/machines/1e5bc9d7e413ddd7902c2932e418702b84d0cc07/startInvestigation
{
"Comment": "Test investigation"
}
Conseil
Voulez-vous en savoir plus ? Engage avec la communauté Microsoft Security dans notre communauté technique : Microsoft Defender pour point de terminaison Tech Community.