Condividi tramite


Informazioni di riferimento sulle API di gestione degli avvisi per le console di gestione locali

Questo articolo elenca le API REST di gestione degli avvisi supportate per le console di gestione locali di Microsoft Defender per IoT.

avvisi (recuperare informazioni sugli avvisi)

Usare questa API per recuperare tutti gli avvisi o filtrati da una console di gestione locale.

URI : /external/v1/alerts o /external/v2/alerts

OTTIENI

parametri di query:

Nome Descrizione Esempio Obbligatorio/Facoltativo
stato Ottiene solo avvisi gestiti o non gestiti. Valori supportati:
- handled
- unhandled
Tutti gli altri valori vengono ignorati.
/api/v1/alerts?state=handled Opzionale
fromTime Ottenere gli avvisi creati a partire da un determinato momento, in millisecondi dall'ora Epoch e nel fuso orario UTC. /api/v1/alerts?fromTime=<epoch> Opzionale
toTime Ottiene gli avvisi creati solo prima in un determinato momento, in millisecondi dall'ora Epoch e nel fuso orario UTC. /api/v1/alerts?toTime=<epoch> Opzionale
siteId Sito in cui è stato individuato l'avviso. /api/v1/alerts?siteId=1 Opzionale
zoneId Area in cui è stato individuato l'avviso. /api/v1/alerts?zoneId=1 Opzionale
sensorId Sensore in cui è stato individuato l'avviso. /api/v1/alerts?sensorId=1 Opzionale

Nota

Potrebbe non essere presente l'ID del sito e dell'area. In questo caso, eseguire prima una query su tutti i dispositivi per recuperare l'ID sito e zona. Per altre informazioni, vedere Informazioni di riferimento sull'API di integrazione per le console di gestione locali (anteprima pubblica).

UUID (Gestire gli avvisi in base all'UUID)

Usare questa API per eseguire un'azione specificata su un avviso specifico rilevato da Defender per IoT.

Ad esempio, è possibile usare questa API per creare una regola di inoltro che inoltra i dati a QRadar. Per altre informazioni, vedere Integrare Qradar con Microsoft Defender per IoT.

URI: /external/v1/alerts/<UUID>

METTERE

tipo: JSON

parametri di query:

Nome Descrizione Esempio Obbligatorio/Facoltativo
UUID Definisce l'identificatore univoco universale (UUID) per l'avviso che si vuole gestire o gestire e apprendere. /api/v1/alerts/7903F632-H7EJ-4N69-F40F-4B1E689G00Q0 Obbligatorio

parametri body

Nome Descrizione Esempio Obbligatorio/Facoltativo
'azione Corda handle o handleAndLearn Obbligatorio

esempio di richiesta

{
    "action": "handle"
}

maintenanceWindow (Crea esclusioni di avvisi)

Gestisce le finestre di manutenzione, in cui gli avvisi non verranno inviati. Usare questa API per definire e aggiornare orari di arresto e avvio, dispositivi o subnet che devono essere esclusi durante l'attivazione di avvisi o definire e aggiornare i motori defender per IoT che devono essere esclusi.

Ad esempio, durante una finestra di manutenzione, è possibile interrompere il recapito degli avvisi di tutti gli avvisi, ad eccezione degli avvisi malware nei dispositivi critici.

Le finestre di manutenzione che definiscono con l'API maintenanceWindow vengono visualizzate nella finestra Esclusioni avvisi della console di gestione locale come regola di esclusione di sola lettura, denominata con la sintassi seguente: Maintenance-{token name}-{ticket ID}.

Importante

Questa API è supportata solo a scopo di manutenzione e per un periodo di tempo limitato e non deve essere usata invece di regole di esclusione degli avvisi. Usare questa API solo per operazioni di manutenzione temporanea monouso.

URI: /external/v1/maintenanceWindow

INSERISCI

Crea una nuova finestra di manutenzione.

parametri body:

Nome Descrizione Esempio Obbligatorio/Facoltativo
ticketId Corda. Definisce l'ID del ticket di manutenzione nei sistemi dell'utente. Assicurarsi che l'ID ticket non sia collegato a una finestra aperta esistente. 2987345p98234 Obbligatorio
ttl Numero intero positivo. Definisce il TTL (durata), ovvero la durata della finestra di manutenzione, espressa in minuti. Al termine del periodo di tempo definito, la finestra di manutenzione è finita e il sistema si comporta di nuovo normalmente. 180 Obbligatorio
motori Matrice JSON di stringhe. Definisce il motore da cui eliminare gli avvisi durante la finestra di manutenzione. Valori possibili:

- ANOMALY
- MALWARE
- OPERATIONAL
- POLICY_VIOLATION
- PROTOCOL_VIOLATION
ANOMALY,OPERATIONAL Opzionale
sensorIds Matrice JSON di stringhe. Definisce i sensori da cui eliminare gli avvisi durante la finestra di manutenzione. È possibile ottenere questi ID sensore dalle appliance (Gestisci appliance del sensore OT) API. 1,35,63 Opzionale
subnet Matrice JSON di stringhe. Definisce le subnet da cui eliminare gli avvisi durante la finestra di manutenzione. Definire ogni subnet in una notazione CIDR. 192.168.0.0/16,138.136.80.0/14,112.138.10.0/8 Opzionale

CANCELLARE

Chiude una finestra di manutenzione esistente.

parametri di query:

Nome Descrizione Esempio Obbligatorio/Facoltativo
ticketId Definisce l'ID del ticket di manutenzione nei sistemi dell'utente. Assicurarsi che l'ID ticket sia collegato a una finestra aperta esistente. 2987345p98234 Obbligatorio

OTTIENI

Recuperare un log di tutte le aperte (POST), chiudere (DELETE) e aggiornare (PUT) eseguite usando questa API per la gestione delle finestre di manutenzione. T

parametri di query:

Nome Descrizione Esempio Obbligatorio/Facoltativo
fromDate Filtra i log dalla data predefinita e versioni successive. Il formato è YYYY-MM-DD. 2022-08-10 Opzionale
toDate Filtra i log fino alla data predefinita. Il formato è YYYY-MM-DD. 2022-08-10 Opzionale
ticketId Filtra i log correlati a un ID ticket specifico. 9a5fe99c-d914-4bda-9332-307384fe40bf Opzionale
tokenName Filtra i log correlati a un nome di token specifico. finestra trimestrale di integrità Opzionale

codici di errore:

Codice Messaggio Descrizione
200 OK L'azione è stata completata correttamente.
204: Nessun contenuto Non sono presenti dati da visualizzare.
400 Richiesta non valida Il formato della data non è corretto.
500 Errore interno del server Qualsiasi altro errore imprevisto.

METTERE

Consente di aggiornare la durata della finestra di manutenzione dopo l'avvio del processo di manutenzione modificando il parametro ttl. La nuova definizione di durata sostituisce quella precedente.

Questo metodo è utile quando si desidera impostare una durata più lunga rispetto alla durata attualmente configurata. Ad esempio, se sono stati originariamente definiti 180 minuti, sono trascorsi 90 minuti e si desidera aggiungere altri 30 minuti, aggiornare il ttl a 120 minuto per reimpostare il conteggio della durata.

parametri di query:

Nome Descrizione Esempio Obbligatorio/Facoltativo
ticketId Corda. Definisce l'ID del ticket di manutenzione nei sistemi dell'utente. 2987345p98234 Obbligatorio
ttl Numero intero positivo. Definisce la durata della finestra in minuti. 210 Obbligatorio

pcap (Richiesta di avviso PCAP)

Usare questa API per richiedere un file PCAP correlato a un avviso.

URI: /external/v2/alerts/

OTTIENI

parametri di query:

Nome Descrizione Esempio Obbligatorio/Facoltativo
ID ID avviso dalla console di gestione locale /external/v2/alerts/pcap/<id> Obbligatorio

Passaggi successivi

Per altre informazioni, vedere la panoramica delle informazioni di riferimento sull'API Defender per IoT.