次の方法で共有

オンプレミス管理コンソールのアラート管理 API リファレンス

  • [アーティクル]

この記事では、Microsoft Defender for IoT オンプレミス管理コンソールでサポートされるアラート管理 REST API の一覧を示します。

アラート (アラート情報の取得)

この API を使用して、オンプレミスの管理コンソールからすべてのアラートまたはフィルター処理されたアラートを取得します。

URI: /external/v1/alerts または /external/v2/alerts

取得

クエリ パラメーター:

名前 形容 例 必須/省略可能
状態の 処理されたアラートまたは未処理のアラートのみを取得します。 サポートされている値:
- handled
- unhandled
その他の値はすべて無視されます。		 /api/v1/alerts?state=handled 随意
fromTime の エポック時間と UTC タイムゾーンから、特定の時刻からミリ秒単位で作成されたアラートを取得します。 /api/v1/alerts?fromTime=<epoch> 随意
toTime を する エポック時間と UTC タイムゾーンからミリ秒単位で、特定の時刻より前に作成されたアラートを取得します。 /api/v1/alerts?toTime=<epoch> 随意
siteId の アラートが検出されたサイト。 /api/v1/alerts?siteId=1 随意
zoneId を する アラートが検出されたゾーン。 /api/v1/alerts?zoneId=1 随意
sensorId を する アラートが検出されたセンサー。 /api/v1/alerts?sensorId=1 随意

手記

サイトとゾーン ID がない可能性があります。 その場合は、まずすべてのデバイスに対してクエリを実行して、サイトとゾーン ID を取得します。 詳細については、オンプレミス管理コンソールの統合 API リファレンス (パブリック プレビュー)を参照してください。

UUID (UUID に基づいてアラートを管理する)

この API を使用して、Defender for IoT によって検出された特定のアラートに対して指定されたアクションを実行します。

たとえば、この API を使用して、データを QRadar に転送する転送ルールを作成できます。 詳細については、「Qradar と Microsoft Defender for IoTの統合」を参照してください。

URI: /external/v1/alerts/<UUID>

置く

型: JSON

クエリ パラメーター:

名前 形容 例 必須/省略可能
UUID の 処理または処理して学習するアラートの汎用一意識別子 (UUID) を定義します。 /api/v1/alerts/7903F632-H7EJ-4N69-F40F-4B1E689G00Q0 必須

Body パラメーターの

名前 形容 例 必須/省略可能
アクション の 糸 handle または handleAndLearn 必須

要求の例

{
    "action": "handle"
}

maintenanceWindow (アラートの除外の作成)

アラートが送信されないメンテナンス期間を管理します。 この API を使用して、アラートをトリガーするときに除外する必要がある停止時刻と開始時刻、デバイス、またはサブネットを定義して更新するか、除外する必要がある Defender for IoT エンジンを定義して更新します。

たとえば、メンテナンス期間中に、重要なデバイス上のマルウェア アラートを除き、すべてのアラートのアラート配信を停止できます。

maintenanceWindow API で定義されたメンテナンス期間は、オンプレミス管理コンソールの [アラートの除外] ウィンドウに読み取り専用の除外ルールとして表示され、Maintenance-{token name}-{ticket ID}という構文で名前が付けられます。

大事な

この API は、メンテナンス目的でのみ、および限られた期間のためにサポートされており、アラート除外ルール代わりに使用されるものではありません。 この API は、1 回限り、一時的なメンテナンス操作にのみ使用します。

URI: /external/v1/maintenanceWindow

投稿

新しいメンテナンス期間を作成します。

Body パラメーター:

名前 形容 例 必須/省略可能
ticketId を する 糸。 ユーザーのシステムのメンテナンス チケット ID を定義します。 チケット ID が既存の開いているウィンドウにリンクされていないことを確認します。 2987345p98234 必須
ttl を する 正の整数。 TTL (有効期間) (メンテナンス期間の期間) を分単位で定義します。 定義された期間が完了すると、メンテナンス期間が終了し、システムは再び正常に動作します。 180 必須
エンジン 文字列の JSON 配列。 メンテナンス期間中にアラートを抑制するエンジンを定義します。 使用可能な値:

- ANOMALY
- MALWARE
- OPERATIONAL
- POLICY_VIOLATION
- PROTOCOL_VIOLATION		 ANOMALY,OPERATIONAL 随意
sensorIds を する 文字列の JSON 配列。 メンテナンス期間中にアラートを抑制するセンサーを定義します。 これらのセンサー ID は、アプライアンス (OT センサー アプライアンスの管理) API から取得できます。 1,35,63 随意
サブネット を する 文字列の JSON 配列。 メンテナンス期間中のアラートを抑制するサブネットを定義します。 各サブネットを CIDR 表記で定義します。 192.168.0.0/16,138.136.80.0/14,112.138.10.0/8 随意

削除

既存のメンテナンス期間を閉じます。

クエリ パラメーター:

名前 形容 例 必須/省略可能
ticketId を する ユーザーのシステムのメンテナンス チケット ID を定義します。 チケット ID が既存の開いているウィンドウにリンクされていることを確認します。 2987345p98234 必須

取得

メンテナンス期間を処理するためにこの API を使用して実行されたすべての オープン (POST)、閉じる (DELETE)、および更新 (PUT) アクションのログを取得します。 T

クエリ パラメーター:

名前 形容 例 必須/省略可能
fromDate の 定義済みの日付以降のログをフィルター処理します。 形式は YYYY-MM-DDです。 2022-08-10 随意
toDate を する 定義済みの日付までログをフィルター処理します。 形式は YYYY-MM-DDです。 2022-08-10 随意
ticketId を する 特定のチケット ID に関連するログをフィルター処理します。 9a5fe99c-d914-4bda-9332-307384fe40bf 随意
tokenName 特定のトークン名に関連するログをフィルター処理します。 quarterly-sanity-window 随意

エラー コード:

コード メッセージ 形容
200 わかりました アクションが正常に完了しました。
204: コンテンツなし 表示するデータはありません。
400 無効な要求 日付形式が正しくありません。
500 内部サーバー エラー その他の予期しないエラー。

置く

ttl パラメーターを変更して、メンテナンス プロセスを開始した後のメンテナンス期間を更新できます。 新しい期間定義は、前の期間をオーバーライドします。

この方法は、現在構成されている期間よりも長い期間を設定する場合に便利です。 たとえば、最初に 180 分を定義し、90 分が経過し、さらに 30 分を追加する場合は、ttl を 120 分に更新して、期間数をリセットします。

クエリ パラメーター:

名前 形容 例 必須/省略可能
ticketId を する 糸。 ユーザーのシステムのメンテナンス チケット ID を定義します。 2987345p98234 必須
ttl を する 正の整数。 ウィンドウの期間を分単位で定義します。 210 必須

pcap (アラート PCAP の要求)

この API を使用して、アラートに関連する PCAP ファイルを要求します。

URI: /external/v2/alerts/

取得

クエリ パラメーター:

名前 形容 例 必須/省略可能
ID オンプレミス管理コンソールからのアラート ID /external/v2/alerts/pcap/<id> 必須

次の手順

詳細については、Defender for IoT API リファレンスの概要を参照してください。