Поделиться через

Справочник по API управления оповещениями для локальных консолей управления

  • Статья

В этой статье перечислены ИНТЕРФЕЙСы REST API управления оповещениями, поддерживаемые для локальных консолей управления Microsoft Defender для Интернета вещей.

оповещения (получение сведений об оповещении)

Используйте этот API для получения всех или отфильтрованных оповещений из локальной консоли управления.

URI : или

ПОЛУЧИТЬ

  • запроса
  • ответа
  • команды cURL

параметры запроса:

Имя Описание Пример Обязательный или необязательный
состояния Получение только обработанных или необработанных оповещений. Поддерживаемые значения:
- handled
- unhandled
Все остальные значения игнорируются.		 /api/v1/alerts?state=handled Необязательный
fromTime Получение оповещений, созданных начиная с заданного времени, в миллисекундах из времени эпохи и часового пояса UTC. /api/v1/alerts?fromTime=<epoch> Необязательный
toTime Получение оповещений, созданных только до заданного времени, в миллисекундах из времени эпохи и часового пояса UTC. /api/v1/alerts?toTime=<epoch> Необязательный
siteId Сайт, на котором обнаружено оповещение. /api/v1/alerts?siteId=1 Необязательный
zoneId Зона, в которой обнаружено оповещение. /api/v1/alerts?zoneId=1 Необязательный
sensorId Датчик, на котором обнаружено оповещение. /api/v1/alerts?sensorId=1 Необязательный

Заметка

Возможно, у вас нет идентификатора сайта и зоны. Если это так, сначала запросите все устройства для получения идентификатора сайта и зоны. Дополнительные сведения см. в справочнике по API интеграции для локальных консолей управления (общедоступная предварительная версия).

UUID (управление оповещениями на основе UUID)

Используйте этот API для выполнения указанных действий в определенном оповещении, обнаруженном Defender для Интернета вещей.

Например, этот API можно использовать для создания правила пересылки, которое перенаправит данные в QRadar. Дополнительные сведения см. в статье Интеграция Qradar с Microsoft Defender для Интернета вещей.

URI: /external/v1/alerts/<UUID>

КЛАСТЬ

  • запроса
  • ответа
  • команды cURL

тип: JSON

параметры запроса:

Имя Описание Пример Обязательный или необязательный
UUID Определяет универсальный уникальный идентификатор (UUID) для оповещения, которое требуется обрабатывать или обрабатывать и изучать. /api/v1/alerts/7903F632-H7EJ-4N69-F40F-4B1E689G00Q0 Обязательно

параметры тела

Имя Описание Пример Обязательный или необязательный
действия Струна handle или handleAndLearn Обязательно

Пример запроса 

{
    "action": "handle"
}

maintenanceWindow (создание исключений оповещений)

Управляет окнами обслуживания, в которых оповещения не будут отправляться. Используйте этот API для определения и обновления времени остановки и запуска, устройств или подсетей, которые должны быть исключены при активации оповещений или определении и обновлении обработчиков Defender для Интернета вещей, которые должны быть исключены.

Например, во время периода обслуживания может потребоваться остановить доставку оповещений обо всех оповещениях, за исключением оповещений вредоносных программ на критически важных устройствах.

Окна обслуживания, определяемые с помощью API maintenanceWindow, отображаются в окне исключений оповещений локальной консоли управления в виде правила исключения только для чтения с именем со следующим синтаксисом: Maintenance-{token name}-{ticket ID}.

Важный

Этот API поддерживается только для целей обслуживания и в течение ограниченного периода времени и не предназначен для использования вместо правил исключения оповещений. Используйте этот API только для однократных временных операций обслуживания.

URI: /external/v1/maintenanceWindow

ПОМЕСТИТЬ

Создает новое окно обслуживания.

  • запроса
  • ответа
  • команды cURL

параметры тела:

Имя Описание Пример Обязательный или необязательный
ticketId Струна. Определяет идентификатор билета на обслуживание в системах пользователя. Убедитесь, что идентификатор билета не связан с существующим открытым окном. 2987345p98234 Обязательно
ttl Положительное целое число. Определяет срок жизни (время жизни), который является длительностью периода обслуживания в минутах. После завершения определенного периода времени период обслуживания завершается, а система работает нормально. 180 Обязательно
подсистемы Массив строк JSON. Определяет механизм подавления оповещений во время периода обслуживания. Возможные значения:

- ANOMALY
- MALWARE
- OPERATIONAL
- POLICY_VIOLATION
- PROTOCOL_VIOLATION		 ANOMALY,OPERATIONAL Необязательный
sensorIds Массив строк JSON. Определяет, какие датчики будут отключать оповещения во время периода обслуживания. Эти идентификаторы датчиков можно получить из устройств (управление устройствами датчиков OT) API. 1,35,63 Необязательный
подсети Массив строк JSON. Определяет подсети для подавления оповещений во время периода обслуживания. Определите каждую подсеть в нотации CIDR. 192.168.0.0/16,138.136.80.0/14,112.138.10.0/8 Необязательный

УДАЛИТЬ

Закрывает существующий период обслуживания.

  • запроса
  • ответа
  • команды cURL

параметры запроса:

Имя Описание Пример Обязательный или необязательный
ticketId Определяет идентификатор билета на обслуживание в системах пользователя. Убедитесь, что идентификатор билета связан с существующим открытым окном. 2987345p98234 Обязательно

ПОЛУЧИТЬ

Получите журнал всех открытых (POST), закрыть (DELETE), а (PUT) действия, выполненные с помощью этого API для обработки периодов обслуживания. T

  • запроса
  • ответа
  • команды cURL

параметры запроса:

Имя Описание Пример Обязательный или необязательный
fromDate Фильтрует журналы из предопределенной даты и более поздних версий. Формат YYYY-MM-DD. 2022-08-10 Необязательный
toDate Фильтрует журналы до предопределенной даты. Формат YYYY-MM-DD. 2022-08-10 Необязательный
ticketId Фильтрует журналы, связанные с определенным идентификатором билета. 9a5fe99c-d914-4bda-9332-307384fe40bf Необязательный
tokenName Фильтрует журналы, связанные с определенным именем маркера. ежеквартально-sanity-window Необязательный

коды ошибок:

Код Сообщение Описание
200 ХОРОШО Действие успешно завершено.
204: Нет содержимого Нет данных для отображения.
400 Недопустимый запрос Неправильный формат даты.
500 Внутренняя ошибка сервера Любая другая непредвиденная ошибка.

КЛАСТЬ

Позволяет обновить период обслуживания после запуска процесса обслуживания, изменив параметр ttl. Новое определение длительности переопределяет предыдущий.

Этот метод полезен, если вы хотите задать длину длительности, чем настроенная в данный момент длительность. Например, если вы изначально определили 180 минут, 90 минут прошли, и вы хотите добавить еще 30 минут, обновите ttl до 120 минуты, чтобы сбросить количество длительности.

  • запроса
  • ответа
  • команды cURL

параметры запроса:

Имя Описание Пример Обязательный или необязательный
ticketId Струна. Определяет идентификатор билета на обслуживание в системах пользователя. 2987345p98234 Обязательно
ttl Положительное целое число. Определяет длительность окна в минутах. 210 Обязательно

pcap (запрос оповещений PCAP)

Используйте этот API для запроса PCAP-файла, связанного с оповещением.

URI: /external/v2/alerts/

ПОЛУЧИТЬ

  • запроса
  • ответа
  • команды cURL

параметры запроса:

Имя Описание Пример Обязательный или необязательный
идентификатор Идентификатор оповещения из локальной консоли управления /external/v2/alerts/pcap/<id> Обязательно

Дальнейшие действия

Дополнительные сведения см. в обзоре Api Defender для Интернета вещей.