Поделиться через


Справочник по API управления оповещениями для локальных консолей управления

В этой статье перечислены REST API управления оповещениями, поддерживаемые для Microsoft Defender для локальных консолей управления Интернета вещей.

оповещения (получение сведений об оповещениях)

Этот API позволяет получить полный или отфильтрованный список оповещений от локальной консоли управления.

URI: /external/v1/alerts или /external/v2/alerts

GET

Параметры запроса:

Имя Описание Пример Обязательный или необязательный
state Получение только обрабатываемых или необработанных оповещений. Поддерживаемые значения:
- handled
- unhandled
Все остальные значения не учитываются.
/api/v1/alerts?state=handled Необязательно
fromTime Получение оповещений, созданных начиная с заданного времени, в миллисекундах от времени эпохи и часового пояса в формате UTC. /api/v1/alerts?fromTime=<epoch> Необязательно
toTime Получение оповещений, созданных только ранее в заданное время, в миллисекундах от времени эпохи и в часовом поясе UTC. /api/v1/alerts?toTime=<epoch> Необязательно
siteId Сайт, на котором было обнаружено оповещение. /api/v1/alerts?siteId=1 Необязательно
zoneId Зона, в которой было обнаружено оповещение. /api/v1/alerts?zoneId=1 Необязательно
sensorId Датчик, на котором было обнаружено оповещение. /api/v1/alerts?sensorId=1 Необязательно

Примечание

Возможно, вы не знаете идентификаторы своих сайтов и зон. В этом случае сначала запросите все устройства, чтобы получить идентификатор сайта и зоны. Дополнительные сведения см. в статье Справочник по API интеграции для локальных консолей управления (общедоступная предварительная версия).

UUID (управление оповещениями на основе UUID)

Используйте этот API для выполнения указанных действий с определенным оповещением, обнаруженным Defender для Интернета вещей.

Например, с помощью этого API можно создать правило переадресации, которое перенаправит данные в QRadar. Дополнительные сведения см. в статье Интеграция Qradar с Microsoft Defender для Интернета вещей.

URI: /external/v1/alerts/<UUID>

PUT

Тип: JSON

Параметры запроса:

Имя Описание Пример Обязательный или необязательный
UUID Определяет универсальный уникальный идентификатор (UUID) для оповещений, которые требуется обрабатывать или обрабатывать и изучать. /api/v1/alerts/7903F632-H7EJ-4N69-F40F-4B1E689G00Q0 Обязательно

Параметры запроса

Имя Описание Пример Обязательный или необязательный
action Строка handle или handleAndLearn Обязательно

Пример запроса

{
    "action": "handle"
}

maintenanceWindow (создание исключений оповещений)

Управляет периодами обслуживания, в которых оповещения не отправляются. Используйте этот API для определения и обновления времени остановки и запуска, устройств или подсетей, которые должны быть исключены при активации оповещений, или определения и обновления обработчиков Defender для Интернета вещей, которые должны быть исключены.

Например, вы можете отключить доставку оповещений на период обслуживания, за исключением оповещений о вредоносном ПО на критически важных устройствах.

Окна обслуживания, которые определяются с помощью maintenanceWindow API, отображаются в окне Исключения оповещений локальной консоли управления в виде правила исключения только для чтения с именем со следующим синтаксисом: Maintenance-{token name}-{ticket ID}.

Важно!

Этот API поддерживается только в целях обслуживания и в течение ограниченного периода времени и не предназначен для использования вместо правил исключения оповещений. Используйте этот API только для одноразовых временных операций обслуживания.

URI: /external/v1/maintenanceWindow

POST

Создает новый период обслуживания.

Параметры текста:

Имя Описание Пример Обязательный или необязательный
ticketId Строка. Определяет идентификатор билета на обслуживание в системах пользователя. Следите за тем, чтобы не использовать идентификаторы запроса, уже сопоставленные с существующими периодами обслуживания. 2987345p98234 Обязательно
ttl Положительное целое число. Определяет срок жизни (срок жизни), который представляет собой продолжительность периода обслуживания в минутах. После завершения заданного периода времени период обслуживания закончится, и система снова будет работать нормально. 180 Обязательно
engines Массив строк JSON. Определяет подсистему, из которой следует подавлять оповещения во время периода обслуживания. Возможные значения:

- ANOMALY
- MALWARE
- OPERATIONAL
- POLICY_VIOLATION
- PROTOCOL_VIOLATION
ANOMALY,OPERATIONAL Необязательно
sensorIds Массив строк JSON. Определяет датчики, с которых следует подавлять оповещения в течение периода обслуживания. Эти идентификаторы датчиков можно получить из API устройств (управление датчиками OT). 1,35,63 Необязательно
Подсети Массив строк JSON. Определяет подсети для подавления оповещений во время периода обслуживания. Определите каждую подсеть в нотации CIDR. 192.168.0.0/16,138.136.80.0/14,112.138.10.0/8 Необязательно

DELETE

Закрывает существующий период обслуживания.

Параметры запроса:

Имя Описание Пример Обязательный или необязательный
ticketId Определяет идентификатор билета на обслуживание в системах пользователя. Убедитесь, что идентификатор запроса связан с существующим открытым периодом обслуживания. 2987345p98234 Обязательно

GET

Получение журнала всех открытых действий (POST), закрытия (DELETE) и обновления (PUT), выполненных с помощью этого API для обработки периодов обслуживания. T

Параметры запроса:

Имя Описание Пример Обязательный или необязательный
fromDate Фильтрует журналы от предопределенной даты и более поздних версий. Формат — YYYY-MM-DD. 2022-08-10 Необязательно
toDate Фильтрует журналы до предопределенной даты. Формат — YYYY-MM-DD. 2022-08-10 Необязательно
ticketId Фильтрует журналы, связанные с определенным идентификатором билета. 9a5fe99c-d914-4bda-9332-307384fe40bf Необязательно
tokenName Фильтрует журналы, связанные с определенным именем маркера. ежеквартально-sanity-window Необязательно

Коды ошибок:

Код Сообщение Описание
200 ОК Действие успешно завершено.
204: Нет содержимого Нет данных для отображения.
400 Ошибка запроса Неправильный формат даты.
500 Внутренняя ошибка сервера Любая другая непредвиденная ошибка.

PUT

Позволяет обновить длительность периода обслуживания после запуска процесса обслуживания, изменив ttl параметр . Новое определение длительности переопределяет предыдущее.

Этот метод полезен в тех случаях, когда вы желаете указать более долгий период обслуживания, чем был определен ранее. Например, если вы изначально определили 180 минут, прошло 90 минут и хотите добавить еще 30 минут, измените ttl значение на минуту 120 , чтобы сбросить количество длительности.

Параметры запроса:

Имя Описание Пример Обязательный или необязательный
ticketId Строка. Определяет идентификатор билета на обслуживание в системах пользователя. 2987345p98234 Обязательно
ttl Положительное целое число. Определяет длительность окна в минутах. 210 Обязательно

pcap (PCAP оповещений запроса)

Используйте этот интерфейс API для запроса файла PCAP, связанного с оповещением.

URI: /external/v2/alerts/

GET

Параметры запроса:

Имя Описание Пример Обязательный или необязательный
идентификатор Идентификатор оповещения из локальной консоли управления /external/v2/alerts/pcap/<id> Обязательно

Дальнейшие действия

Дополнительные сведения см. в справочнике по API Defender для Интернета вещей.