API получения сведений о пользователях, связанных с оповещениями

Область применения:

• Microsoft Defender для конечной точки (план 1)
• Microsoft Defender для конечной точки (план 2)
• Microsoft Defender XDR

Хотите попробовать Microsoft Defender для конечной точки? Зарегистрироваться для бесплатной пробной версии.

Примечание.

Если вы являетесь клиентом для государственных организаций США, используйте URI, перечисленные в Microsoft Defender для конечной точки для клиентов государственных организаций США.

Совет

Для повышения производительности можно использовать сервер ближе к географическому расположению:

• us.api.security.microsoft.com
• eu.api.security.microsoft.com
• uk.api.security.microsoft.com
• au.api.security.microsoft.com
• swa.api.security.microsoft.com
• ina.api.security.microsoft.com

Описание API

Извлекает пользователь, связанный с определенным оповещением.

Ограничения

• Вы можете запрашивать последние обновления оповещений в соответствии с настроенным периодом хранения.
• Ограничения скорости для этого API : 100 вызовов в минуту и 1500 вызовов в час.

Разрешения

Для вызова этого API требуется одно из следующих разрешений. Дополнительные сведения, включая выбор разрешений, см. в статье Использование API Microsoft Defender для конечных точек.

Тип разрешения	Разрешение	Отображаемое имя разрешения
Для приложений	User.Read.All	"Чтение профилей пользователей"
Делегированные (рабочая или учебная учетная запись)	User.Read.All	"Чтение профилей пользователей"

Примечание.

При получении маркера с использованием учетных данных пользователя:

• Пользователь должен иметь по крайней мере следующее разрешение роли: "Просмотр данных" (дополнительные сведения см. в разделе Создание ролей и управление ими ).
• Пользователь должен иметь доступ к устройству, связанному с оповещением, на основе параметров группы устройств (дополнительные сведения см. в разделе Создание групп устройств и управление ими ).

Создание группы устройств поддерживается в Defender для конечной точки плана 1 и плана 2.

HTTP-запрос

GET /api/alerts/{id}/user

Заголовки запросов

Имя	Тип	Описание
Авторизация	String	Bearer {token}. Обязательное поле.

Текст запроса

переменная Empty

Отклик

Если успешно и оповещение и пользователь существует - 200 OK с пользователем в тексте. Если оповещение или пользователь не найден — 404 Не найдено.

Пример

Пример запроса

Ниже приведен пример запроса.

GET https://api.securitycenter.microsoft.com/api/alerts/636688558380765161_2136280442/user

Пример ответа

Ниже приведен пример отклика.

{
    "@odata.context": "https://api.securitycenter.microsoft.com/api/$metadata#Users/$entity",
    "id": "contoso\\user1",
    "accountName": "user1",
    "accountDomain": "contoso",
    "accountSid": "S-1-5-21-72051607-1745760036-109187956-93922",
    "firstSeen": "2019-12-08T06:33:39Z",
    "lastSeen": "2020-01-05T06:58:34Z",
    "mostPrevalentMachineId": "0111b647235c26159bec3e5eb6c8c3a0cc3ab766",
    "leastPrevalentMachineId": "0111b647235c26159bec3e5eb6c8c3a0cc3ab766",
    "logonTypes": "Network",
    "logOnMachinesCount": 1,
    "isDomainAdmin": false,
    "isOnlyNetworkUser": false
}

Совет

Хотите узнать больше? Обратитесь к сообществу Майкрософт по безопасности в техническом сообществе Microsoft Defender для конечной точки Tech Community.