通过

你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

以编程方式使用 SOC 优化（预览版）

  • 项目
  • 适用于:
    Microsoft Sentinel in the Microsoft Defender portal, Microsoft Sentinel in the Azure portal

使用 Microsoft Sentinel recommendations API 以编程方式与 SOC 优化建议进行交互，帮助你缩小针对特定威胁的覆盖范围差距并收紧引入率。 可以获取有关工作区中所有当前建议或特定 SOC 优化建议的详细信息，或者，如果环境中进行了更改，可以重新评估建议。

例如，使用 recommendations API：

  • 生成自定义报表和仪表板。 例如，请参阅可视化自定义 SOC 优化数据。
  • 与第三方工具集成，例如 SOAR 和 ITSM 服务
  • 获取对 SOC 优化数据的自动化实时访问、触发评估并及时响应建议

对于管理多个环境的客户或 MSSP，recommendations API 提供了一种可缩放的方式来处理跨多个工作区的建议。 还可以从 API 导出数据，并将其存储在外部进行审核、存档或跟踪趋势。

重要

Microsoft Sentinel 已在 Microsoft Defender 门户的 Microsoft 统一安全运营平台中正式发布。 对于预览版，Microsoft Sentinel 在 Defender 门户中提供，无需 Microsoft Defender XDR 或 E5 许可证。 有关详细信息，请参阅 Microsoft Defender 门户中的 Microsoft Sentinel。

recommendations API 为预览版。 请参阅 Microsoft Azure 预览版的补充使用条款，了解适用于 beta 版、预览版或其他尚未正式发布的 Azure 功能的其他法律条款。

获取、更新或重新评估建议

使用 recommendations API 的以下示例以编程方式与 SOC 优化建议进行交互：

  • 获取工作区中所有当前 SOC 优化建议的列表：

    GET /subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/providers/Microsoft.SecurityInsights/recommendations

  • 按建议 ID 获取特定建议：

    GET /subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/providers/Microsoft.SecurityInsights/recommendations/{recommendationId}

    首先获取工作区中所有建议的列表来查找建议的 ID 值。

  • 将建议的状态更新为“活动”、“正在进行”、“已完成”、“已消除”或“重新激活”：

    PATCH /subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/providers/Microsoft.SecurityInsights/recommendations/{recommendationId}

  • 手动触发特定建议的评估：

    POST /subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/providers/Microsoft.SecurityInsights/recommendations/{recommendationId} /triggerEvaluation

可视化自定义 SOC 优化数据

Microsoft Sentinel 优化工作簿使用 recommendations API 可视化 SOC 优化数据。 在工作区中安装和自定义工作簿，以创建自己的自定义 SOC 优化仪表板。

在“Microsoft Sentinel 优化工作簿”中，选择“SOC 优化”选项卡，然后展开“详细信息”下的项目进行向下钻取，以查看 SOC 优化数据。 编辑工作簿以根据组织需要修改显示的数据。

例如：

Microsoft Sentinel 优化工作簿的屏幕截图。

有关详细信息，请参阅：

相关内容

有关详细信息，请参阅：