启动调查 API

项目
08/14/2024

适用于：

希望体验 Defender for Endpoint？注册免费试用版。

注意

如果你是美国政府客户，请使用适用于美国政府客户的 Microsoft Defender for Endpoint 中列出的 URI。

提示

为了提高性能，可以使用离地理位置更近的服务器：

us.api.security.microsoft.com
eu.api.security.microsoft.com
uk.api.security.microsoft.com
au.api.security.microsoft.com
swa.api.security.microsoft.com
ina.api.security.microsoft.com

API 说明

在设备上启动自动调查。

有关详细信息，请参阅自动调查概述。

限制

此 API 的速率限制为每小时 50 个调用。

AIR 的要求

你的组织必须具有 Defender for Endpoint (请参阅 Microsoft Defender for Endpoint 的最低要求。

目前，AIR 仅支持以下操作系统版本：

Windows Server 2019
Windows Server 2022
Windows 10 版本 1709 (操作系统内部版本 16299.1085，KB4493441) 或更高版本
Windows 10 版本 1803 (操作系统内部版本 17134.704，KB4493464 ) 或更高版本
Windows 10 版本 1803 或更高版本
Windows 11

权限

要调用此 API，需要以下权限之一。若要了解详细信息（包括如何选择权限），请参阅使用 Microsoft Defender for Endpoint API

权限类型	权限	权限显示名称
应用程序	Alert.ReadWrite.All	“读取和写入所有警报”
委派（工作或学校帐户）	Alert.ReadWrite	“读取和写入警报”

注意

使用用户凭据获取令牌时：

用户至少需要具有以下角色权限：“主动修正操作” (有关详细信息，请参阅创建和管理角色)
用户需要基于设备组设置 (请参阅创建和管理设备组，了解详细信息)

Defender for Endpoint 计划 1 和计划 2 支持创建设备组。

HTTP 请求

POST https://api.security.microsoft.com/api/machines/{id}/startInvestigation

请求标头

名称	类型	说明
Authorization	String	持有者 {token}。必需。
Content-Type	string	application/json. 必需。

请求正文

在请求正文中，提供具有以下参数的 JSON 对象：

参数	类型	说明
评论	字符串	要与操作关联的注释。必需。

响应

如果成功，此方法在响应正文中返回 201 - 创建的响应代码和调查。

示例

请求

下面是一个请求示例。

POST https://api.security.microsoft.com/api/machines/1e5bc9d7e413ddd7902c2932e418702b84d0cc07/startInvestigation

{
  "Comment": "Test investigation"
}

提示

想要了解更多信息？在技术社区中与 Microsoft 安全社区互动： Microsoft Defender for Endpoint 技术社区。

通过