Accedere alle notifiche degli eventi imprevisti usando API Graph

Si applica a:

• Microsoft Defender XDR

Le notifiche degli esperti defender sono eventi imprevisti generati dalla ricerca condotta da Defender Experts nell'ambiente in uso. Contengono informazioni relative all'indagine di ricerca e alle azioni consigliate fornite da Defender Experts. È ora possibile accedere alle reti DEN usando l'API di sicurezza di Microsoft Graph.

I dettagli di notifica di Defender Experts seguenti sono disponibili nel portale di Microsoft Defender:

• Titolo dell'evento imprevisto : inizia con Defender Experts per distinguere le notifiche degli esperti di Defender dagli altri eventi imprevisti
• Riepilogo esecutivo : offre una panoramica del riepilogo dell'indagine
• Riepilogo delle raccomandazioni : elenca le azioni consigliate da Defender Experts
• Query di ricerca avanzate : elenca le query di ricerca KQL convertite usate per l'indagine

Nell'API di sicurezza di Microsoft Graph sono disponibili anche i campi seguenti:

• Endpoint grafo - https://graph.microsoft.com/beta/security/incidents
• I nomi di campo seguenti che corrispondono ai dettagli indicati in precedenza:
  • displayName
  • descrizione
  • recommendedActions
  • recommendedHuntingQueries

L'approccio all'utilizzo delle notifiche di Defender Experts dall'API varia a seconda del sistema downstream che si intende usare e dei requisiti specifici. Tuttavia, i passaggi seguenti sono un'implementazione di base che consente di iniziare:

A partire dagli eventi imprevisti nel API Graph

1. Ottenere eventi imprevisti dall'API di sicurezza Graph.
2. Verificare la presenza di nuovi eventi imprevisti in cui displayName inizia con Defender Experts.
3. Continuare a leggere i campi rimanenti per tali eventi imprevisti.
4. Sincronizzare le informazioni di Defender Experts Notification (DEN) nello strumento downstream , ad esempio ServiceNow.

A partire dagli avvisi nel API Graph

1. Ottenere avvisi dall'API di sicurezza Graph.
2. Verificare la presenza di nuovi avvisi in cui detectionSource inizia con microsoftThreatExperts.
3. Cercare l'evento imprevisto corrispondente controllando incidentId elencato nell'avviso.
4. Continuare a leggere i campi rimanenti per tali eventi imprevisti.
5. Sincronizzare le informazioni di Defender Experts Notification (DEN) nello strumento downstream , ad esempio ServiceNow.

Passaggio successivo

• Collaborare con esperti su richiesta