创建 detectionRule
命名空间:microsoft.graph.security
重要
Microsoft Graph /beta
版本下的 API 可能会发生更改。 不支持在生产应用程序中使用这些 API。 若要确定 API 是否在 v1.0 中可用,请使用 版本 选择器。
创建自定义检测规则。 借助自定义检测,可以主动监视和响应各种事件和系统状态,包括可疑的违规活动和组织网络中配置错误的资产。 自定义检测规则是用 Kusto 查询语言 (KQL) 编写的,一旦发生与其 KQL 查询匹配的事件,就会自动触发 警报 和响应操作。
此 API 可用于以下国家级云部署。
全局服务 | 美国政府 L4 | 美国政府 L5 (DOD) | 由世纪互联运营的中国 |
---|---|---|---|
✅ | ❌ | ❌ | ❌ |
权限
为此 API 选择标记为最低特权的权限。 只有在应用需要它时,才使用更高的特权权限。 有关委派权限和应用程序权限的详细信息,请参阅权限类型。 要了解有关这些权限的详细信息,请参阅 权限参考。
权限类型 | 最低特权权限 | 更高特权权限 |
---|---|---|
委派(工作或学校帐户) | CustomDetection.ReadWrite.All | 不可用。 |
委派(个人 Microsoft 帐户) | 不支持。 | 不支持。 |
应用程序 | CustomDetection.ReadWrite.All | 不可用。 |
HTTP 请求
POST /security/rules/detectionRules
请求标头
名称 | 说明 |
---|---|
Authorization | 持有者 {token}。 必填。 详细了解 身份验证和授权。 |
Content-Type | application/json. 必需。 |
请求正文
在请求正文中,提供 microsoft.graph.security.detectionRule。 某些元数据字段是不必要的,并且会被忽略,例如“createdBy”和“lastModifiedDateTime”。
响应
如果成功,此方法在 201 Created
响应正文中返回响应代码和 microsoft.graph.security.detectionRule 对象。
示例
请求
以下示例显示了一个请求。
POST https://graph.microsoft.com/beta/security/rules/detectionRules
Content-Type: application/json
{
"displayName": "Some rule name",
"isEnabled": true,
"queryCondition": {
"queryText": "DeviceProcessEvents | take 1"
},
"schedule": {
"period": "12H"
},
"detectionAction": {
"alertTemplate": {
"title": "Some alert title",
"description": "Some alert description",
"severity": "medium",
"category": "Execution",
"recommendedActions": null,
"mitreTechniques": [],
"impactedAssets": [
{
"@odata.type": "#microsoft.graph.security.impactedDeviceAsset",
"identifier": "deviceId"
}
]
},
"organizationalScope": null,
"responseActions": [
{
"@odata.type": "#microsoft.graph.security.isolateDeviceResponseAction",
"identifier": "deviceId",
"isolationType": "full"
}
]
}
}
响应
以下示例显示了相应的响应。
注意:为了提高可读性,可能缩短了此处显示的响应对象。
HTTP/1.1 201 Created
Content-Type: application/json
{
"@odata.type": "#microsoft.graph.security.detectionRule",
"id": "35079",
"displayName": "Some rule name",
"isEnabled": true,
"createdBy": "MichaelMekler@winatptestlic06.ccsctp.net",
"createdDateTime": "2023-06-25T09:37:28.6149005Z",
"lastModifiedDateTime": "2023-06-25T09:37:28.6149005Z",
"lastModifiedBy": "MichaelMekler@winatptestlic06.ccsctp.net",
"detectorId": "67aa92a1-b04b-4f2a-a223-236968a3da96",
"queryCondition": {
"queryText": "DeviceProcessEvents | take 1",
"lastModifiedDateTime": null
},
"schedule": {
"period": "12H",
"nextRunDateTime": "2023-06-25T09:37:28.6149005Z"
},
"lastRunDetails": {
"lastRunDateTime": null,
"status": null,
"failureReason": null,
"errorCode": null
},
"detectionAction": {
"alertTemplate": {
"title": "Some alert title",
"description": "Some alert description",
"severity": "medium",
"category": "Execution",
"recommendedActions": null,
"mitreTechniques": [],
"impactedAssets": [
{
"@odata.type": "#microsoft.graph.security.impactedDeviceAsset",
"identifier": "deviceId"
}
]
},
"organizationalScope": null,
"responseActions": [
{
"@odata.type": "#microsoft.graph.security.isolateDeviceResponseAction",
"isolationType": "full",
"identifier": "deviceId"
}
]
}
}