欲獲得涵蓋所有 Microsoft Defender 產品的完整 Alerts API 體驗，請造訪： 使用 Microsoft Graph 安全 API - Microsoft Graph |Microsoft Learn。
屬性
| 屬性 | 類型 | 描述 |
|---|---|---|
| 識別碼 | 字串 | 警報識別。 |
| title | 字串 | 警示標題。 |
| 描述 | 字串 | 警報描述。 |
| alertCreationTime | 可空除日期時間偏移 | 警報建立 (UTC的時間) 。 |
| 最後事件時間 | 可空除日期時間偏移 | 同台裝置上最後一次觸發警報的事件。 |
| firstEventTime | 可空除日期時間偏移 | 觸發該裝置警報的事件第一次發生。 |
| 上次更新時間 | 可空除日期時間偏移 | 警報最後更新) UTC 時間 (。 |
| 已解決時間 | 可空除日期時間偏移 | 警報狀態變更為 「已解決」的日期與時間。 |
| incidentId（事件ID） | 可空的長 | 警報事件編號。 |
| 調查 | 可空的長 | 調查ID與警報相關。 |
| 調查狀態 | 可空化列舉 | 調查的現況。 可能的值包括： 未知、 終止、 成功修復、 良性、 失敗、 部分修復、 運行中、 待處理批准、 待處理資源、 部分調查、 終止dBy用戶、 終止dBySystem、 佇列、 內部失敗、 PreexistingAlert、 UnsupportedOs、 UnsupportedAlertType， 抑制警報。 |
| 分配給 | 字串 | 警報的擁有者。 |
| rbacGroupName | 字串 | 基於角色的存取控制裝置群組名稱。 |
| 斜口技術 | 字串 | Mitre Enterprise 技術 ID。 |
| relatedUser | 字串 | 與特定警報相關的使用者資料。 |
| 嚴重 | Enum | 警報的嚴重程度。 可能的數值包括： 未指定、 資訊性、 低、 中、 高。 |
| 狀態 | Enum | 指定警報的當前狀態。 可能的值有：未知、新、進行中和已解決。 |
| 分類 | 可空化列舉 | 警報的規格。 可能的值有： TruePositive、、 Informational, expected activity和 FalsePositive。 |
| 㦰 | 可空化列舉 | 指定警報的判定方式。 每種分類可能的判定值如下： Multistage attack (MultiStagedAttack) 、 Malicious user activity (MaliciousUserActivity) 、 Compromised account (CompromisedUser) ——考慮相應地更改公開 API 中的列舉名稱， (Malware Malware) 、 Phishing (釣魚) 、 Unwanted software (UnwantedSoftware) 以及 (其他) Other 。 Security test (SecurityTesting) 、 Line-of-business application (LineOfBusinessApplication) 、 Confirmed activity (ConfirmedUserActivity) ——請考慮在公開 API 中更改列舉名稱，並 Other (其他) 。 Not malicious (清理) - 考慮在公開 API 中更改 enum 名稱， (Not enough data to validate InsufficientData) ，並 Other (其他) 。 |
| 類別 | 字串 | 警報類別。 |
| 偵測來源 | 字串 | 偵測源。 |
| 威脅家族名稱 | 字串 | 威脅家人。 |
| 威脅名稱 | 字串 | 威脅名稱。 |
| machineId | 字串 | 與警報相關的 機器 實體識別碼。 |
| computerDnsName | 字串 | 機器 完全合格的名稱。 |
| aad租戶ID | 字串 | Microsoft Entra ID。 |
| 偵測器識別 | 字串 | 觸發警報的偵測器編號。 |
| 註解 | Alert 留言列表 | Alert Comment 物件包含：comment 字串、createdBy 字串，以及 createTime 日期時間。 |
| 證據 | 警報證據列表 | 與警報相關的證據。 請參閱下列的範例。 |
注意事項
大約在 2022 年 8 月 29 日，先前支援的 Apt 和 SecurityPersonnel () 警報判定值將被棄用，不再透過 API 提供。
針對單次警報的回應範例：
GET https://api.securitycenter.microsoft.com/api/alerts/da637472900382838869_1364969609
{
"id": "da637472900382838869_1364969609",
"incidentId": 1126093,
"investigationId": null,
"assignedTo": null,
"severity": "Low",
"status": "New",
"classification": null,
"determination": null,
"investigationState": "Queued",
"detectionSource": "WindowsDefenderAtp",
"detectorId": "17e10bbc-3a68-474a-8aad-faef14d43952",
"category": "Execution",
"threatFamilyName": null,
"title": "Low-reputation arbitrary code executed by signed executable",
"description": "Binaries signed by Microsoft can be used to run low-reputation arbitrary code. This technique hides the execution of malicious code within a trusted process. As a result, the trusted process might exhibit suspicious behaviors, such as opening a listening port or connecting to a command-and-control (C&C) server.",
"alertCreationTime": "2021-01-26T20:33:57.7220239Z",
"firstEventTime": "2021-01-26T20:31:32.9562661Z",
"lastEventTime": "2021-01-26T20:31:33.0577322Z",
"lastUpdateTime": "2021-01-26T20:33:59.2Z",
"resolvedTime": null,
"machineId": "111e6dd8c833c8a052ea231ec1b19adaf497b625",
"computerDnsName": "temp123.middleeast.corp.microsoft.com",
"rbacGroupName": "A",
"aadTenantId": "a839b112-1253-6432-9bf6-94542403f21c",
"threatName": null,
"mitreTechniques": [
"T1064",
"T1085",
"T1220"
],
"relatedUser": {
"userName": "temp123",
"domainName": "DOMAIN"
},
"comments": [
{
"comment": "test comment for docs",
"createdBy": "secop123@contoso.com",
"createdTime": "2021-01-26T01:00:37.8404534Z"
}
],
"evidence": [
{
"entityType": "User",
"evidenceCreationTime": "2021-01-26T20:33:58.42Z",
"sha1": null,
"sha256": null,
"fileName": null,
"filePath": null,
"processId": null,
"processCommandLine": null,
"processCreationTime": null,
"parentProcessId": null,
"parentProcessCreationTime": null,
"parentProcessFileName": null,
"parentProcessFilePath": null,
"ipAddress": null,
"url": null,
"registryKey": null,
"registryHive": null,
"registryValueType": null,
"registryValue": null,
"accountName": "name",
"domainName": "DOMAIN",
"userSid": "S-1-5-21-11111607-1111760036-109187956-75141",
"aadUserId": "11118379-2a59-1111-ac3c-a51eb4a3c627",
"userPrincipalName": "temp123@microsoft.com",
"detectionStatus": null
},
{
"entityType": "Process",
"evidenceCreationTime": "2021-01-26T20:33:58.6133333Z",
"sha1": "ff836cfb1af40252bd2a2ea843032e99a5b262ed",
"sha256": "a4752c71d81afd3d5865d24ddb11a6b0c615062fcc448d24050c2172d2cbccd6",
"fileName": "rundll32.exe",
"filePath": "C:\\Windows\\SysWOW64",
"processId": 3276,
"processCommandLine": "rundll32.exe c:\\temp\\suspicious.dll,RepeatAfterMe",
"processCreationTime": "2021-01-26T20:31:32.9581596Z",
"parentProcessId": 8420,
"parentProcessCreationTime": "2021-01-26T20:31:32.9004163Z",
"parentProcessFileName": "rundll32.exe",
"parentProcessFilePath": "C:\\Windows\\System32",
"ipAddress": null,
"url": null,
"registryKey": null,
"registryHive": null,
"registryValueType": null,
"registryValue": null,
"accountName": null,
"domainName": null,
"userSid": null,
"aadUserId": null,
"userPrincipalName": null,
"detectionStatus": "Detected"
},
{
"entityType": "File",
"evidenceCreationTime": "2021-01-26T20:33:58.42Z",
"sha1": "8563f95b2f8a284fc99da44500cd51a77c1ff36c",
"sha256": "dc0ade0c95d6db98882bc8fa6707e64353cd6f7767ff48d6a81a6c2aef21c608",
"fileName": "suspicious.dll",
"filePath": "c:\\temp",
"processId": null,
"processCommandLine": null,
"processCreationTime": null,
"parentProcessId": null,
"parentProcessCreationTime": null,
"parentProcessFileName": null,
"parentProcessFilePath": null,
"ipAddress": null,
"url": null,
"registryKey": null,
"registryHive": null,
"registryValueType": null,
"registryValue": null,
"accountName": null,
"domainName": null,
"userSid": null,
"aadUserId": null,
"userPrincipalName": null,
"detectionStatus": "Detected"
}
]
}