Utiliser l’API de sécurité Microsoft Graph

L’API de sécurité Microsoft Graph fournit une interface et un schéma unifiés à intégrer aux solutions de sécurité de Microsoft et des partenaires de l’écosystème. Cela permet aux clients de simplifier les opérations de sécurité et mettre en place une meilleure défense contre les nouvelles menaces informatiques. L’API de sécurité Microsoft Graph féfine les requêtes à tous les fournisseurs de sécurité intégrés et agrège les réponses. Utilisez l’API de sécurité Microsoft Graph pour créer des applications qui :

• Consolidez et mettez en corrélation les alertes de sécurité provenant de sources multiples.
• Extrayez et examinez tous les incidents et alertes des services qui font partie de Microsoft 365 Defender ou qui sont intégrés à celui-ci.
• déverrouillent des données contextuelles pour documenter les enquêtes.
• Automatisez les tâches de sécurité, les processus métier, les flux de travail et la création de rapports.
• Envoyez des indicateurs de menace aux produits Microsoft pour des détections personnalisées.
• Appeler des actions en réponse à de nouvelles menaces.
• Offrez une visibilité sur les données de sécurité pour permettre une gestion proactive des risques.

L’API de sécurité Microsoft Graph fournit des fonctionnalités clés, comme décrit dans les sections suivantes.

Recherche avancée de menaces

Le repérage avancé est un outil de repérage de menaces basé sur des requêtes qui vous permet d’explorer jusqu’à 30 jours de données brutes. Vous pouvez inspecter de manière proactive les événements de votre réseau pour localiser les indicateurs et entités de menace. L’accès flexible aux données facilite le repérage sans contrainte pour les menaces connues et potentielles.

Utilisez runHuntingQuery pour exécuter une requête en langage de requête Kusto (KQL) sur des données stockées dans Microsoft 365 Defender. Utilisez le jeu de résultats renvoyé pour enrichir une enquête existante ou pour découvrir des menaces non détectées sur votre réseau.

Quotas et allocation des ressources

Les conditions suivantes s’appliquent à toutes les requêtes.

1. Les requêtes explorent et renvoient des données des 30 derniers jours.
2. Les résultats peuvent renvoyer jusqu’à 100 000 lignes.
3. Vous pouvez effectuer au moins 45 appels par minute et par client. Le nombre d’appels varie selon le client en fonction de sa taille.
4. Chaque client se voit allouer des ressources CPU, en fonction de sa taille. Les requêtes sont bloquées si le client atteint 100 % des ressources allouées jusqu’à la fin du cycle de 15 minutes suivant. Pour éviter les requêtes bloquées en raison d’une consommation excessive, suivez les instructions de la section Optimiser vos requêtes pour éviter d’atteindre les quotas de processeur.
5. Si une seule demande s’exécute pendant plus de trois minutes, elle expire et renvoie une erreur.
6. Un 429 code de réponse HTTP indique que vous avez atteint les ressources processeur allouées, soit par le nombre de requêtes envoyées, soit par le temps d’exécution alloué. Lisez le corps de la réponse pour comprendre la limite que vous avez atteinte.
7. Les résultats de la requête ont une limite de taille globale de 50 Mo. Cette limite ne fait pas seulement référence au nombre d’enregistrements ; Des facteurs tels que le nombre de colonnes, les types de données et la longueur des champs déterminent également la taille des résultats de requête.

Effectuer une migration à partir des anciennes API

Les API de repérage avancé dans Microsoft Graph remplacent l’ancienne version de l’API qui était disponible via les https://api.security.microsoft.com/api/advancedhunting/run points de terminaison and https://api.security.microsoft.com/api/advancedqueries/run . Les anciennes API sont désormais hors service et cesseront de retourner des données le 1er février 2027.

Pour migrer vers les API de chasse avancée dans Microsoft Graph, mettez à jour les paramètres suivants dans votre application :

Pour plus d’informations sur la façon d’autoriser votre application à appeler des API Microsoft Graph, consultez Obtenir un accès pour le compte d’un utilisateur et Obtenir un accès sans utilisateur.

Migration de flux Power Platform (PowerApps / Power Automate / Logic Apps)

Microsoft Graph ne dispose pas d’une action de repérage avancée intégrée qui était disponible dans le connecteur Power Platform pour Microsoft Defender ATP. Pour continuer à utiliser la chasse avancée dans vos flux Power Platform, créez un connecteur personnalisé. Pour plus d’informations, consultez Créer un connecteur personnalisé par lot JSON Microsoft Graph pour Power Automate et utilisez les paramètres Microsoft Graph décrits dans le tableau précédent.

Migration de flux Power BI

Si vous utilisez un rapport Power BI personnalisé créé avec l’ancienne API, mettez à jour votre requête Power BI pour utiliser les paramètres Microsoft Graph décrits dans le tableau précédent. Pour plus d’informations, consultez Créer des rapports Microsoft Defender XDR personnalisés à l’aide de l’API de sécurité Microsoft Graph et de Power BI.

Détections personnalisées

Vous pouvez créer des règles de détection personnalisées de repérage avancé spécifiques à vos opérations de sécurité pour surveiller de manière proactive les menaces et prendre des mesures. Par exemple, vous pouvez créer des règles de détection personnalisées qui recherchent des indicateurs connus ou des périphériques mal configurés. Ces règles déclenchent automatiquement les alertes et toutes les actions de réponse que vous spécifiez.

Quotas

1. Règles de détection de liste : 10 règles par minute par application, 300 règles par heure par application et 600 règles par heure et par client.
2. Obtenez une règle de détection : 100 règles par minute par application, 1 500 règles par heure et par application et 1 800 règles par heure et par client.
3. Créer une règle de détection : 10 règles par minute et par application, 1 500 règles par heure et par client.
4. Mettre à jour une règle de détection : 100 règles par minute par application, 1 500 règles par heure et par application, et 1 800 règles par heure et par client.
5. Supprimer une règle de détection : 100 règles par minute par application, 1 500 règles par heure par application et 1 800 règles par heure et par client.

Alertes

Les alertes sont des avertissements détaillés sur les activités suspectes dans le locataire d’un client que Microsoft ou les fournisseurs de sécurité partenaires identifient et signalent pour action. Les attaques emploient généralement différentes techniques contre différents types d’entités, telles que les appareils, les utilisateurs et les boîtes aux lettres. Il en résulte des alertes provenant de plusieurs fournisseurs de sécurité pour plusieurs entités du locataire. Reconstituer les alertes individuelles pour obtenir des informations sur une attaque peut être difficile et prendre du temps.

L’API de sécurité propose deux types d’alertes qui regroupent d’autres alertes provenant de fournisseurs de sécurité et facilitent l’analyse des attaques et la détermination des réponses :

• Alertes et incidents : il s’agit de la dernière génération d’alertes de l’API de sécurité Microsoft Graph. Ils sont représentés par la ressource d’alerte et sa collection, la ressource d’incident , définie dans l’espace de microsoft.graph.security noms.
• Alertes héritées : il s’agit de la première génération d’alertes dans l’IA de sécurité Microsoft Graph. Ils sont représentés par la ressource d’alerte définie dans l’espace de microsoft.graph noms.

Alertes et incidents

Ces ressources d’alerte extraient d’abord les données d’alerte des services du fournisseur de sécurité, qui font partie de Microsoft 365 Defender ou sont intégrés à celui-ci. Ensuite, ils consomment les données pour renvoyer des indices riches et précieux sur une attaque terminée ou en cours, les actifs touchés et les preuves associées. En outre, ils corrélent automatiquement d’autres alertes avec les mêmes techniques d’attaque ou le même attaquant dans un incident afin de fournir un contexte plus large d’une attaque. Ils recommandent des actions de réponse et de correction, offrant une capacité d’action cohérente entre les différents fournisseurs. Le contenu enrichi permet aux analystes d’enquêter collectivement et de répondre plus facilement aux menaces.

Les alertes des fournisseurs de sécurité suivants sont disponibles via ces alertes et incidents enrichis :

• Protection de Microsoft Entra ID
• Microsoft 365 Defender
• Microsoft Defender for Cloud Apps
• Microsoft Defender pour point de terminaison
• Microsoft Defender pour l’identité
• Microsoft Defender pour Office 365
• Protection contre la perte de données Microsoft Purview
• Microsoft Purview : gestion des risques internes

Alertes héritées

Les ressources d’alerte héritées fédérent l’appel des fournisseurs de sécurité Azure et Microsoft 365 Defender pris en charge. Ils agrégent les données d’alerte communes entre les différents domaines pour permettre aux applications d’unifier et de rationaliser la gestion des problèmes de sécurité dans toutes les solutions intégrées. Ils permettent aux applications de corréler les alertes et le contexte pour améliorer la protection et la réponse aux menaces.

La version héritée de l’API de sécurité offre la ressource d’alerte qui fédère l’appel des fournisseurs de sécurité Azure et Microsoft 365 Defender pris en charge. Cette ressource d’alerte agrège les données d’alerte communes aux différents domaines pour permettre aux applications d’unifier et de rationaliser la gestion des problèmes de sécurité dans toutes les solutions intégrées. Cela permet aux applications de corréler les alertes et le contexte pour améliorer la protection et la réponse aux menaces.

Grâce à la fonctionnalité de mise à jour des alertes, vous pouvez synchroniser le status d’alertes spécifiques dans différents produits et services de sécurité intégrés à l’API de sécurité Microsoft Graph en mettant à jour votre entité d’alerte.

Les alertes des fournisseurs suivants sont disponibles via la ressource d’alerte . La prise en charge des alertes GET, des alertes PATCH et de l’abonnement (via des webhooks) est indiquée dans le tableau suivant.

Remarque : De nouveaux fournisseurs s’intègrent en permanence à l’écosystème de sécurité Microsoft Graph. Pour demander de nouveaux fournisseurs ou pour bénéficier d’un support étendu auprès des fournisseurs existants, signalez un problème dans le référentiel GitHub de sécurité Microsoft Graph.

* Problème de fichier : le status d’alerte est mis à jour dans les applications intégrées à l’API de sécurité Microsoft Graph, mais n’est pas reflété dans l’expérience de gestion du fournisseur.

* * Microsoft Defender pour point de terminaison nécessite des rôles d’utilisateur supplémentaires par rapport à ceux requis par l’API de sécurité Microsoft Graph. Seuls les utilisateurs des rôles d’API de sécurité Microsoft Defender pour point de terminaison et Microsoft Graph peuvent accéder aux données de Microsoft Defender pour point de terminaison. Étant donné que l’authentification d’application uniquement n’est pas limitée par cela, nous vous recommandons d’utiliser un jeton d’authentification d’application uniquement.

Les alertes de Microsoft Defender pour Identity sont disponibles via l’intégration de Microsoft Defender for Cloud Apps. Cela signifie que vous recevez des alertes de Microsoft Defender pour Identity uniquement si vous avez rejoint Unified SecOps et connecté Microsoft Defender pour Identity à Microsoft Defender for Cloud Apps. En savoir plus sur comment intégrer Microsoft Defender pour Identity et Microsoft Defender for Cloud Apps.

Simulation et entraînement des attaques

La simulation d’attaque et la formation font partie de Microsoft Defender pour Office 365. Ce service permet aux utilisateurs d’un client de faire face à une attaque de hameçonnage réaliste et d’en tirer des enseignements. Les expériences de formation et de simulation d’ingénierie sociale pour les utilisateurs finaux permettent de réduire le risque de violation des utilisateurs via ces techniques d’attaque. L’API de simulation d’attaques et de formation permet aux administrateurs clients d’afficher des exercices et des formations de simulation lancées, et d’obtenir des rapports sur les informations dérivées sur les comportements en ligne des utilisateurs dans les simulations de hameçonnage.

eDiscovery

Microsoft Purview eDiscovery fournit un flux de travail de bout en bout pour préserver, collecter, analyser, examiner et exporter du contenu adapté aux enquêtes internes et externes de votre organisation.

Requête du journal d’audit

Microsoft Purview Audit fournit une solution intégrée pour aider les organisations à répondre efficacement aux événements de sécurité, aux enquêtes judiciaires, aux enquêtes internes et aux obligations de conformité. Des milliers d’opérations utilisateur et administrateur effectuées dans des dizaines de services et solutions Microsoft 365 sont capturées, enregistrées et conservées dans le journal d’audit unifié de votre organisation. Les enregistrements d'audit de ces événements peuvent être utilisables dans une recherchepar les responsables de la sécurité, les administrateurs informatiques, les équipes chargées de la lutte contre le risque interne et les enquêteurs chargés de la conformité et de la législation au sein de votre organisation. Cette fonctionnalité permet de gagner en visibilité sur les activités effectuées au sein de votre organisation Microsoft 365.

Identités

Problèmes d’intégrité

L’API des problèmes d’intégrité de Microsoft Defender pour Identity vous permet de surveiller le status d’intégrité de vos capteurs et agents dans votre infrastructure d’identité hybride. Vous pouvez utiliser l’API des problèmes d’intégrité pour récupérer des informations sur les problèmes d’intégrité actuels de vos capteurs, tels que le type, le status, la configuration et la gravité du problème. Vous pouvez également utiliser cette API pour identifier et résoudre les problèmes susceptibles d’affecter les fonctionnalités ou la sécurité de vos capteurs et agents.

Remarque : L’API des problèmes d’intégrité de Microsoft Defender pour Identity est disponible uniquement dans le plan Defender pour l’identité ou les plans de service de sécurité Microsoft 365 E5/A5/G5/F5.

Capteurs

Les API de gestion des capteurs Defender pour Identity vous permettent d’effectuer les opérations suivantes :

• Créez des rapports détaillés des capteurs de votre espace de travail, y compris des informations sur le nom du serveur, la version du capteur, le type, l’état et le status d’intégrité.
• Gérez les paramètres du capteur, tels que l’ajout de descriptions, l’activation ou la désactivation des mises à jour différées et la spécification du contrôleur de domaine auquel le capteur se connecte pour l’interrogation de l’ID Entra.
• Identifiez les capteurs prêts à être activés.
• Définissez si les capteurs de votre infrastructure doivent être activés automatiquement ou manuellement.
• Identifiez les serveurs prêts à être activés avec l’agent unifié.
• Activez ou désactivez l’activation automatique des serveurs éligibles pour l’agent unifié.
• Activez ou désactivez l’agent unifié sur les serveurs éligibles.
• Activez ou désactivez l’activation automatique de la configuration d’audit des événements requis lors de l’activation du capteur.

identityAccounts

La ressource identityAccounts et les API associées vous permettent de récupérer les détails des utilisateurs marqués par les alertes de Microsoft Defender pour Identity et d’appliquer des actions telles que la désactivation des comptes et la réinitialisation du mot de passe utilisateur pour l’utilisateur compromis.

Incidents

Un incident est un ensemble d’alertes corrélées et de données associées qui constituent l’histoire d’une attaque. La gestion des incidents fait partie de Microsoft 365 Defender et est disponible dans le portail Microsoft 365 Defender (https://security.microsoft.com/).

Les services et applications Microsoft 365 créent des alertes lorsqu’ils détectent un événement ou une activité suspect ou malveillant. Les alertes individuelles fournissent des indices précieux sur une attaque terminée ou en cours. Toutefois, les attaques utilisent généralement différentes techniques contre différents types d’entités, comme les appareils, les utilisateurs et les boîtes aux lettres. Le résultat est plusieurs alertes pour plusieurs entités dans votre client.

Étant donné que rassembler les alertes individuelles pour obtenir des informations sur une attaque peut être difficile et prendre du temps, Microsoft 365 Defender agrège automatiquement les alertes et leurs informations associées dans un incident.

Le regroupement d’alertes associées dans un incident vous donne une vue complète d’une attaque. Par exemple, vous pouvez voir :

• Où l’attaque a démarré.
• Quelles tactiques ont été utilisées.
• Jusqu’où l’attaque est allée dans votre client.
• L’étendue de l’attaque, par exemple le nombre d’appareils, d’utilisateurs et de boîtes aux lettres qui ont été affectés.
• Toutes les données associées à l’attaque.

La ressource d’incidents et ses API vous permettent de trier les incidents pour créer une réponse de cybersécurité éclairée. Il expose un ensemble d’incidents, avec leurs alertes associées, qui ont été signalés dans votre réseau, dans la période que vous avez spécifiée dans votre stratégie de rétention d’environnement.

Protection des informations

L’API d’évaluation des menaces Microsoft Graph aide les organisations à évaluer la menace reçue par tout utilisateur d’un client. Cela donne la possibilité aux clients de signaler des messages indésirables, les URL d’hameçonnage ou les pièces jointes malveillantes qu’ils reçoivent sur Microsoft. Le résultat de la vérification de stratégie et le résultat de la réanalyse peuvent aider les administrateurs client à comprendre la stratégie d’analyse de la menace et à ajuster leur stratégie de l’organisation.

Gestion des enregistrements

La plupart des organisations doivent gérer les données pour se conformer de manière proactive aux réglementations et aux stratégies internes du secteur, réduire les risques en cas de litige ou de violation de la sécurité, et permettre aux employés de partager efficacement et avec agilité les connaissances actuelles et pertinentes pour eux. Vous pouvez utiliser les API de gestion des enregistrements pour appliquer systématiquement des étiquettes de rétention à différents types de contenu qui nécessitent différents paramètres de rétention. Par exemple, vous pouvez configurer le début de la période de rétention à partir de la création, de la dernière modification du contenu, de son étiquetage ou de la survenue d’un événement pour un type d’événement particulier. En outre, vous pouvez utiliser des descripteurs de plan de fichier pour améliorer la facilité de gestion de ces étiquettes de rétention.

Degré de sécurisation

Niveau de sécurité Microsoft est une solution d'analyse de sécurité qui vous donne une visibilité sur votre portefeuille de sécurité et sur la façon de l'améliorer. Avec un score unique, vous pouvez mieux comprendre ce que vous avez fait pour réduire vos risques dans les solutions Microsoft. Vous pouvez également comparer votre score avec d’autres organisations et voir comment votre note a évolué au fil du temps. Les entités secureScore et secureScoreControlProfile de sécurité Microsoft Graph vous aident à équilibrer les besoins de sécurité et de productivité de votre organization tout en offrant la combinaison appropriée de fonctionnalités de sécurité. Vous pouvez également prédire ce que sera votre score une fois que vous avez adopté certaines fonctionnalités de sécurité.

Threat Intelligence

Microsoft Defender Threat Intelligence fournit une intelligence des menaces de classe mondiale pour vous aider à protéger votre organisation contre les cybermenaces modernes. Vous pouvez utiliser le renseignement sur les menaces pour identifier les adversaires et leurs opérations, accélérer la détection et la correction, et améliorer vos investissements et vos flux de travail en matière de sécurité.

Les API d’intelligence des menaces vous permettent d’opérationnaliser l’intelligence trouvée dans l’interface utilisateur. Cela inclut le renseignement fini sous forme d’articles et de profils Intel, l’intelligence artificielle telle que les IoC et les verdicts de réputation, et les données d’enrichissement telles que le DNS passif, les cookies, les composants et les trackers.

Cas d’utilisation courants

Voici quelques-unes des demandes les plus populaires pour l’utilisation de l’API de sécurité Microsoft Graph.

Vous pouvez utiliser les notifications de modification de Microsoft Graph pour vous abonner et recevoir des notifications sur les mises à jour des entités de sécurité Microsoft Graph.

Ressources

Codez et contribuez à ces exemples d’API de sécurité Microsoft Graph :

• exemple ASP.NET (C#)
• exemple Python
• exemple Node.js (JavaScript)

Collaboration avec la communauté :

• Joindre la Communauté technique
• Discussion dans StackOverflow

Étapes suivantes

L’API de sécurité Microsoft Graph peut vous ouvrir de nouvelles façons d’interagir avec différentes solutions de sécurité de Microsoft et de ses partenaires. Pour commencer, procédez comme suit :

• Explorer alerts, secureScore et secureScoreControlProfiles.
• Essayez l’API dans l’Afficheur Graph. Dans Exemples de requêtes, sélectionnez afficher d’autres exemples et définir la catégorie de sécurité comme activée.
• Essayez S’abonner et recevoir des notifications pour les modifications d’entité.

Contenu connexe

Codez et contribuez à cet exemple d’API de sécurité Microsoft Graph :

• Exemple de PowerShell

Découvrez d’autres options pour vous connecter à l’API de sécurité Microsoft Graph :

• Connecteurs de sécurité Microsoft Graph pour Logic Apps, Flow et Power Apps
• Exemples de bloc-notes Jupyter

Collaboration avec la communauté :

• Joindre la Communauté technique
• Discussion dans StackOverflow