Microsoft Graph セキュリティ API を使用する

Microsoft Graph セキュリティ API は、Microsoft およびエコシステム パートナーのセキュリティ ソリューションと統合するための統合インターフェイスとスキーマを提供します。 これにより、お客様は、増加するサイバー脅威に対するセキュリティ操作と優れた防御を効率的に行うことができます。 Microsoft Graph セキュリティ API は、オンボードされているすべてのセキュリティ プロバイダーに対してクエリをフェデレーションし、応答を集約します。 Microsoft Graph セキュリティ API を使用して、次のようなアプリケーションを構築します:

• 複数のソースからのセキュリティ アラートを統合して関連付けます。
• Microsoft 365 Defender の一部または Microsoft 365 Defender と統合されているサービスから、すべてのインシデントとアラートを取得して調査します。
• コンテキスト データをロック解除し、調査について通知します。
• セキュリティ タスク、ビジネス プロセス、ワークフロー、レポートを自動化します。
• 脅威インジケーターを Microsoft 製品に送信して、検出をカスタマイズします。
• 新しい脅威に対応してアクションを呼び出します。
• セキュリティ データを可視化して、プロアクティブなリスク管理を実現します。

Microsoft Graph セキュリティ API には、次のセクションで説明する主要な機能が用意されています。

高度な追及

高度な捜索は、クエリ ベースの脅威の捜索ツールで、最大 30 日間のロー データを検索できます。 ネットワーク内のイベントを事前に検査して、脅威インジケーターとエンティティを見つけることができます。 データへの柔軟なアクセスにより、既知の脅威と潜在的な脅威の両方を無制限に捜索できます。

runHuntingQuery を使用して、Microsoft 365 Defender に格納されているデータに対して Kusto 照会言語 (KQL) クエリを実行します。 返された結果セットを使用して、既存の調査を強化するか、ネットワーク内の未検出の脅威を明らかにします。

クォータとリソース割り当て

次の条件は、すべてのクエリに関係します。

1. クエリは、過去 30 日間のデータを探索して返します。
2. 結果から最大 100,000 行が返されます。
3. テナントあたり 1 分間に最大 45 件の呼び出しを行うことができます。 呼び出しの数は、テナントごとに、そのサイズによって異なります。
4. 各テナントには、テナント サイズに基づいて CPU リソースが割り当てられます。 テナントが割り当てられたリソースの 100% に達すると、次の 15 分のサイクルが経過するまでクエリはブロックされます。 過剰な消費によるクエリのブロックを回避するには、「 クエリを最適化して CPU クォータを超えないようにする」のガイダンスに従ってください。
5. 1 つの要求が 3 分以上実行されると、タイムアウトしてエラーが返されます。
6. 429 HTTP 応答コードは、送信された要求の数または割り当てられた実行時間によって、割り当てられた CPU リソースに到達したことを示します。 到達した制限を理解するには、応答本文を読んでください。
7. クエリ結果には、全体のサイズ制限は 50 MB です。 この制限は、単にレコード数を指すものではありません。列の数、データ型、フィールドの長さなどの要因も、クエリ結果のサイズに影響します。

古い API から移行する

Microsoft Graph の高度な捜索 API は、 https://api.security.microsoft.com/api/advancedhunting/run エンドポイントと https://api.security.microsoft.com/api/advancedqueries/run エンドポイント経由で使用可能だった古いバージョンの API を置き換えます。 古い API は廃止され、2027 年 2 月 1 日にデータの返品を停止します。

Microsoft Graph の高度な捜索 API に移行するには、アプリケーションで次のパラメーターを更新します。

アプリで Microsoft Graph API を呼び出すことを承認する方法の詳細については、「 ユーザーの代わりにアクセス権を取得する」 および「 ユーザーなしでアクセス権を取得する」を参照してください。

Power Platform フロー移行 (PowerApps / Power Automate / Logic Apps)

Microsoft Graph には、Microsoft Defender ATP 用の Power Platform コネクタで使用可能だった組み込みの高度な捜索アクションはありません。 Power Platform フローで高度な捜索を引き続き使用するには、カスタム コネクタを作成します。 詳細については、「 Power Automate 用の Microsoft Graph JSON バッチ カスタム コネクタの作成 」を参照し、前の表で説明した Microsoft Graph パラメーターを使用します。

Power BI フロー移行

以前の API で作成されたカスタム Power BI レポートを使用している場合は、前の表で説明した Microsoft Graph パラメーターを使用するように Power BI クエリを更新します。 詳細については、「Microsoft Graph セキュリティ API と Power BI を使用してカスタム Microsoft Defender XDR レポートを作成する」を参照してください。

カスタム検出

セキュリティ運用に固有の高度な捜索 カスタム検出ルール を作成して、脅威を予防的に監視してアクションを実行できます。 たとえば、既知のインジケーターや誤って構成されたデバイスを探すカスタム検出ルールを作成できます。 これらのルールにより、アラートと指定した対応アクションが自動的にトリガーされます。

クォータ

1. 検出ルールの一覧: アプリケーションあたり 1 分あたり 10 のルール、アプリケーションあたり 1 時間あたり 300 のルール、テナントあたり 1 時間あたり 600 のルール。
2. 検出ルールを取得する: アプリケーションあたり 1 分あたり 100 ルール、アプリケーションあたり 1 時間あたり 1,500 ルール、テナントあたり 1 時間あたり 1,800 ルール。
3. 検出ルールを作成します: アプリケーションあたり 1 分あたり 10 のルール、アプリケーションあたり 1 時間あたり 1,500 のルール、テナントあたり 1 時間あたり 1,800 のルール。
4. 検出ルールを更新する: アプリケーションあたり 1 分あたり 100 ルール、アプリケーションあたり 1 時間あたり 1,500 ルール、テナントあたり 1 時間あたり 1,800 ルール。
5. 検出ルールの削除: アプリケーションあたり 1 分あたり 100 個のルール、アプリケーションあたり 1 時間あたり 1,500 個のルール、テナントあたり 1 時間あたり 1,800 個のルール。

アラート

アラートは、Microsoft またはパートナーのセキュリティ プロバイダーが特定し、アクションのフラグを設定した、顧客のテナント内の疑わしいアクティビティに関する詳細な警告です。 攻撃では通常、デバイス、ユーザー、メールボックスなど、さまざまな種類のエンティティに対してさまざまな手法が使用されます。 その結果、テナント内の複数のエンティティに対して複数のセキュリティ プロバイダーからアラートが送信されます。 個々のアラートをつなぎ合わせて攻撃を把握することは、困難で時間がかかる場合があります。

セキュリティ API は、セキュリティ プロバイダーからの他のアラートを集約し、攻撃の分析と対応の決定を容易にする 2 種類のアラートを提供します。

• アラートとインシデント - これらは、Microsoft Graph セキュリティ API の最新世代のアラートです。 これらは、microsoft.graph.security名前空間で定義されているアラート リソースとそのコレクションであるインシデント リソースによって表されます。
• 従来のアラート - これらは、Microsoft Graph セキュリティ AI の第 1 世代のアラートです。 これらは、microsoft.graph 名前空間で定義されているアラート リソースによって表されます。

アラートとインシデント

これらの アラート リソースは、最初に、 Microsoft 365 Defender の一部であるか、Microsoft 365 Defender と統合されているセキュリティ プロバイダー サービスからアラート データをプルします。 次に、データを使用して、完了した攻撃または進行中の攻撃、影響を受けた資産、および関連する証拠に関する豊富で貴重な 手がかりを返します。 さらに、同じ攻撃手法または同じ攻撃者を使用する他のアラートを インシデント に自動的に関連付けて、攻撃のより広範なコンテキストを提供します。 対応と修復アクションを推奨し、すべての異なるプロバイダー間で一貫した対応可能性を提供します。 豊富なコンテンツにより、アナリストは集団で脅威を調査して対応しやすくなります。

次のセキュリティ プロバイダーからのアラートは、これらの豊富なアラートとインシデントを介して利用できます。

• Microsoft Entra ID 保護
• Microsoft 365 Defender
• Microsoft Defender for Cloud Apps
• Microsoft Defender for Endpoint
• Microsoft Defender for Identity
• Microsoft Defender for Office 365
• Microsoft Purview データ損失防止
• Microsoft Purview インサイダー リスク管理

従来のアラート

レガシ アラート リソースは、サポートされている Azure および Microsoft 365 Defender セキュリティ プロバイダーのフェデレーション呼び出しです。 これらは、異なるドメイン間の共通のアラート データを集約して、アプリケーションがすべての統合ソリューションにわたるセキュリティ問題の管理を統合および合理化できるようにします。 これにより、アプリケーションはアラートとコンテキストを関連付けて、脅威の保護と対応を向上させることができます。

セキュリティ API のレガシ バージョンでは、サポートされている Azure および Microsoft 365 Defender セキュリティ プロバイダーの呼び出しをフェデレーションするアラート リソースが提供されます。 この アラート リソースは、異なるドメインに共通するアラート データを集約し、アプリケーションがすべての統合ソリューションにわたるセキュリティ問題の管理を統合および合理化できるようにします。 これにより、アプリケーションでアラートとコンテキストを関連付けて、脅威の保護と対応を向上させることができます。

アラート更新機能を使用すると、 アラート エンティティを更新することで、Microsoft Graph セキュリティ API と統合されているさまざまなセキュリティ製品やサービス間で特定のアラートの状態を同期できます。

次のプロバイダーからのアラートは、 アラート リソースを介して利用できます。 次の表に、GET アラート、PATCH アラート、サブスクライブ (Webhook 経由) のサポートを示します。

メモ: 新しいプロバイダーは、Microsoft Graph のセキュリティ エコシステムに継続的にオンボードしています。 新しいプロバイダーまたは既存のプロバイダーからの延長サポートを要求するには、 Microsoft Graph セキュリティ GitHub リポジトリに問題を提出します。

* ファイルの問題: アラートの状態は、Microsoft Graph セキュリティ API 統合アプリケーション全体で更新されますが、プロバイダーの管理エクスペリエンスには反映されません。

** Microsoft Defender for Endpoint では、Microsoft Graph セキュリティ API で必要なユーザー ロールに加えて、追加のユーザー ロールが必要です。 Microsoft Defender for Endpoint と Microsoft Graph セキュリティ API の両方のロールを持つユーザーのみが Microsoft Defender for Endpoint データにアクセスできます。 アプリケーションのみの認証はこれによって制限されないため、アプリケーションのみの認証トークンを使用することをお勧めします。

Microsoft Defender for Identity アラートは、Microsoft Defender for Cloud Apps 統合を介して利用できます。 つまり、Unified SecOps に参加し、Microsoft Defender for Identity を Microsoft Defender for Cloud Apps に接続した場合にのみ、Microsoft Defender for Identity アラートを受け取ります。 詳細については、「Microsoft Defender for Identity と Microsoft Defender for Cloud Apps を統合する方法」 を参照してください。

攻撃シミュレーションとトレーニング

攻撃シミュレーションとトレーニングは、Microsoft Defender for Office 365 の一部です。 このサービスにより、テナントのユーザーは現実的な良性のフィッシング攻撃を体験し、そこから学ぶことができます。 エンド ユーザー向けのソーシャル エンジニアリング シミュレーションとトレーニングの経験は、これらの攻撃手法によってユーザーが侵害されるリスクを軽減するのに役立ちます。 攻撃シミュレーションとトレーニングの API を使用すると、テナント管理者は、起動されたシミュレーションの演習とトレーニングを表示し、フィッシング シミュレーションでのユーザーのオンライン行動に派生する分析情報に関するレポートを取得できます。

電子情報開示

Microsoft Purview eDiscovery は、organization の内部および外部の調査に対応するコンテンツを保存、収集、分析、レビュー、エクスポートするためのエンドツーエンドのワークフローを提供します。

監査ログのクエリ

Microsoft Purview 監査は、組織がセキュリティ イベント、フォレンジック調査、内部調査、コンプライアンス義務に効果的に対応できるよう支援する統合ソリューションを提供します。 何十もの Microsoft 365 サービスやソリューションで実行された何千ものユーザーや管理者の操作は、組織の統一された監査ログにキャプチャされ、記録されて保持されます。 これらのイベントの監査記録は、組織内のセキュリティ オペレーション、IT 管理者、インサイダー リスク チーム、コンプライアンスや法務調査担当者が検索できます。 この機能により、Microsoft 365 の組織全体で行われているアクティビティを可視化することができます。

ID

正常性の問題

Microsoft Defender for Identity の正常性の問題 API を使用すると、ハイブリッド ID インフラストラクチャ全体でセンサーとエージェントの正常性状態を監視できます。 正常性の問題 API を使用すると、問題の種類、状態、構成、重大度など、センサーの現在の正常性の問題に関する情報を取得できます。 また、この API を使用して、センサーとエージェントの機能やセキュリティに影響を与える可能性のある問題を特定して解決することもできます。

メモ:Microsoft Defender for Identity の正常性の問題 API は、Defender for Identity プランまたは Microsoft 365 E5/A5/G5/F5 セキュリティ サービス プランでのみ使用できます。

センサー

Defender for Identity センサー管理 API を使用すると、次のことが可能になります。

• サーバー名、センサーのバージョン、種類、状態、正常性状態に関する情報など、ワークスペース内のセンサーの詳細レポートを作成します。
• 説明の追加、遅延更新の有効化または無効化、Entra ID を照会するためにセンサーが接続するドメイン コントローラーの指定など、センサーの設定を管理します。
• アクティブ化する準備ができているセンサーを識別します。
• インフラストラクチャ内のセンサーを自動または手動でアクティブ化するかどうかを定義します。
• Unified Agent でアクティブ化する準備ができているサーバーを特定します。
• Unified Agent に適格なサーバーの自動アクティブ化を有効または無効にします。
• 有効なサーバーで Unified Agent をアクティブまたは非アクティブにします。
• センサーのアクティブ化中に必要なイベント監査構成の自動有効化を有効または無効にします。

identityAccounts

identityAccounts リソースと関連 API を使用すると、Microsoft Defender for Identity アラートによってフラグが設定されたユーザーの詳細を取得し、アカウントの無効化や侵害されたユーザーのユーザー パスワードのリセットなどのアクションを適用できます。

インシデント

イン シデント は、攻撃のストーリーを構成する、相 関アラートと 関連データのコレクションです。 インシデント管理は Microsoft 365 Defender の一部であり、Microsoft 365 Defender ポータル (https://security.microsoft.com/) で利用できます。

Microsoft 365 サービスおよびアプリは、疑わしい、または悪意のあるイベントやアクティビティを検出した場合にアラートを作成します。 個々のアラートは、完了した攻撃、または進行中の攻撃に関する貴重な手がかりとなります。 ただし、攻撃は通常、デバイス、ユーザー、メールボックスなどの異なる種類のエンティティに対抗してさまざまな技術を採用しています。 その結果、テナント内の複数のエンティティに複数のアラートが表示されます。

個々のアラートをつなぎ合わせて攻撃を把握することは困難と時間がかかる場合があるため、Microsoft 365 Defender はアラートとそれに関連する情報を自動的に インシデントに集約します。

関連するアラートをインシデントにグループ化することで、攻撃を包括的に表示します。 たとえば、次が表示されます。

• 攻撃の開始場所。
• 使用された戦術。
• 攻撃がテナントにどの程度まで侵入したか。
• 攻撃の範囲 (影響を受けたデバイス、ユーザー、メールボックスの数など)。
• 攻撃に関連付けられているすべてのデータ。

インシデント リソースとその API を使用すると、インシデントを分類して、情報に基づいたサイバーセキュリティ対応を作成できます。 環境保持ポリシーで指定された時間範囲内に、ネットワークでフラグが設定されたインシデントのコレクションと、関連する アラートが公開されます。

情報保護

Microsoft Graph 脅威評価 API は、組織がテナント内の任意のユーザーが受け取った脅威を評価するのに役立ちます。 これによりお客様は、受信した迷惑メール、フィッシング URL、マルウェアの添付ファイルを、 Microsoft に報告できるようになります。 ポリシーの確認結果と再スキャンの結果は、テナント管理者が脅威スキャニングの判定を理解し、組織ポリシーを調整する上で役に立ちます。

レコード管理

ほとんどの組織は、業界の規制や内部ポリシーにプロアクティブに準拠し、訴訟やセキュリティ侵害が発生した場合のリスクを軽減し、人々が最新で自分に関連する知識を効果的かつ機敏に共有できるようにするためにデータを管理する必要があります。 レコード管理 API を使用すると、異なる保持設定を必要とするさまざまな種類のコンテンツに保持ラベルを体系的に適用できます。 たとえば、コンテンツが作成されたとき、最後に変更されたとき、ラベル付けされたとき、または特定のイベントの種類に対してイベントが発生したときから、保持期間の開始を構成できます。 さらに、 ファイル プラン記述子 を使用して、これらの保持ラベルの管理性を向上させることができます。

セキュア スコア

Microsoft セキュア スコアは、セキュリティ ポートフォリオを可視化し、その方法を向上させるためのセキュリティ分析ソリューションです。 単一のスコアで、Microsoft ソリューションのリスクを軽減するために何を行ったかをより深く理解できます。 また、自分のスコアを他の組織のスコアと比較したり、スコアが時間とともにどのように変化する傾向があるかも理解できます。 Microsoft Graph のセキュリティ secureScore エンティティと secureScoreControlProfile エンティティは、セキュリティ機能の適切な組み合わせを有効にしながら、organization のセキュリティと生産性のニーズのバランスを取るのに役立ちます。 また、セキュリティ機能を採用した後にスコアがどのように変化するかも予想できます。

脅威インテリジェンス

Microsoft Defender 脅威インテリジェンスは、世界クラスの脅威インテリジェンスを提供して、最新のサイバー脅威からorganizationを保護するのに役立ちます。 脅威インテリジェンスを使用して、敵とその操作を特定し、検出と修復を加速し、セキュリティへの投資とワークフローを強化できます。

脅威インテリジェンス API を使用すると、ユーザー インターフェイス内にあるインテリジェンスを運用化できます。 これには、記事やインテリジェンス プロファイルの形式で完成したインテリジェンス、IoC や評判の判断などのマシン インテリジェンス、パッシブ DNS、Cookie、コンポーネント、トラッカーなどのエンリッチメント データが含まれます。

一般的なユース ケース

以下に、Microsoft Graph セキュリティ API を操作するための最も一般的な要求の一部を示します。

Microsoft Graph の変更通知 を使用して、Microsoft Graph セキュリティ エンティティの更新プログラムに関する通知をサブスクライブしたり、受信したりできます。

リソース

次の Microsoft Graph セキュリティ API サンプルをコードして投稿してください。

• ASP.NET (C#) サンプル
• Python サンプル
• Node.js (JavaScript) サンプル

以下のコミュニティに参加できます。

• 技術コミュニティに参加する
• StackOverflow についてディスカッションする

次のステップ

Microsoft Graph セキュリティ API を使用すると、Microsoft とそのパートナーのさまざまなセキュリティ ソリューションを利用するための新しい方法が開かれます。 以下の手順に従って開始しましょう。

• アラート、 secureScore、およびsecureScoreControlProfilesにドリルダウンします。
• Graph エクスプローラーで API をお試しください。 [サンプル クエリ] で、[サンプルをさらに表示] を選択してセキュリティ カテゴリを [オン]に設定します。
• エンティティ変更時の通知のサブスクライブと受信を試します。

関連コンテンツ

コードをコーディングして、この Microsoft Graph セキュリティ API サンプルに貢献してください。

• PowerShell サンプル

Microsoft Graph セキュリティ API に接続するための他のオプションを検討します。

• Logic Apps、Flow および Power Apps 用の Microsoft Graph セキュリティ コネクタ
• Jupyter ノートブックのサンプル

以下のコミュニティに参加できます。

• 技術コミュニティに参加する
• StackOverflow についてディスカッションする