以程式設計方式使用 SOC 最佳化 (預覽)

使用 Microsoft Sentinel recommendations API，以程式設計方式與 SOC 最佳化建議互動，協助您縮小針對特定威脅的涵蓋缺口，並收緊資料擷取速率。 你可以查詢所有目前工作空間的建議細節，或特定的 SOC 優化建議，或者如果你對環境做了變更，也可以重新評估該建議。

例如，使用 recommendations API 來：

• 建立自訂報告和儀表板。 例如，請參見 「視覺化自訂 SOC 優化資料」。
• 整合第三方工具，例如 SOAR 和 ITSM 服務
• 獲得自動化且即時的 SOC 優化資料存取，觸發評估並迅速回應建議

對於管理多個環境的客戶或 MSSP，API recommendations 提供了一種可擴展的方式，能跨多個工作空間處理推薦。 你也可以從 API 匯出資料並儲存到外部，以便稽核、歸檔或追蹤趨勢。

獲取、更新或重新評估推薦

請使用以下 'API 範例 recommendations來程式化地與 SOC 優化建議互動：

• 取得您工作空間中所有目前 SOC 優化建議的清單：

  GET /subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/providers/Microsoft.SecurityInsights/recommendations?api-version=2024-01-01-preview 
  

• 透過推薦ID獲得具體推薦：

  GET /subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/providers/Microsoft.SecurityInsights/recommendations/{recommendationId} 
  

  要找到推薦的 ID 值，請先取得工作區中所有推薦的清單。

• 將推薦狀態更新為 「有效」、「 進行中」、「 已完成」、「 駁回」或 「重新啟用」：

  PATCH /subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/providers/Microsoft.SecurityInsights/recommendations/{recommendationId} 
  

• 手動觸發針對特定推薦的評估：

  POST /subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/providers/Microsoft.SecurityInsights/recommendations/{recommendationId} /triggerEvaluation 
  

視覺化自訂 SOC 優化資料

Microsoft Sentinel 優化工作手冊利用 recommendations API 來視覺化 SOC 優化資料。 在你的工作區安裝並自訂工作簿，建立屬於你自己的 SOC 優化儀表板。

在 Microsoft Sentinel 優化工作簿中，選擇 SOC 優化標籤，並在細節中展開項目深入查看 SOC 優化資料。 編輯工作簿，根據組織需要修改顯示的資料。

例如：

如需詳細資訊，請參閱：

• 探索及管理 Microsoft Sentinel 的現成內容
• 透過 Microsoft Sentinel 的工作簿來視覺化並監控你的資料。

相關內容

如需詳細資訊，請參閱：

• 優化您的安全作業
• SOC 最佳化建議參考
• 取得推薦 REST API 參考
• 部落格： 介紹 SOC 優化 API | 解鎖精準驅動安全管理的力量