고급 헌팅 API Microsoft Defender XDR

적용 대상:

• Microsoft Defender XDR

고급 헌팅은 특별히 구성된 쿼리를 사용하여 Microsoft Defender XDR 지난 30일간의 이벤트 데이터를 검사하는 위협 헌팅 도구입니다. 고급 헌팅 쿼리를 사용하여 비정상적인 활동을 검사하고, 가능한 위협을 감지하고, 공격에 대응할 수도 있습니다. 고급 헌팅 API를 사용하면 프로그래밍 방식으로 이벤트 데이터를 쿼리할 수 있습니다.

할당량 및 리소스 할당

다음 조건은 모든 쿼리와 관련이 있습니다.

1. 쿼리는 지난 30일 동안의 데이터를 탐색하고 반환합니다.
2. 결과는 최대 100,000개의 행을 반환할 수 있습니다.
3. 테넌트당 분당 최대 45개 이상의 호출을 수행할 수 있습니다. 호출 수는 크기에 따라 테넌트마다 다릅니다.
4. 각 테넌트는 테넌트 크기에 따라 CPU 리소스를 할당합니다. 테넌트가 다음 15분 주기 이후까지 할당된 리소스의 100%에 도달하면 쿼리가 차단됩니다. 과도한 사용으로 인해 차단된 쿼리를 방지하려면 CPU 할당량에 도달하지 않도록 쿼리 최적화의 지침을 따르세요.
5. 단일 요청이 3분 이상 실행되면 시간 초과되고 오류가 반환됩니다.
6. 429 HTTP 응답 코드는 전송된 요청 수 또는 할당된 실행 시간으로 할당된 CPU 리소스에 도달했음을 나타냅니다. 응답 본문을 읽고 도달한 제한을 이해합니다.

권한

고급 헌팅 API를 호출하려면 다음 권한 중 하나가 필요합니다. 사용 권한을 선택하는 방법을 포함하여 자세한 내용은 Microsoft Defender XDR 보호 API 액세스를 참조하세요.

HTTP 요청

POST https://api.security.microsoft.com/api/advancedhunting/run

요청 헤더

요청 본문

요청 본문에서 JSON 개체에 다음 매개 변수를 제공합니다.

응답

성공하면 이 메서드는 응답 본문에 및 QueryResponse 개체를 반환200 OK합니다.

응답 개체에는 다음과 같은 세 가지 최상위 속성이 포함됩니다.

1. 통계 - 쿼리 성능 통계의 사전입니다.
2. 스키마 - 응답의 스키마, 각 열에 대한 Name-Type 쌍 목록입니다.
3. 결과 - 고급 헌팅 이벤트 목록입니다.

예제

다음 예제에서 사용자는 아래 쿼리를 보내고 , Schema및 Results를 포함하는 API 응답 개체를 Stats받습니다.

쿼리

{
    "Query":"DeviceProcessEvents | where InitiatingProcessFileName =~ \"powershell.exe\" | project Timestamp, FileName, InitiatingProcessFileName | order by Timestamp desc | limit 2"
}

Response 개체

{
    "Stats": {
        "ExecutionTime": 4.621215,
        "resource_usage": {
            "cache": {
                "memory": {
                    "hits": 773461,
                    "misses": 4481,
                    "total": 777942
                },
                "disk": {
                    "hits": 994,
                    "misses": 197,
                    "total": 1191
                }
            },
            "cpu": {
                "user": "00:00:19.0468750",
                "kernel": "00:00:00.0156250",
                "total cpu": "00:00:19.0625000"
            },
            "memory": {
                "peak_per_node": 236822432
            }
        },
        "dataset_statistics": [
            {
                "table_row_count": 2,
                "table_size": 102
            }
        ]
    },
    "Schema": [
        {
            "Name": "Timestamp",
            "Type": "DateTime"
        },
        {
            "Name": "FileName",
            "Type": "String"
        },
        {
            "Name": "InitiatingProcessFileName",
            "Type": "String"
        }
    ],
    "Results": [
        {
            "Timestamp": "2020-08-30T06:38:35.7664356Z",
            "FileName": "conhost.exe",
            "InitiatingProcessFileName": "powershell.exe"
        },
        {
            "Timestamp": "2020-08-30T06:38:30.5163363Z",
            "FileName": "conhost.exe",
            "InitiatingProcessFileName": "powershell.exe"
        }
    ]
}

관련 문서

• Microsoft Graph 보안 API 사용 - Microsoft Graph | Microsoft Learn

• Microsoft Defender XDR API 액세스

• API 제한 및 라이선스에 대해 알아보기

• 오류 코드 이해

• 지능형 헌팅 개요