Получение списка инцидентов

Пространство имен: microsoft.graph.security

Получите список объектов инцидентов , созданных Microsoft 365 Defender для отслеживания атак в организации.

Атаки обычно наносятся на различные типы сущностей, таких как устройства, пользователи и почтовые ящики, в результате чего возникает несколько объектов оповещений . Microsoft 365 Defender сопоставляет оповещения с теми же методами атаки или тем же злоумышленником с инцидентом.

Эта операция позволяет фильтровать и сортировать инциденты, чтобы создать информированный ответ кибербезопасности. Он предоставляет коллекцию инцидентов, которые были помечены в сети, в диапазоне времени, указанном в политике хранения среды. Самые последние инциденты отображаются в верхней части списка.

Этот API доступен в следующих национальных облачных развертываниях.

Глобальная служба Правительство США L4 Правительство США L5 (DOD) Китай управляется 21Vianet
✅ ✅ ✅ ❌

Разрешения

Выберите разрешение или разрешения, помеченные как наименее привилегированные для этого API. Используйте более привилегированное разрешение или разрешения только в том случае, если это требуется приложению. Дополнительные сведения о делегированных разрешениях и разрешениях приложений см. в разделе Типы разрешений. Дополнительные сведения об этих разрешениях см. в справочнике по разрешениям.

Тип разрешения Разрешения с наименьшими привилегиями Более высокие привилегированные разрешения
Делегированные (рабочая или учебная учетная запись) SecurityIncident.Read.All SecurityIncident.ReadWrite.All
Делегированные (личная учетная запись Майкрософт) Не поддерживается. Не поддерживается.
Приложение SecurityIncident.Read.All SecurityIncident.ReadWrite.All

Важно!

Для делегированного доступа с использованием рабочих или учебных учетных записей пользователю, выполнившего вход, необходимо назначить поддерживаемую роль Microsoft Entra или пользовательскую роль, которая предоставляет разрешения, необходимые для этой операции. Эта операция поддерживает следующие встроенные роли, которые предоставляют только минимальные необходимые привилегии:

  • Читатель сведений о безопасности
  • Глобальный читатель
  • Оператор безопасности
  • Администратор безопасности

HTTP-запрос

GET /security/incidents

Необязательные параметры запросов

Этот метод поддерживает следующие параметры запроса OData для настройки ответа: $count, , $filter$skip, $top, , . $expand

Следующие свойства поддерживают $filter : assignedTo, classification, createdDateTime, determination, lastUpdateDateTime, серьезность и состояние.

Используется @odata.nextLink для разбиения на страницы.

Ниже приведены примеры их использования:

GET /security/incidents?$count=true
GET /security/incidents?$filter={property}+eq+'{property-value}'
GET /security/incidents?$top=10

Общие сведения см. в статье Параметры запроса OData.

Заголовки запросов

Имя Описание
Авторизация Bearer {token}. Обязательно. Дополнительные сведения о проверке подлинности и авторизации.

Текст запроса

Не указывайте текст запроса для этого метода.

Отклик

В случае успешного 200 OK выполнения этот метод возвращает код отклика и коллекцию объектов инцидентов в теле отклика.

Примеры

Пример 1. Перечисление всех инцидентов

Запрос

Ниже показан пример запроса.

GET https://graph.microsoft.com/v1.0/security/incidents

Отклик

Ниже показан пример отклика.

Примечание. Объект отклика, показанный здесь, может быть сокращен для удобочитаемости.

HTTP/1.1 200 OK
Content-Type: application/json

{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#security/incidents",
    "value": [
        {
            "id": "29",
            "tenantId": "cfcdbe43-297b-4c6b-ac7e-8d7f6befb514",
            "status": "active",
            "incidentWebUrl": "https://security.microsoft.com/incident2/29/overview?tid=cfcdbe43-297b-4c6b-ac7e-8d7f6befb514",
            "redirectIncidentId": null,
            "displayName": "Multi-stage incident involving Execution & Command and control on one endpoint",
            "createdDateTime": "2026-01-22T12:09:23.1433333Z",
            "lastUpdateDateTime": "2026-02-25T16:29:33.1Z",
            "assignedTo": "admin@contoso.com",
            "classification": "truePositive",
            "determination": "multiStagedAttack",
            "severity": "high",
            "customTags": [
                "Demo"
            ],
            "systemTags": [],
            "description": "Microsoft observed Raspberry Robin worm activity spreading through infected USB devices on multiple endpoints in your environment.",
            "lastModifiedBy": "API-App:admin@contoso.com",
            "resolvingComment": null,
            "summary": "Defender Experts has identified malicious activity. This incident has been raised for your awareness and should be investigated as usual.",
            "priorityScore": 100,
            "comments": []
        }
  ]
}

Пример 2. Перечисление всех инцидентов с их оповещениями

Запрос

GET https://graph.microsoft.com/v1.0/security/incidents?$expand=alerts

Отклик

Примечание. Объект отклика, показанный здесь, может быть сокращен для удобочитаемости.

HTTP/1.1 200 OK
Content-Type: application/json

{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#security/incidents(alerts())",
    "value": [
        {
            "id": "29",
            "tenantId": "cfcdbe43-297b-4c6b-ac7e-8d7f6befb514",
            "status": "active",
            "incidentWebUrl": "https://security.microsoft.com/incident2/29/overview?tid=cfcdbe43-297b-4c6b-ac7e-8d7f6befb514",
            "redirectIncidentId": null,
            "displayName": "Multi-stage incident involving Execution & Command and control on one endpoint",
            "createdDateTime": "2026-01-22T12:09:23.1433333Z",
            "lastUpdateDateTime": "2026-02-25T16:29:33.1Z",
            "assignedTo": "admin@contoso.com",
            "classification": "truePositive",
            "determination": "multiStagedAttack",
            "severity": "high",
            "customTags": [
                "Demo"
            ],
            "systemTags": [],
            "description": "Microsoft observed Raspberry Robin worm activity spreading through infected USB devices on multiple endpoints in your environment.",
            "lastModifiedBy": "API-App:admin@contoso.com",
            "resolvingComment": null,
            "summary": "Defender Experts has identified malicious activity. This incident has been raised for your awareness and should be investigated as usual.",
            "priorityScore": 100,
            "comments": [],
            "alerts": [
                {
                    "id": "da09e47ccc-b74a-45bb-985f-8d6c077b70b6_1",
                    "providerAlertId": "09e47ccc-b74a-45bb-985f-8d6c077b70b6_1",
                    "incidentId": "29",
                    "status": "new",
                    "severity": "medium",
                    "classification": "truePositive",
                    "determination": "multiStagedAttack",
                    "serviceSource": "microsoftDefenderForEndpoint",
                    "detectionSource": "microsoftDefenderForEndpoint",
                    "productName": "Microsoft Defender for Endpoint",
                    "detectorId": "da88ec89-31c5-4864-8609-dce36e65bbc4",
                    "tenantId": "cfcdbe43-297b-4c6b-ac7e-8d7f6befb514",
                    "title": "A WMI event filter was bound to a suspicious event consumer",
                    "description": "An event consumer represents the action to take upon the firing of an event. Attackers can use the ActiveScriptEventConsumer and CommandLineEventConsumer classes when responding to their events. Both event consumers offer a tremendous amount of flexibility for an attacker to execute any payload they want all without needing to drop a single malicious executable to disk.",
                    "recommendedActions": "1. Find the propagation entry point - check which users were logged on to this machine and which other machines they were observed on to find additional compromised machines.\n2. Gather information - analyze the executed process and if possible block it from running on any machines in the organization.\n3. Analyze logs - analyze all logs from this machine to fully understand what commands were executed, their purpose and impact.",
                    "category": "Persistence",
                    "assignedTo": "admin@contoso.com",
                    "alertWebUrl": "https://security.microsoft.com/alerts/da09e47ccc-b74a-45bb-985f-8d6c077b70b6_1?tid=cfcdbe43-297b-4c6b-ac7e-8d7f6befb514",
                    "incidentWebUrl": "https://security.microsoft.com/incident2/29/overview?tid=cfcdbe43-297b-4c6b-ac7e-8d7f6befb514",
                    "actorDisplayName": null,
                    "threatDisplayName": null,
                    "threatFamilyName": null,
                    "mitreTechniques": [
                        "T1546.003"
                    ],
                    "createdDateTime": "2026-01-22T12:09:22.8566667Z",
                    "lastUpdateDateTime": "2026-02-25T16:29:33.1Z",
                    "resolvedDateTime": null,
                    "firstActivityDateTime": "2026-01-22T12:08:16.1404016Z",
                    "lastActivityDateTime": "2026-01-22T13:36:33.6406679Z",
                    "systemTags": [],
                    "alertPolicyId": null,
                    "investigationState": "unsupportedAlertType",
                    "comments": [],
                    "customDetails": {},
                    "evidence": [
                        {
                            "@odata.type": "#microsoft.graph.security.deviceEvidence",
                            "createdDateTime": "2026-01-22T12:09:22.9566667Z",
                            "verdict": "suspicious",
                            "remediationStatus": "active",
                            "remediationStatusDetails": null,
                            "roles": [],
                            "detailedRoles": [
                                "PrimaryDevice"
                            ],
                            "tags": [],
                            "firstSeenDateTime": "2025-08-18T11:09:18.5092327Z",
                            "mdeDeviceId": "335b3ef544f5d3690b6c75c776dc3e52bb3485c4",
                            "azureAdDeviceId": null,
                            "deviceDnsName": "w11pro-test",
                            "hostName": "w11pro-test",
                            "ntDomain": null,
                            "dnsDomain": null,
                            "osPlatform": "Windows11",
                            "osBuild": 26200,
                            "version": "25H2",
                            "healthStatus": "active",
                            "riskScore": "high",
                            "rbacGroupId": 125,
                            "rbacGroupName": "Clients",
                            "onboardingStatus": "onboarded",
                            "defenderAvStatus": "unknown",
                            "lastIpAddress": "172.23.38.127",
                            "lastExternalIpAddress": "93.65.246.85",
                            "ipInterfaces": [
                                "172.19.50.102",
                                "fe80::2f21:c88a:d280:d1dd",
                                "127.0.0.1",
                                "::1"
                            ],
                            "vmMetadata": null,
                            "loggedOnUsers": [],
                            "resourceAccessEvents": []
                        },
                        {
                            "@odata.type": "#microsoft.graph.security.userEvidence",
                            "createdDateTime": "2026-01-22T12:09:22.9566667Z",
                            "verdict": "suspicious",
                            "remediationStatus": "active",
                            "remediationStatusDetails": null,
                            "roles": [],
                            "detailedRoles": [],
                            "tags": [],
                            "stream": null,
                            "userAccount": {
                                "accountName": "adminlocal",
                                "domainName": "W11PRO-TEST",
                                "userSid": "S-1-5-21-2144799004-2815524614-4183675894-1001",
                                "azureAdUserId": null,
                                "userPrincipalName": null,
                                "displayName": null,
                                "activeDirectoryObjectGuid": null,
                                "resourceAccessEvents": []
                            }
                        },
                        {
                            "@odata.type": "#microsoft.graph.security.ipEvidence",
                            "createdDateTime": "2026-01-22T12:09:22.9566667Z",
                            "verdict": "suspicious",
                            "remediationStatus": "active",
                            "remediationStatusDetails": null,
                            "roles": [],
                            "detailedRoles": [],
                            "tags": [],
                            "ipAddress": "fe80::8505:87aa:de7a:4c9f",
                            "countryLetterCode": null,
                            "stream": null,
                            "location": null
                        },
                        {
                            "@odata.type": "#microsoft.graph.security.processEvidence",
                            "createdDateTime": "2026-01-22T12:09:22.9566667Z",
                            "verdict": "suspicious",
                            "remediationStatus": "active",
                            "remediationStatusDetails": null,
                            "roles": [],
                            "detailedRoles": [],
                            "tags": [],
                            "processId": 9112,
                            "parentProcessId": 5308,
                            "processCommandLine": "\"powershell.exe\" ",
                            "processCreationDateTime": "2026-01-22T12:05:36.24622Z",
                            "parentProcessCreationDateTime": "2026-01-22T12:00:07.0396146Z",
                            "detectionStatus": "detected",
                            "mdeDeviceId": "335b3ef544f5d3690b6c75c776dc3e52bb3485c4",
                            "parentProcessImageFile": null,
                            "imageFile": {
                                "sha1": "eb42621654e02faf2de940442b6deb1a77864e5b",
                                "sha256": "0ff6f2c94bc7e2833a5f7e16de1622e5dba70396f31c7d5f56381870317e8c46",
                                "md5": null,
                                "sha256Ac": null,
                                "fileName": "powershell.exe",
                                "filePath": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0",
                                "fileSize": 454656,
                                "filePublisher": "Microsoft Corporation",
                                "signer": null,
                                "issuer": null
                            },
                            "userAccount": {
                                "accountName": "adminlocal",
                                "domainName": "W11PRO-TEST",
                                "userSid": "S-1-5-21-2144799004-2815524614-4183675894-1001",
                                "azureAdUserId": null,
                                "userPrincipalName": null,
                                "displayName": null,
                                "activeDirectoryObjectGuid": null,
                                "resourceAccessEvents": []
                            }
                        },
                        {
                            "@odata.type": "#microsoft.graph.security.processEvidence",
                            "createdDateTime": "2026-01-22T13:39:13.3433333Z",
                            "verdict": "suspicious",
                            "remediationStatus": "active",
                            "remediationStatusDetails": null,
                            "roles": [],
                            "detailedRoles": [],
                            "tags": [],
                            "processId": 9420,
                            "parentProcessId": 5308,
                            "processCommandLine": "\"powershell.exe\" ",
                            "processCreationDateTime": "2026-01-22T13:36:17.8092134Z",
                            "parentProcessCreationDateTime": "2026-01-22T12:00:07.0396146Z",
                            "detectionStatus": "detected",
                            "mdeDeviceId": "335b3ef544f5d3690b6c75c776dc3e52bb3485c4",
                            "imageFile": {
                                "sha1": "eb42621654e02faf2de940442b6deb1a77864e5b",
                                "sha256": "0ff6f2c94bc7e2833a5f7e16de1622e5dba70396f31c7d5f56381870317e8c46",
                                "md5": null,
                                "sha256Ac": null,
                                "fileName": "powershell.exe",
                                "filePath": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0",
                                "fileSize": 454656,
                                "filePublisher": "Microsoft Corporation",
                                "signer": null,
                                "issuer": null
                            },
                            "parentProcessImageFile": {
                                "sha1": null,
                                "sha256": null,
                                "md5": null,
                                "sha256Ac": null,
                                "fileName": "explorer.exe",
                                "filePath": "C:\\Windows",
                                "fileSize": 3191352,
                                "filePublisher": "Microsoft Corporation",
                                "signer": null,
                                "issuer": null
                            },
                            "userAccount": {
                                "accountName": "adminlocal",
                                "domainName": "W11PRO-TEST",
                                "userSid": "S-1-5-21-2144799004-2815524614-4183675894-1001",
                                "azureAdUserId": null,
                                "userPrincipalName": null,
                                "displayName": null,
                                "activeDirectoryObjectGuid": null,
                                "resourceAccessEvents": []
                            }
                        }
                    ],
                    "additionalData": {}
                }
            ]
        }
    ]
}
  • Last updated on