API безопасности Microsoft Graph дает 206 пустых значений

Я пытаюсь получить события безопасности и / или предупреждения из API безопасности Microsoft Graph. Конечная цель - получить события EOP.

Когда я отправляю запрос:

GET https://graph.microsoft.com/v1.0/security/alerts

Я получаю это:

HTTP/1.1 206 Partial Content
Cache-Control: private
Warning: 199 - "Microsoft/WDATP/401/16"
Content-Type: application/json;odata.metadata=minimal;odata.streaming=true;IEEE754Compatible=false;charset=utf-8
request-id: [REDACTED]
client-request-id: [REDACTED]
x-ms-ags-diagnostic: {"ServerInfo":{"DataCenter":"West US","Slice":"SliceC","Ring":"5","ScaleUnit":"003","Host":"AGSFE_IN_22","ADSiteName":"WUS"}}
OData-Version: 4.0
Duration: 399.4425
Strict-Transport-Security: max-age=31536000
Date: Thu, 18 Oct 2018 00:36:42 GMT
Content-Length: 90

{"@odata.context":"https://graph.microsoft.com/v1.0/$metadata#Security/alerts","value":[]}

Мне кажется, стоит отметить, что я вижу предупреждение о фишинговой кампании с 11 попытками и 1 попыткой сегодня на информационной панели отчетов Центра безопасности и соответствия требованиям Office 365 (что за глоток).

Я пытался относиться к нему как к правильному 206, но Accept-Ranges не установлен, HEAD не допускается и прохождение Range: bytes=0-10000 ничего не меняет. Я также заметил Warning: 199 - "Microsoft/WDATP/401/16" заголовок, который следует {Vendor} / {Provider} / {StatusCode} / {LatencyInMs}, но я не уверен, почему это происходит. Даже если это происходит, мне нужны журналы EOP, а не журналы ATP Защитника Windows, поэтому я надеюсь, что могу проигнорировать это.

Дополнительная информация:

  • Я настроил приложение после этого документа (за исключением того, что я предоставил SecurityEvents.Read.All как разрешение приложения).
  • Я использую запросы Python, и я только устанавливаю Authorization заголовок (за исключением случаев, когда я возился с Range заголовок). Я также попробовал это с Fiddler.
  • В моей организации есть EOP (поставляется с Exchange), но нет Office 365 ATP. Начало работы ATP было бы неплохо, но не обязательно. Получение журналов EOP / событий / оповещений / какова бы ни была моя почтовая цель.

РЕДАКТИРОВАТЬ: РЕШЕНИЕ ДЛЯ ЛОГОВ EOP Я наконец нашел конечную точку для программного получения логов EOP. У пользователя, получающего к нему доступ, не может быть MFA, и есть некоторые плохо документированные ограничения скорости, но в остальном это выглядит хорошо. Подробнее см. На этой странице. В частности, я GET эта страница для просмотра моих разрешений и GET эта страница для просмотра сообщений (не дайте себя обмануть просмотром RSS-каналов вашего браузера, там много данных).

Источник

1 ответ

Решение

Причина, по которой вы не получаете никаких предупреждений от API безопасности, заключается в том, что Office 365 сегодня не полностью интегрирован с API. Office 365 скоро появится в списке текущих поставщиков на странице API безопасности Microsoft Graph.

Из заголовка предупреждения, которое вы получили, похоже, что у вас есть подписка на WDATP, но у вас нет требуемой роли в WDATP. Чтобы получать оповещения от WDATP, пользователь должен иметь правильные роли для просмотра оповещений. Разрешения, необходимые в WDATP: View data для доступа к порталу и API для получения предупреждений, и Investigate alerts патч предупреждений в WDATP. Инструкции по добавлению необходимых ролей см. В разделе " Создание и управление ролями для управления доступом на основе ролей".

Если вы хотите получать оповещения от API безопасности, вы можете зарегистрироваться для пробной версии в Центре безопасности Azure и создать оповещение в своем клиенте.

Как сгенерировать оповещение ASC: После того, как агент Security Center установлен на вашем компьютере, выполните следующие действия с того компьютера, на котором вы хотите быть атакованным ресурсом оповещения:

  1. Скопируйте исполняемый файл (например, calc.exe) на рабочий стол компьютера или другой удобный вам каталог.
  2. Переименуйте этот файл в ASC_AlertTest_662jfi039N.exe.
  3. Откройте командную строку и выполните этот файл с аргументом (только с поддельным именем аргумента), например: ASC_AlertTest_662jfi039N.exe -foo
Источник
Другие вопросы по тегам