インベスティゲーション GraphQL API

重要

このバージョンのインベスティゲーションAPIは非推奨となりました。代わりに Investigations v2 GraphQL API をご利用ください。

注意

Taegis XDRでは、Alerts および Investigations という用語が、最近 検出 および ケース に変更されました。SophosとTaegisテクノロジーのプラットフォーム統合作業が進行中のため、引き続き旧用語が参照されている場合があります。詳細については、Taegis用語の更新をご覧ください。

Uint64

説明: Uint64 は符号なし64ビット整数を表すカスタムスカラ型です。

Query

説明: Red Cloak TDRはGraphQLクエリを使用します。クエリは読み取り（Query）または書き込み（Mutation）操作のいずれかです。GraphQLクエリは値の読み取りや取得に使用され、ミューテーションは値の書き込みや投稿に使用されます。レスポンスはJSON形式で提供されます。

フィールド

フィールド	型	説明	引数
node	Node		id: ID
investigationSummary	InvestigationSummary	インベスティゲーションのサマリーを取得（タグごとの件数を含む）
investigation	Investigation	IDでインベスティゲーションを取得	investigation_id: ID
investigations	Investigation	IDリストに基づくインベスティゲーションを取得	investigation_ids: ID
allInvestigations	Investigation	すべてのインベスティゲーションを取得 perPageの最大値は100です。100を超えるリクエストの場合、最初の100件のみ返されます。 非推奨: より良いクエリ体験のために investigationsSearch をご利用ください。	status: String, page: Int, perPage: Int, createdAfter: String, createdBefore: String, updatedAfter: String, updatedBefore: String, orderByField: OrderFieldInput, orderDirection: OrderDirectionInput, isDeleted: Boolean, hideThreatHuntingInvestigations: Boolean
investigationCountOverTime	Count	指定した期間内に作成されたインベスティゲーションの件数を取得。オプションで 'transition_status'（handoff, acknowledge, resolution）を指定可能	transition_status: String, after: Time, before: Time
meanTimeSummaryOverPeriod	TimeSummaryForGroup	指定期間中にすべてのインベスティゲーションのハンドオフ、承認、解決までの平均時間を取得	after: Time, before: Time, includeThreatHuntTypes: Boolean
investigationAssets	InvestigationAssetOutput	インベスティゲーションIDでアセットを取得	investigation_id: ID, page: Int, perPage: Int
investigationEvents	InvestigationEventOutput	インベスティゲーションIDでイベントを取得	investigation_id: ID, page: Int, perPage: Int
investigationAlerts	InvestigationAlertOutput	インベスティゲーションIDでアラートを取得 非推奨: アラート取得には investigation クエリまたは alerts2 search query（ページネーション対応）を使用してください	investigation_id: ID, page: Int, perPage: Int, filterQuery: String, orderByField: String, orderDirection: OrderDirection
investigationGenesisEvents	Event	インベスティゲーションIDでジェネシスイベントを取得	investigation_id: ID
investigationGenesisAlerts	Alert	インベスティゲーションIDでジェネシスアラートを取得	investigation_id: ID
investigationAuthCredentials	String	インベスティゲーションIDで認証情報を取得	investigation_id: ID
investigationSearchQueries	SearchQuery	インベスティゲーションIDで検索クエリを取得	investigation_id: ID
investigationsBulkEventsAlerts	InvestigationBulkResponse	イベント/アラート/ジェネシスイベント/ジェネシスアラートのフィールドに対して文字列でクエリし、インベスティゲーションを取得	queryStrings: String
investigationsBulkUpdateAlerts	String	アラートおよびアラートからのインベスティゲーション情報（例: Access Vectors）を更新
investigationStatusSummary	SummaryGroup	インベスティゲーションとステータスのサマリーを updated_at でフィルタして取得	updatedAfter: String, updatedBefore: String
investigationsSearch	InvestigationsOutput	インベスティゲーション検索。 QueryフィールドはCQL文字列（集計なし）を受け付けます。filterTextはフリーテキスト検索用です。 perPageの最大値は100です。100を超えるリクエストの場合、最初の100件のみ返されます。	page: Int, perPage: Int, query: String, filterText: String, orderByField: OrderFieldInput, orderDirection: OrderDirectionInput
investigationsAdvancedSearch	Map	CQLを用いた集計/ソート/フィルタリングが可能なインベスティゲーションの詳細検索	cql: String
investigationProcessingStatus	InvestigationProcessingResponse	IDでインベスティゲーションの処理ステータスを取得	investigation_id: ID
getFalsePositives	Map	MDR - 誤検知ウィジェット	after: Time, before: Time
investigationsCount	Int	CQLクエリに基づくインベスティゲーションの集計件数を取得	query: String
investigationsStatusCount	InvestigationStatusCountResponse	インベスティゲーションのステータス件数を集計して取得
exportInvestigationsSearch	InvestigationsExportOutput	インベスティゲーション検索の生データをエクスポート perPageの最大値は100です。100を超えるリクエストの場合、最初の100件のみ返されます。	page: Int, perPage: Int, query: String, filterText: String, orderByField: OrderFieldInput, orderDirection: OrderDirectionInput
investigationFile	InvestigationFile	インベスティゲーションファイルの詳細を取得	file_id: ID
investigationFiles	InvestigationFile	インベスティゲーションIDでファイルの詳細を取得	investigation_id: ID
downloadInvestigationFile	String	インベスティゲーションファイルをダウンロードするための署名付きURL	investigation_id: ID, file_id: ID
investigationsBySession	Investigation	マルチテナントセッションでインベスティゲーションを取得 使用しないでください。このクエリはサポートされていません。代わりに investigationsSearch をご利用ください。 perPageの最大値は100です。100を超えるリクエストの場合、最初の100件のみ返されます。	session_id: String, page: Int, perPage: Int
getHandoffInvestigations	InvestigationsOutput	指定した日付とステータスで少なくとも一度ハンドオフされたインベスティゲーションのリストを返す perPageの最大値は100です。100を超えるリクエストの場合、最初の100件のみ返されます。	page: Int, perPage: Int, createdAfter: String, createdBefore: String, includeThreatHuntTypesOnly: Boolean, excludeThreatHuntTypes: Boolean
investigationTypes	InvestigationKeyValuePair	ユーザーに基づくインベスティゲーションタイプリストを返す
investigationStatusList	InvestigationKeyValuePair	インベスティゲーションステータスの静的リストを返す
investigationPriorityList	InvestigationKeyValuePair	インベスティゲーション優先度の静的リストを返す
investigationTimeline	InvestigationTimeline	インベスティゲーションのタイムラインを返す	arguments: InvestigationTimelineArguments
investigationEntities	InvestigationEntities	IDでインベスティゲーションを取得	arguments: InvestigationEntitiesArguments

ID

説明: ID スカラ型は一意の識別子を表し、オブジェクトの再取得やキャッシュのキーとしてよく使用されます。ID型はJSONレスポンスではStringとして表示されますが、人間が読めることを意図していません。入力型として期待される場合、任意の文字列（例: "4"）や整数（例: 4）がIDとして受け入れられます。

String

説明: String スカラ型はテキストデータを表し、UTF-8文字列として表現されます。String型はGraphQLで自由形式の人間が読めるテキストを表すためによく使用されます。

Int

説明: Int スカラ型は小数点を含まない符号付き整数値を表します。Intは -(2^31) から 2^31 - 1 までの値を表現できます。

Boolean

説明: Boolean スカラ型は true または false を表します。

InvestigationTimelineArguments

フィールド

フィールド	型	説明	引数
investigationId	ID
page	Int
perPage	Int
createdAfter	String
createdBefore	String
orderBy	OrderDirectionInput
entityFilters	InvestigationTimelineEntityFilters

InvestigationEntitiesArguments

フィールド

フィールド	型	説明	引数
investigationId	ID

InvestigationEntities

フィールド

フィールド	型	説明	引数
entities	InvestigationEntity

InvestigationEntity

フィールド

フィールド	型	説明	引数
type	String
value	String
rn	RN

InvestigationTimelineEntityFilters

フィールド

フィールド	型	説明	引数
entities	InvestigationTimelineEntityType
entityTypes	String

InvestigationTimeline

フィールド

フィールド	型	説明	引数
entities	InvestigationTimelineEntity
totalEntities	Int

InvestigationTimelineEntity

フィールド

フィールド	型	説明	引数
type	String
id	String
subtype	String
document	Map
creationTimestamp	Time
investigationId	ID
tenantId	String

InvestigationTimelineEntityType

InvestigationKeyValuePair

フィールド

フィールド	型	説明	引数
key	String
value	String
description	String

InvestigationFile

フィールド

フィールド	型	説明	引数
id	ID
investigation_id	ID
tenant_id	String
created_at	Time
updated_at	Time
deleted_at	Time
name	String
path	String
size	Int
status	String
uploaded_by	String
deleted_by	String
additional_metadata	Map

InvestigationStatusCountResponse

フィールド

フィールド	型	説明	引数
open	Int
closed	Int
active	Int
awaiting_action	Int
suspended	Int
total	Int

OrderDirection

InvestigationAlertOutput

フィールド

フィールド	型	説明	引数
alerts	Alert
alerts2	Alert2
totalCount	Int

InvestigationEventOutput

フィールド

フィールド	型	説明	引数
events	Event
totalCount	Int

InvestigationAssetOutput

フィールド

フィールド	型	説明	引数
assets	Asset
totalCount	Int

InvestigationProcessingState

InvestigationProcessingResponse

フィールド

フィールド	型	説明	引数
assets	InvestigationProcessingState
events	InvestigationProcessingState
alerts	InvestigationProcessingState

InvestigationsOutput

フィールド

フィールド	型	説明	引数
investigations	Investigation
totalCount	Int

InvestigationsExportOutput

フィールド

フィールド	型	説明	引数
columnDef	String
rows	String
totalCount	Int

SummaryGroup

説明: 日付でフィルタされたステータスごとのインベスティゲーションのサマリーを表します。

フィールド

フィールド	型	説明	引数
status	String
count	Int
date	String

AccessVector

フィールド

フィールド	型	説明	引数
id	ID
investigation_id	ID
name	String
created_at	Time
updated_at	Time
mitre_info	MitreAttackInfo

Mutation

説明: GraphQLのミューテーションはデータの変更を可能にします。Red Cloak TDR Investigations GraphQL APIでは、ミューテーションによりアラートの作成やアラートへの情報入力が可能です。GraphQLミューテーションの詳細は Mutation and Input Types をご参照ください。

フィールド

フィールド	型	説明	引数
createInvestigation	Investigation	新規インベスティゲーションを作成	investigation: InvestigationInput
updateInvestigation	Investigation	インベスティゲーションを更新	investigation_id: ID, investigation: UpdateInvestigationInput
archiveInvestigation	Investigation	インベスティゲーションをアーカイブ	investigation_id: ID
bulkArchiveInvestigations	ID	インベスティゲーションを一括アーカイブ	ids: ID
unArchiveInvestigation	Investigation	インベスティゲーションのアーカイブを解除	investigation_id: ID
bulkUnArchiveInvestigations	ID	インベスティゲーションのアーカイブを一括解除	ids: ID
createActivityLogForInvestigation	ActivityLog	インベスティゲーションの新規アクティビティログを作成	investigation_id: ID, activityLog: ActivityLogInput
addAssetsToInvestigation	Investigation	インベスティゲーションにアセットを追加	investigation_id: ID, assets: String
addEventsToInvestigation	Investigation	インベスティゲーションにイベントを追加	investigation_id: ID, events: String
addAlertsToInvestigation	Investigation	インベスティゲーションにアラートを追加	investigation_id: ID, alerts: String
addGenesisEventsToInvestigation	Investigation	インベスティゲーションにジェネシスイベントを追加	investigation_id: ID, genesis_events: String
addGenesisAlertsToInvestigation	Investigation	インベスティゲーションにジェネシスアラートを追加	investigation_id: ID, genesis_alerts: String
addAuthCredentialsToInvestigation	Investigation	インベスティゲーションに認証情報を追加	investigation_id: ID, auth_credentials: String
addSearchQueriesToInvestigation	Investigation	インベスティゲーションに検索クエリを追加	investigation_id: ID, search_queries: String
addAccessVector	AccessVector	アクセスベクター	investigation_id: ID, vectorName: String, created_at: Time, updated_at: Time
removeAccessVector	AccessVector		id: ID
removeAssetsFromInvestigation	Investigation	インベスティゲーションからアセットを削除	investigation_id: ID, assets: String
removeEventsFromInvestigation	Investigation	インベスティゲーションからイベントを削除	investigation_id: ID, events: String
removeAlertsFromInvestigation	Investigation	インベスティゲーションからアラートを削除	investigation_id: ID, alerts: String
removeSearchQueriesFromInvestigation	Investigation	インベスティゲーションから検索クエリを削除	investigation_id: ID, search_queries: String
addBulkAlertsToInvestigation	Investigation	restdb検索クエリを使用してアラートを一括追加	investigation_id: ID, new_investigation: InvestigationInput, search_query: String
addBulkAlerts2ToInvestigation	Investigation	cqlクエリを使用して新規インベスティゲーションにalerts2を一括追加	new_investigation: InvestigationInput, cql: String
addBulkAlerts2ToExistingInvestigation	Investigation	cqlクエリを使用して既存インベスティゲーションにalerts2を一括追加	investigation_id: ID, cql: String
reProcessInvestigationBackgroundJob	InvestigationProcessingResponse	IDでインベスティゲーションのバックグラウンドジョブを再処理	investigation_id: ID, process_only_events: Boolean
deleteInvestigation	ID	インベスティゲーションの完全削除（開発環境のみサポート）	investigation_id: ID
acknowledgeInvestigation	ID	state_transitionsテーブルを更新し、現在の状態がhandoffの場合に承認（インベスティゲーション自体は変更しません）	investigation_id: ID
fileUpload	InvestigationFile	インベスティゲーション用ファイルをアップロード	input: FileUploadInput
deleteFile	Boolean	S3バケットからインベスティゲーションファイルを削除	investigation_id: ID, file_id: ID
initFileUpload	FileUploadResponse	ファイルアップロード用の署名付きURLを取得するための初期化	input: FileUploadRequest
updateFileStatus	InvestigationFile	インベスティゲーションファイルのステータスを更新	investigation_id: ID, file_id: ID, status: String

FileUploadResponse

フィールド

フィールド	型	説明	引数
investigationFile	InvestigationFile
presignedUrl	String

FileUploadRequest

フィールド

フィールド	型	説明	引数
investigationId	ID
name	String
size	Int
contentType	String

FileUploadInput

フィールド

フィールド	型	説明	引数
investigationId	ID
file	Upload

InvestigationSummary

説明: タグごとのインベスティゲーション件数を提供します。

フィールド

フィールド	型	説明	引数
tag	String
count	Int

Node

フィールド

フィールド	型	説明	引数
id	ID

Event

説明: Red Cloak TDRイベントモデルを解決します。

フィールド

フィールド	型	説明	引数
id	ID

Alert

説明: NautilusでRed Cloak TDRアラートモデルを解決するために使用されます。

フィールド

フィールド	型	説明	引数
id	ID

Alert2

説明: NautilusでRed Cloak TDR alertv2モデルを解決するために使用されます。

フィールド

フィールド	型	説明	引数
id	ID

Asset

説明: NautilusでRed Cloak TDRアセットモデルを解決するために使用されます。

フィールド

フィールド	型	説明	引数
id	ID

ParentCount

説明: インベスティゲーションのコメント総数および未読コメント数を表します。

フィールド

フィールド	型	説明	引数
parent_id	String
parent_type	String
total	Int
unread	Int

TDRUser

説明: NautilusでRed Cloak TDRユーザーモデルを解決するために使用されます。

フィールド

フィールド	型	説明	引数
id	ID

SearchQuery

説明: 保存された検索クエリIDを表します

フィールド

フィールド	型	説明	引数
id	ID

Investigation

説明: Red Cloak TDRインベスティゲーションを記述します。

フィールド

フィールド	型	説明	引数
id	ID
tenant_id	String
tags	String
genesis_alerts	Alert
genesis_alerts2	Alert2
genesis_events	Event
alerts	Alert
alerts2	Alert2
events	Event
assets	Asset
search_queries	SearchQuery
auth_credentials	String
key_findings	String
description	String
created_at	Time
updated_at	Time
notified_at	Time
first_notified_at	Time
first_notified_at_scwx	Time
activity_logs	ActivityLog
created_by	String
created_by_user	TDRUser	インベスティゲーションを作成したユーザーの TDRUser オブジェクトを取得します。
status	String
contributors	String
contributed_users	TDRUser	インベスティゲーションに貢献したユーザーのデータを取得します。
service_desk_id	String
service_desk_type	String
assignee_id	String
assignee_user	TDRUser	インベスティゲーションの担当ユーザーの TDRUser オブジェクトを取得します。
assignee	Assignee	assigneeは非推奨です。assignee_userをご利用ください
latest_activity	String
access_vectors	AccessVector
transition_state	TransitionState
archived_at	Time
deleted_at	Time
created_by_scwx	Boolean
created_by_partner	Boolean
draft_promoted_at	Time
investigationType	String
processing_status	InvestigationProcessingResponse
priority	Int
type	String
genesis_alerts_count	Int
genesis_events_count	Int
alerts_count	Int
events_count	Int
assets_count	Int
files_count	Int
comments_count	ParentCount
rn	RN
shortId	String	shortIdはより短く、読みやすいIDです。 連番や一意性は保証されませんが、サービスはできる限りこれを実現します
alertsEvidence	AlertEvidence
assetsEvidence	AssetEvidence
eventsEvidence	EventEvidence
closeReason	String	インベスティゲーションをクローズする際にユーザーが入力した理由。 このフィールドは「クローズ」ステータスに到達したインベスティゲーションのみで設定されます。

Tenant

フィールド

フィールド	型	説明	引数
id	ID
name	String

Assignee

説明: インベスティゲーションの担当者を記述します。

フィールド

フィールド	型	説明	引数
id	ID
name	String
roles	String
status	String
user_id	String
email	String
email_verified	Boolean
email_normalized	String
family_name	String
given_name	String
tenants	Tenant

ActivityLog

説明: インベスティゲーションのアクティビティ（作成/更新など）の詳細を保存します。
非推奨。監査ログをご利用ください

フィールド

フィールド	型	説明	引数
id	ID
created_at	Time
updated_at	Time
tenant_id	String
user_id	String
description	String
type	String
comment	String
target	String
investigation_id	ID

TransitionSummary

説明: HandedOff/Acknowledged/ResolvedInvestigationsクエリで、インベスティゲーションの最新の遷移時間と各状態での滞在時間を表します。

フィールド

フィールド	型	説明	引数
transition_time	Time
time_summary	IndividualTimeSummary

TimeSummaryForGroup

説明: MeanTimeSummaryOverPeriodクエリで、指定期間中にすべてのインベスティゲーションのハンドオフ、承認、解決までの平均時間を表します。

フィールド

フィールド	型	説明	引数
mean_time_to_handoff	Int
mean_time_to_acknowledge	Int
mean_time_to_resolution	Int
time_summaries	IndividualTimeSummary

IndividualTimeSummary

説明: インベスティゲーションがハンドオフ、承認、解決状態に遷移するまでにかかった時間を表します。

フィールド

フィールド	型	説明	引数
time_to_handoff	Int
time_to_acknowledge	Int
time_to_resolution	Int
is_closed	Boolean
investigation	Investigation

TransitionState

説明: インベスティゲーションの初期遷移（存在する場合）および現在の状態（ハンドオフ済み、承認済み、解決済み）を表します。

フィールド

フィールド	型	説明	引数
handed_off_at_least_once	Boolean
initial_handoff_time	Time
acknowledged_at_least_once	Boolean
initial_acknowledge_time	Time
resolved_at_least_once	Boolean
initial_resolution_time	Time
handed_off	Boolean
handoff_time	Time
acknowledged	Boolean
acknowledge_time	Time
resolved	Boolean
resolution_time	Time

Count

説明: 指定オブジェクトのint件数を表します。

フィールド

フィールド	型	説明	引数
count	Int

Investigations

説明: InvestigationInfo オブジェクトの配列です。

フィールド

フィールド	型	説明	引数
investigations	InvestigationInfo

InvestigationInfo

説明: インベスティゲーション情報のサブセットを記述します。

フィールド

フィールド	型	説明	引数
id	String
genesis_alerts	String
alerts	String
tenant	String

InvestigationBulkResponse

説明: 特定のクエリに対してインベスティゲーションの配列を返すために使用されます。

フィールド

フィールド	型	説明	引数
query	String
investigations	Investigation

MitreAttackInfo

説明: アラートに関連するMitreAttack情報のフィールドを記述します。

フィールド

フィールド	型	説明	引数
technique_id	String
technique	String
tactics	String
type	String
description	String
platform	String
system_requirements	String
url	String
data_sources	String
defence_bypassed	String
contributors	String
version	String

InvestigationInput

説明: 新規インベスティゲーション作成時に利用可能なフィールドを記述します。

フィールド

フィールド	型	説明	引数
tags	String
genesis_alerts	String
genesis_events	String
alerts	String
events	String
assets	String
auth_credentials	String
search_queries	String
key_findings	String
description	String
notified_at	Time
created_by	String
status	String
contributors	String
service_desk_id	String
service_desk_type	String
assignee_id	String
notes	String
priority	Int
type	String

UpdateInvestigationInput

説明: インベスティゲーション更新時に利用可能なフィールドを記述します。

フィールド

フィールド	型	説明	引数
tags	String
genesis_alerts	String
genesis_events	String
alerts	String
events	String
assets	String
auth_credentials	String
search_queries	String
key_findings	String
description	String
notified_at	Time
created_by	String
status	String
contributors	String
service_desk_id	String
service_desk_type	String
assignee_id	String
notes	String
acknowledgment	Boolean
priority	Int
type	String
comment_event	Map	内部利用のみ。

ActivityLogInput

説明: 新規アクティビティログ作成時に利用可能なフィールドを記述します。

フィールド

フィールド	型	説明	引数
description	String
type	String
comment	String
target	String

OrderFieldInput

説明: AllInvestigations クエリの並び順で利用可能な列挙型を記述します。

OrderDirectionInput

説明: AllInvestigations クエリの並び順フィールドで利用可能な順序を記述します。

AlertEvidence

フィールド

フィールド	型	説明	引数
id	ID
investigationId	ID
tenantId	String
createdAt	Time
createdBy	String
alertId	String
isGenesis	Boolean

EventEvidence

フィールド

フィールド	型	説明	引数
id	ID
investigationId	ID
tenantId	String
createdAt	Time
createdBy	String
eventId	String
isGenesis	Boolean

AssetEvidence

フィールド

フィールド	型	説明	引数
id	ID
investigationId	ID
tenantId	String
createdAt	Time
createdBy	String
assetId	String

Time

説明: このライブラリのデフォルトTime実装です。

Map

説明: このライブラリのデフォルトMap実装です。

Upload

説明: このライブラリのデフォルトUpload実装です。

RN

説明: このライブラリのデフォルトリソース名実装です。