コンテンツにスキップ

インベスティゲーション GraphQL API🔗

注意

Taegis XDRでは、Alerts および Investigations という用語が、最近 検出 および ケース に変更されました。SophosとTaegisテクノロジーのプラットフォーム統合作業が進行中のため、引き続き旧用語が参照されている場合があります。詳細については、Taegis用語の更新をご覧ください。

ノード🔗

フィールド🔗

フィールド 型 説明 引数
id ID

ID🔗

説明: ID スカラ型は一意の識別子を表し、オブジェクトの再取得やキャッシュのキーとしてよく使用されます。ID型はJSONレスポンスでは文字列として表示されますが、人間が読めることを意図していません。入力型として期待される場合、任意の文字列（例: "4"）や整数（例: 4）の入力値がIDとして受け入れられます。

クエリ🔗

フィールド🔗

フィールド 型 説明 引数
investigationV2 InvestigationV2 investigationV2は単一のインベスティゲーションを取得します。 arguments: InvestigationV2Arguments
investigationsV2 InvestigationsV2 investigationsV2は指定された引数に一致するインベスティゲーションのリストを返します。 arguments: InvestigationsV2Arguments
investigationRule InvestigationRule investigationRuleは自動インベスティゲーションルールを取得します arguments: InvestigationRuleArguments
investigationRules InvestigationRules investigationRulesは指定された引数に一致するインベスティゲーションルールのリストを返します。 arguments: InvestigationRulesArguments
investigationTemplate InvestigationTemplate investigationTemplateは自動インベスティゲーションテンプレートを取得します arguments: InvestigationTemplateArguments
investigationTemplates InvestigationTemplates investigationTemplatesは指定された引数に一致するインベスティゲーションテンプレートのリストを返します。 arguments: InvestigationTemplatesArguments
exportInvestigationResources InvestigationResourceExport exportInvestigationResourcesは自動インベスティゲーションリソース（ルールおよびテンプレート）のYAML文字列表現を返します。
返された文字列はファイルに保存し、importInvestigationResourcesを使用してシステムに再インポートできます。		 arguments: ExportInvestigationResourcesArguments
investigationV2Timeline InvestigationV2Timeline investigationV2Timelineは、インベスティゲーションに関連するアラート、イベント、その他のアクションの順序を詳細に示すインベスティゲーションタイムラインを返します。 arguments: InvestigationV2TimelineArguments
commentsV2 CommentsV2 commentsV2はインベスティゲーションのすべてのコメントを返します arguments: CommentsV2Arguments
investigationV2Types InvestigationV2Type investigationV2Typesは、指定されたユーザーおよび現在のテナントのサービスレベルで利用可能なインベスティゲーションタイプを返します
investigationV2Statuses InvestigationV2Status investigationStatusesは、指定されたユーザーおよび現在のテナントのサービスレベルで利用可能なインベスティゲーションステータスを返します arguments: InvestigationV2StatusesArguments
investigationFileV2 InvestigationFileV2 investigationFileV2は、指定された引数に基づいてインベスティゲーションに添付された単一ファイルの詳細を返します。
結果には署名付きダウンロードURLも含まれます。		 arguments: InvestigationFileV2Arguments
investigationFilesV2 InvestigationFilesV2 investigationFilesV2は、指定された引数に一致するすべてのファイルの詳細を返します。
返される各ファイルメタデータには署名付きダウンロードURLは含まれません。		 arguments: InvestigationFilesV2Arguments
investigationsAggregation InvestigationsAggregation investigationsAggregationはインベスティゲーションのデータ集計を可能にします。
個々のインベスティゲーションやリストの取得には使用できず、集計データのみ取得可能です。
外部クライアントによる利用は推奨されず、Taegis UIからのみ呼び出すべきです。
このエンドポイントの使用は推奨されておらず、予告なく変更される場合があります。		 arguments: InvestigationsAggregationArguments

InvestigationsAggregationArguments🔗

フィールド🔗

フィールド 型 説明 引数
cql String 集計するデータのクエリ

String🔗

説明: String スカラ型はテキストデータを表し、UTF-8文字列として表現されます。String型はGraphQLで自由形式の人間が読めるテキストを表現するためによく使用されます。

InvestigationsAggregation🔗

フィールド🔗

フィールド 型 説明 引数
Aggregation Map

ミューテーション🔗

フィールド🔗

フィールド 型 説明 引数
createInvestigationV2 InvestigationV2 createInvestigationV2は、指定された引数で新しいインベスティゲーションを作成します。 input: CreateInvestigationInput
updateInvestigationV2 InvestigationV2 updateInvestigationV2は既存のインベスティゲーションを更新します。
これはPATCHスタイルのミューテーションで、入力で送信されたフィールドのみが更新されます。		 input: UpdateInvestigationV2Input
addEvidenceToInvestigation AddEvidenceToInvestigationResult addEvidenceToInvestigationは既存のインベスティゲーションに証拠を追加します。
このミューテーションで追加された証拠はgenesis evidenceとはみなされません。
レスポンスには、サービスがインベスティゲーションに追加しようとする証拠が含まれます。

インベスティゲーションへの証拠追加は非同期処理です。
通常はすぐに完了しますが、追加されたアラートやイベントは非同期ジョブが完全に完了するまで返されたインベスティゲーションに表示されない場合があります。
インベスティゲーションタイプにあるprocessing statusが処理ジョブの状態を反映します。
ステータスが'SUCCESS'になるとバックグラウンドジョブが完了し、インベスティゲーションをリクエストすると関連する証拠が返されます。

他のジョブが処理中のインベスティゲーションに証拠の追加・削除・更新（インベスティゲーションのクローズ）を行うと、ジョブがキューに入ります。
ジョブは受信順に処理されます。		 input: AddEvidenceToInvestigationInput
removeEvidenceFromInvestigation RemoveEvidenceFromInvestigationResult removeEvidenceFromInvestigationは既存のインベスティゲーションから証拠を削除します。
レスポンスには、サービスがインベスティゲーションから削除しようとする証拠が含まれます。

インベスティゲーションからの証拠削除は非同期処理です。
通常はすぐに完了しますが、削除されたアラートやイベントは非同期ジョブが完全に完了するまでインベスティゲーションに残る場合があります。
インベスティゲーションタイプにあるprocessing statusが処理ジョブの状態を反映します。
ステータスが'SUCCESS'になるとバックグラウンドジョブが完了し、リクエスト時には削除されなかった証拠のみが返されます。

他のジョブが処理中のインベスティゲーションに証拠の追加・削除・更新（インベスティゲーションのクローズ）を行うと、ジョブがキューに入ります。
ジョブは受信順に処理されます。		 input: RemoveEvidenceFromInvestigationInput
closeInvestigation InvestigationV2 closeInvestigationは既存のインベスティゲーションをクローズします。
インベスティゲーションにアラートが添付されている場合、alertsResolutionStatusフィールドが必須で、指定されたステータスに基づいてアラートが解決されます。
インベスティゲーションがクローズされると、クローズ状態の間は編集や証拠の追加はできず、アーカイブのみ可能です。
クローズされたインベスティゲーションは、クローズ後に変更が必要な場合は再オープンできます。

インベスティゲーション内の証拠解決は非同期処理です。
通常はすぐに完了しますが、アラートの解決は非同期ジョブが完全に完了するまで更新されたステータスが反映されない場合があります。
インベスティゲーションタイプにあるprocessing statusが処理ジョブの状態を反映します。
ステータスが'SUCCESS'になるとバックグラウンドジョブが完了し、アラートが更新されます。

他のジョブが処理中のインベスティゲーションに証拠の追加・削除・更新（インベスティゲーションのクローズ）を行うと、ジョブがキューに入ります。
ジョブは受信順に処理されます。		 input: CloseInvestigationInput
createInvestigationRule InvestigationRule createInvestigationRuleは新しい自動インベスティゲーションルールを作成するための入力を受け付けます。 input: CreateInvestigationRuleInput
updateInvestigationRule InvestigationRule updateInvestigationRuleは既存の自動インベスティゲーションルールを更新するための入力を受け付けます。 input: UpdateInvestigationRuleInput
deleteInvestigationRule InvestigationRule deleteInvestigationRuleは既存のインベスティゲーションルールを削除します。
これは完全削除（ハードデリート）です。データは復元できません。		 input: DeleteInvestigationRuleInput
createInvestigationTemplate InvestigationTemplate createInvestigationTemplateは新しい自動インベスティゲーションテンプレートを作成するための入力を受け付けます。 input: CreateInvestigationTemplateInput
updateInvestigationTemplate InvestigationTemplate updateInvestigationTemplateは既存の自動インベスティゲーションテンプレートを更新するための入力を受け付けます。 input: UpdateInvestigationTemplateInput
deleteInvestigationTemplate InvestigationTemplate deleteInvestigationTemplateは既存のインベスティゲーションテンプレートを削除します。
これは完全削除（ハードデリート）です。データは復元できません。		 input: DeleteInvestigationTemplateInput
importInvestigationResources InvestigationResource importInvestigationResourcesはYAMLファイルからインベスティゲーションリソース（ルールおよびテンプレート）をインポートします。
入力YAML構造は、exportInvestigationResourcesクエリからエクスポートされたYAML文字列から取得できます。		 input: ImportInvestigationResourcesInput
addCommentToInvestigation CommentV2 addCommentToInvestigationは既存のインベスティゲーションにコメントを追加します。 input: AddCommentToInvestigationInput
updateInvestigationComment CommentV2 updateInvestigationCommentはインベスティゲーションの既存コメントを更新します。
これはPATCHスタイルのミューテーションで、入力で送信されたフィールドのみが更新されます。
コメントを作成したユーザーのみが更新できます。
コメントの更新や新しい@メンションの追加は新しい通知をトリガーしますが、すでにコメントに存在する@メンションには通知は送信されません。		 input: UpdateInvestigationCommentInput
deleteInvestigationComment CommentV2 deleteInvestigationCommentはインベスティゲーションから既存のコメントを削除します。
これは完全削除（ハードデリート）です。データは復元できません。		 input: DeleteInvestigationCommentInput
archiveInvestigationV2 InvestigationV2 archiveInvestigationV2は既存のインベスティゲーションをアーカイブします。
クローズされたインベスティゲーションのみアーカイブ可能です。
クローズ状態でないままアーカイブされたインベスティゲーションが存在する場合がありますが、これは「クローズ」要件導入前にアーカイブされたレガシーインベスティゲーションです。		 input: ArchiveInvestigationInput
unarchiveInvestigationV2 InvestigationV2 unarchiveInvestigationV2はアーカイブ済みのインベスティゲーションをアーカイブ解除します。 input: UnarchiveInvestigationInput
archiveInvestigationsV2 ArchivedInvestigations archiveInvestigationsV2は既存のインベスティゲーションのセットをアーカイブします。
クローズされたインベスティゲーションのみアーカイブ可能です。
レスポンスには正常にアーカイブされたインベスティゲーションのIDが含まれ、アーカイブできなかったインベスティゲーションについてはエラーは返されません。		 input: ArchiveInvestigationsInput
unarchiveInvestigationsV2 UnarchivedInvestigations unarchiveInvestigationsV2はアーカイブ済みのインベスティゲーションのセットをアーカイブ解除します。
レスポンスには正常にアーカイブ解除されたインベスティゲーションのIDが含まれ、アーカイブ解除できなかったインベスティゲーションについてはエラーは返されません。		 input: UnarchiveInvestigationsInput
initInvestigationFileUpload InvestigationFileUpload initInvestigationFileUploadはインベスティゲーションのファイルアップロードを初期化します。
レスポンスには、インベスティゲーションにファイルをアップロードするために使用できる署名付きURLが含まれます。		 input: InitInvestigationFileUploadInput
deleteInvestigationFile InvestigationFileV2 deleteInvestigationFileはインベスティゲーションから既存のファイルを削除します。
これは完全削除（ハードデリート）です。データは復元できません。		 input: DeleteInvestigationFileInput

CreateInvestigationInput🔗

説明: CreateInvestigationInputは新しいインベスティゲーション作成時に利用可能なフィールドを記述します。

フィールド🔗

フィールド 型 説明 引数
type InvestigationType インベスティゲーションをどのタイプでオープンするか
タイプは現在のユーザーとテナントのサービスレベルで利用可能なものに制限されます。
priority Int インベスティゲーションの優先度。
1 - 低
2 - 中
3 - 高
4 - 重大
title String インベスティゲーションのタイトル。
最大256文字、それを超える部分は切り捨てられます。
tags String インベスティゲーションのラベル付けに役立つタグ
keyFindings String インベスティゲーションの詳細を説明する主な発見事項
status InvestigationStatus インベスティゲーションの状態を説明するために使用
ステータスは現在のユーザーとテナントで利用可能なものに制限されます。
クローズステータスはここでは設定できません。
assigneeId String インベスティゲーションに割り当てるユーザーのID。
割り当て先はシステム内の有効なユーザー、クライアント、または@メンションである必要があります。
alerts String インベスティゲーションに添付するアラートIDのリスト。
インベスティゲーション作成時に追加されたアラートはgenesis evidenceとみなされます。
alertsSearchQuery String インベスティゲーションにアラートを添付するために使用できるCQLクエリ。
最初の5万件のアラートのみがインベスティゲーションに添付されます。
作成時に検索クエリで追加されたアラートはgenesis evidenceとみなされます。
events String インベスティゲーションに添付するイベントIDのリスト。
インベスティゲーション作成時に追加されたイベントはgenesis evidenceとみなされます。
searchQueries String インベスティゲーションをオープンするために使用する保存済み検索。
作成時に追加された検索クエリはgenesis evidenceとみなされます。
ここで追加された検索は証拠添付のために実行されず、保存済み検索をインベスティゲーションに添付するためだけに使用されます。
serviceDeskId String インベスティゲーションにマッピングするサードパーティサービスデスクのID。
URLやその他の識別子で、インベスティゲーションをサービスデスクチケットにリンクするために使用できます。

URL形式:
サービスデスクチケットへの完全なURLを指定し、追加パラメータ"id"をURLにエンコードしてください。
例: https://company.service-now.com//nav_to.do?uri=%2Fincident.do%3Fsys_id=3454676eadfedaf8e665370cbb350b&id=INC2345
serviceDeskType String サービスデスクIDに関連付けられるサービスデスクタイプ/識別子。例: SNOW, 4me
これは自由形式のテキストで検証されません。
ruleId ID ruleIdは内部I&R専用のフィールドです。値を指定すると失敗や未定義の動作となる場合があります。
templateId ID TemplateIdは内部I&R専用のフィールドです。値を指定すると失敗や未定義の動作となる場合があります。

Int🔗

説明: Int スカラ型は小数点のない符号付き整数値を表します。Intは-(2^31)から2^31 - 1までの値を表現できます。

UpdateInvestigationV2Input🔗

説明: UpdateInvestigationV2Inputはインベスティゲーションの更新時に利用可能なフィールドを記述します。
指定しなかったオプションフィールドは更新されません。

フィールド🔗

フィールド 型 説明 引数
id ID 更新するインベスティゲーションのID
type InvestigationType インベスティゲーションを更新するタイプ。
タイプは現在のユーザーとテナントのサービスレベルで利用可能なものに制限されます。
priority Int インベスティゲーションの優先度を更新。
1 - 低
2 - 中
3 - 高
4 - 重大
title String インベスティゲーションのタイトルを更新
tags String インベスティゲーションのラベル付けに役立つタグ
タグは加算されず、指定したタグが既存のタグを置き換えます。
既存のタグを保持したい場合は、tagsフィールドに含める必要があります。
tagsフィールド自体を送信しない（null）の場合はタグは更新されません。
keyFindings String インベスティゲーションの詳細を説明する主な発見事項
status InvestigationStatus インベスティゲーションの状態を更新
ステータスは現在のユーザーとテナントで利用可能なものに制限されます。
クローズ以外のステータスのみサポートされ、クローズステータスはここでは更新できません。インベスティゲーションはcloseInvestigationミューテーションでクローズする必要があります。
ステータスをAWAITING_ACTIONに設定し、assignee idを変更すると引き継ぎがトリガーされ、新しい担当者にメールが送信されます。
assigneeId String インベスティゲーションに割り当てるユーザーのIDを更新。
割り当て先はシステム内の有効なユーザー、クライアント、または@メンションである必要があります。
assignee idを更新し、ステータスをAWAITING_ACTIONに設定すると引き継ぎがトリガーされ、新しい担当者にメールが送信されます。
serviceDeskId String インベスティゲーションにマッピングするサードパーティサービスデスクのIDを更新。
URLやその他の識別子で、インベスティゲーションをサービスデスクチケットにリンクするために使用できます。

URL形式:
サービスデスクチケットへの完全なURLを指定し、追加パラメータ"id"をURLにエンコードしてください。
例: https://company.service-now.com//nav_to.do?uri=%2Fincident.do%3Fsys_id=3454676eadfedaf8e665370cbb350b&id=INC2345
serviceDeskType String サービスデスクIDに関連付けられるサービスデスクタイプ/識別子を更新。例: SNOW, 4me
これは自由形式のテキストで検証されません。

CloseInvestigationInput🔗

説明: CloseInvestigationInputはインベスティゲーションをクローズするために必要なフィールドを記述します。

フィールド🔗

フィールド 型 説明 引数
id ID インベスティゲーションID
status InvestigationCloseStatus インベスティゲーションのクローズステータス
reason String クローズ理由の簡単な説明
alertsResolutionStatus AlertResolutionStatus インベスティゲーションをクローズする際にアラートに設定するステータス。
アラートがあるインベスティゲーションでは必須、アラートがない場合は任意。

AlertResolutionStatus🔗

説明: アラート解決ステータスの列挙型。

AddEvidenceToInvestigationInput🔗

説明: AddAlertsToInvestigationInputは既存のインベスティゲーションに証拠を追加するために必要なフィールドを記述します。

フィールド🔗

フィールド 型 説明 引数
investigationId ID 証拠を追加するインベスティゲーションID
alerts String インベスティゲーションに添付するアラートIDのリスト
alertsSearchQuery String インベスティゲーションにアラートを追加するために使用するCQLクエリ
events String インベスティゲーションに添付するイベントIDのリスト
searchQueries String インベスティゲーションに添付する保存済み検索。
作成時に追加された検索クエリはgenesis evidenceとみなされます。
ここで追加された検索は証拠添付のために実行されず、保存済み検索をインベスティゲーションに添付するためだけに使用されます。

RemoveEvidenceFromInvestigationInput🔗

説明: RemoveEvidenceFromInvestigationResultは既存のインベスティゲーションから証拠を削除するために必要なフィールドを記述します。

フィールド🔗

フィールド 型 説明 引数
investigationId ID インベスティゲーションID
alerts String インベスティゲーションから削除するアラートIDのリスト
events String インベスティゲーションから削除するイベントIDのリスト
assets String インベスティゲーションから削除する資産IDのリスト
searchQueries String インベスティゲーションから削除する検索クエリのリスト

DeleteInvestigationRuleInput🔗

説明: DeleteInvestigationRuleInputは既存のインベスティゲーションルールを削除するために利用可能なフィールドを記述します。

フィールド🔗

フィールド 型 説明 引数
id ID 更新するルールのID

ArchiveInvestigationInput🔗

説明: ArchiveInvestigationInputは既存のインベスティゲーションをアーカイブするためのフィールドを記述します。

フィールド🔗

フィールド 型 説明 引数
id ID アーカイブするインベスティゲーションのID

UnarchiveInvestigationInput🔗

説明: UnarchiveInvestigationInputは既存のインベスティゲーションのアーカイブを解除するためのフィールドを記述します。

フィールド🔗

フィールド 型 説明 引数
id ID アーカイブ解除するインベスティゲーションのID

ArchiveInvestigationsInput🔗

説明: ArchiveInvestigationsInputは既存のインベスティゲーションを一括アーカイブするためのフィールドを記述します。

フィールド🔗

フィールド 型 説明 引数
ids ID アーカイブするインベスティゲーションのID群

UnarchiveInvestigationsInput🔗

説明: UnarchiveInvestigationInputは既存のインベスティゲーションを一括アーカイブ解除するためのフィールドを記述します。

フィールド🔗

フィールド 型 説明 引数
ids ID アーカイブ解除するインベスティゲーションのID群

ArchivedInvestigations🔗

説明: ArchivedInvestigationsはアーカイブされたインベスティゲーションのセットを記述します。

フィールド🔗

フィールド 型 説明 引数
ids ID 正常にアーカイブされたインベスティゲーションのID群

UnarchivedInvestigations🔗

説明: UnarchivedInvestigationsはアーカイブ解除されたインベスティゲーションのセットを記述します。

フィールド🔗

フィールド 型 説明 引数
ids ID 正常にアーカイブ解除されたインベスティゲーションのID群

InvestigationV2🔗

説明: InvestigationV2はTaegis XDRのインベスティゲーションを記述します。

フィールド🔗

フィールド 型 説明 引数
id ID インベスティゲーションのID（一意）
shortId String shortIdは人間が読めるインベスティゲーションの識別子
Short idは順番に作成される保証はありませんが、通常は順番になります。
title String インベスティゲーションのタイトル
keyFindings String インベスティゲーションの詳細を説明する主な発見事項
alertsEvidence AlertEvidence インベスティゲーションに添付されたアラート証拠のリスト
alertsEvidenceCount Int インベスティゲーションに添付されたアラートの数
assetsEvidence AssetEvidence インベスティゲーションに添付された資産証拠のリスト
assetsEvidenceCount Int インベスティゲーションに添付された資産の数
eventsEvidence EventEvidence インベスティゲーションに添付されたイベント証拠のリスト
eventsEvidenceCount Int インベスティゲーションに添付されたイベントの数
searchQueriesEvidence SearchQueryEvidence インベスティゲーションに添付された検索クエリ証拠のリスト
searchQueriesEvidenceCount Int インベスティゲーションに添付された検索クエリの数
priority Int インベスティゲーションの優先度
type InvestigationType インベスティゲーションのタイプ
status InvestigationStatus インベスティゲーションの現在のステータス
tags String インベスティゲーションのラベル付けに役立つタグ
contributorIds String インベスティゲーションに貢献したユーザーIDのリスト
contributorSubjects Subject インベスティゲーションに貢献したサブジェクトのフェデレーテッドリスト。
これを使って貢献者のユーザー情報を取得できます。
すべての貢献者がフェデレーションで解決できる保証はありません。たとえば、フェデレーテッドサービスがダウンしている場合やサブジェクトが削除された場合など。
assigneeId String インベスティゲーションに割り当てられたユーザー、クライアント、またはグループのID
assigneeSubject Subject assigneeSubjectは、割り当て先のユーザー/クライアント情報を取得するためのフェデレーテッドフィールド。
APIがフェデレーションでフィールドをレンダリングできないと判断した場合はnilになります。
assignee idが@partnerメンションや@customerの場合は常にnilになります。
割り当て先がフェデレーションで解決できる保証はありません。たとえば、フェデレーテッドサービスがダウンしている場合やサブジェクトが削除された場合など。
tenantId String インベスティゲーションが属するテナントのID
tenant TenantV4 インベスティゲーションのテナント情報を取得するためのフェデレーテッドフィールド。
APIがフェデレーションでフィールドをレンダリングできないと判断した場合はnilになります。
テナントがフェデレーションで解決できる保証はありません。たとえば、フェデレーテッドサービスがダウンしている場合やテナントが他の環境に移動された場合など。
createdById String インベスティゲーションを作成したユーザーのID
createdBySubject Subject インベスティゲーション作成者のユーザー情報を取得するためのフェデレーテッドフィールド。
APIがフェデレーションでフィールドをレンダリングできないと判断した場合はnilになります。
作成者がフェデレーションで解決できる保証はありません。たとえば、フェデレーテッドサービスがダウンしている場合やサブジェクトが削除された場合など。
createdAt Time インベスティゲーションが作成された日時
インベスティゲーションがドラフト状態で作成され、その後昇格された場合はこのフィールドが更新されます。
updatedById String インベスティゲーションを最後に更新したユーザーのID
updatedBySubject Subject インベスティゲーションを最後に更新したユーザー情報を取得するためのフェデレーテッドフィールド。
APIがフェデレーションでフィールドをレンダリングできないと判断した場合はnilになります。
更新者がフェデレーションで解決できる保証はありません。たとえば、フェデレーテッドサービスがダウンしている場合やサブジェクトが削除された場合など。
updatedAt Time インベスティゲーションが最後に更新された日時
archivedAt Time インベスティゲーションがアーカイブされた日時
インベスティゲーションがアーカイブされている場合のみ設定されます。
アーカイブ解除された場合はnilに戻ります。
closeReason String インベスティゲーションをクローズする際にユーザーが入力した理由。
このフィールドは「クローズ」ステータスに到達したインベスティゲーションのみ設定されます。
processingStatus InvestigationProcessingStatus processingStatusはインベスティゲーションで処理可能な各証拠タイプの現在のステータスを含みます
commentsCount InvestigationCommentsCount commentsCountはインベスティゲーションのコメント数を含みます
ruleId ID ruleIdはルールによってオープンされたインベスティゲーションのルールID。ルールでオープンされた場合のみ設定されます。
serviceDeskId String serviceDeskIdはインベスティゲーションにマッピングするサードパーティサービスデスクのID。
このフィールドをパースしてURLからidパラメータを取得し、その値を表示値として使用できる必要があります。
serviceDeskType String serviceDeskTypeはサービスデスクIDに関連付けられるタイプ/識別子。例: SNOW, 4me
metrics Metric metricsはこのインベスティゲーションのために収集されたデータポイントを含みます。パートナーによってオープンされ、従来のインベスティゲーションフローに従った場合のみ設定されます。
isCreatedByPartner Boolean isCreatedByPartnerはインベスティゲーションが子テナントの親テナントによって作成されたかどうかを示します。
alerts String
assets String
events String
contributorIDs String
searchQueries String
entitiesEvidence EntityEvidence
entitiesEvidenceCount Int
assignee TDRUser
contributors TDRUser
createdBy TDRUser
updatedBy TDRUser
metric Metric

Boolean🔗

説明: Boolean スカラ型は true または false を表します。

InvestigationsV2🔗

説明: InvestigationsV2はインベスティゲーション検索のページネーション結果を定義します。

フィールド🔗

フィールド 型 説明 引数
investigations InvestigationV2 現在のページの検索条件に一致するインベスティゲーションのリスト
totalCount Int 検索条件に一致するインベスティゲーションの総数
aggregatedCounts AggregatedCounts AggregatedCountsは指定されたクエリに対するインベスティゲーション全体の集計データ（件数）を含みます（ページネーションを無視）。
このフィールドをリクエストするとAPIレスポンスが遅くなる場合があるため、必要な場合のみリクエストしてください。
データは元のリクエストで指定されたクエリに基づき集計されます。
metrics Metrics Metricsは指定されたクエリに対するインベスティゲーション全体の集計データを含みます（ページネーションを無視）
このフィールドをリクエストするとAPIレスポンスが遅くなる場合があるため、必要な場合のみリクエストしてください。
データは元のリクエストで指定されたクエリに基づき計算されます。

AggregatedCounts🔗

説明: AggregatedCountsはインベスティゲーションのさまざまなフィールドごとの集計件数データを含みます

フィールド🔗

フィールド 型 説明 引数
status InvestigationStatusCount ステータスごとのインベスティゲーション件数
type InvestigationTypeCount タイプごとのインベスティゲーション件数
priority InvestigationPriorityCount 優先度ごとのインベスティゲーション件数
tenant InvestigationTenantCount テナントごとのインベスティゲーション件数
assignee InvestigationAssigneeCount 担当者ごとのインベスティゲーション件数
creator InvestigationCreatorCount 作成者ごとのインベスティゲーション件数
archivedCount Int openCountはオープンなインベスティゲーションの件数

InvestigationStatusCount🔗

説明: InvestigationStatusCountは指定されたステータスのインベスティゲーション件数を含みます

フィールド🔗

フィールド 型 説明 引数
status InvestigationStatus
count Int

InvestigationPriorityCount🔗

説明: InvestigationPriorityCountは指定された優先度のインベスティゲーション件数を含みます

フィールド🔗

フィールド 型 説明 引数
priority Int
count Int

InvestigationTypeCount🔗

説明: InvestigationTypeCountは指定されたタイプのインベスティゲーション件数を含みます

フィールド🔗

フィールド 型 説明 引数
type InvestigationType
count Int

InvestigationTenantCount🔗

説明: InvestigationTenantCountは指定されたテナントのインベスティゲーション件数を含みます

フィールド🔗

フィールド 型 説明 引数
tenantId String
count Int
tenant TenantV4 集計のためのテナント情報を取得するためのフェデレーテッドフィールド。
APIがフェデレーションでフィールドをレンダリングできないと判断した場合はnilになります。
テナントがフェデレーションで解決できる保証はありません。たとえば、フェデレーテッドサービスがダウンしている場合やテナントが他の環境に移動された場合など。

InvestigationCreatorCount🔗

説明: InvestigationCreatorCountは指定された担当者のインベスティゲーション件数を含みます

フィールド🔗

フィールド 型 説明 引数
creatorId String
subject Subject
count Int

InvestigationAssigneeCount🔗

説明: InvestigationAssigneeCoundは指定された作成者のインベスティゲーション件数を含みます

フィールド🔗

フィールド 型 説明 引数
assigneeId String
subject Subject
count Int

Metric🔗

説明: Metricは個々のインベスティゲーションのメトリクスを記述します。

フィールド🔗

フィールド 型 説明 引数
draftCreatedAt Time インベスティゲーションがドラフト状態で最初に作成された日時。
設定されていない場合はドラフト状態になったことがありません。
draftPromotedAt Time インベスティゲーションがドラフトから他の状態に昇格した日時。
timeToDraftPromotion Int インベスティゲーションがオープンされてからドラフトが昇格されるまでの秒数。
draftPromotedBy String インベスティゲーションを昇格させたユーザーまたはクライアントのID。
handedOffAt Time パートナーがインベスティゲーションをお客様に通知した日時。
Secureworks/パートナーユーザーまたはクライアントが、assigneeをお客様にしてインベスティゲーションをアクション待ちに設定した場合のみ設定されます。
timeToHandOff Int インベスティゲーションがオープンされてから引き継ぎが行われるまでの秒数。
インベスティゲーションがドラフトだった場合は、ドラフト昇格から引き継ぎまでの秒数。
Secureworks/パートナーユーザーまたはクライアントが、assigneeをお客様にしてインベスティゲーションをアクション待ちに設定した場合のみ設定されます。
handedOffBy String インベスティゲーションを引き継いだユーザーまたはクライアントのID。
Secureworks/パートナーユーザーまたはクライアントが、assigneeをお客様にしてインベスティゲーションをアクション待ちに設定した場合のみ設定されます。
acknowledgedAt Time 引き継ぎ後にお客様（人間）がインベスティゲーションを最初に取得した日時。
引き継ぎがあった場合のみ設定されます。
timeToAcknowledgement Int インベスティゲーションが引き継がれてから人間によって確認されるまでの秒数。
引き継ぎがあった場合のみ設定されます。
acknowledgedBy String インベスティゲーションを確認したユーザー（人間）のID。
引き継ぎがあった場合のみ設定されます。
resolvedAt Time 引き継ぎ後にインベスティゲーションがクローズされた日時。
引き継ぎがあり、お客様ユーザー/クライアントによってクローズされた場合のみ設定されます。
timeToResolution Int インベスティゲーションが引き継がれてからクローズされるまでの秒数。
引き継ぎがあり、お客様ユーザー/クライアントによってクローズされた場合のみ設定されます。
resolvedBy String インベスティゲーションを解決したユーザーまたはクライアントのID。
引き継ぎがあり、お客様ユーザー/クライアントによってクローズされた場合のみ設定されます。

Metrics🔗

説明: Metricsはインベスティゲーションの集合に対する集計メトリクスを記述します。

フィールド🔗

フィールド 型 説明 引数
meanTimeToHandoff Int 引き継ぎまでの平均時間（秒）
meanTimeToAcknowledgement Int 確認までの平均時間（秒）
meanTimeToResolution Int 解決までの平均時間（秒）
meanTimeToDraftPromotion Int ドラフト昇格までの平均時間（秒）

AddEvidenceToInvestigationResult🔗

説明: AddAlertsToInvestigationInputは既存のインベスティゲーションにアラートを追加するために必要なフィールドを記述します。

フィールド🔗

フィールド 型 説明 引数
investigationId ID 証拠を追加するインベスティゲーションのID
alerts String インベスティゲーションに添付するアラートIDのリスト
alertsSearchQuery String インベスティゲーションにアラートを追加するために使用するCQLクエリ
events String インベスティゲーションに添付するイベントIDのリスト
searchQueries String インベスティゲーションに添付する保存済み検索。
ここで追加された検索は証拠添付のために実行されず、保存済み検索をインベスティゲーションに添付するためだけに使用されます。

RemoveEvidenceFromInvestigationResult🔗

説明: RemoveEvidenceFromInvestigationResultは既存のインベスティゲーションから証拠を削除するために必要なフィールドを記述します。

フィールド🔗

フィールド 型 説明 引数
investigationId ID 証拠を削除するインベスティゲーションのID
alerts String インベスティゲーションから削除するアラートIDのリスト
events String インベスティゲーションから削除するイベントIDのリスト
assets String インベスティゲーションから削除する資産IDのリスト
searchQueries String インベスティゲーションから削除する検索クエリのリスト

InvestigationTemplate🔗

説明: InvestigationTemplateはインベスティゲーションを作成するために使用される事前定義済み属性セットを含みます。

テンプレートは新しいインベスティゲーションの作成や既存インベスティゲーションへの適用に使用できます。

フィールド🔗

フィールド 型 説明 引数
id ID インベスティゲーションテンプレートのID（一意）
createdById String インベスティゲーションテンプレートを作成したユーザーのID
createdBySubject Subject createdBySubjectはテンプレート作成者のユーザー情報を取得するためのフェデレーテッドフィールド
APIがフェデレーションでフィールドをレンダリングできないと判断した場合はnilになります。
作成者がフェデレーションで解決できる保証はありません。たとえば、フェデレーテッドサービスがダウンしている場合やサブジェクトが削除された場合など。
createdAt Time インベスティゲーションテンプレートが作成された日時
updatedById String インベスティゲーションテンプレートを最後に更新したユーザーのID
updatedBySubject Subject updatedBySubjectはテンプレートを最後に更新したユーザー情報を取得するためのフェデレーテッドフィールド
APIがフェデレーションでフィールドをレンダリングできないと判断した場合はnilになります。
更新者がフェデレーションで解決できる保証はありません。たとえば、フェデレーテッドサービスがダウンしている場合やサブジェクトが削除された場合など。
updatedAt Time インベスティゲーションテンプレートが最後に更新された日時
tenantId String インベスティゲーションテンプレートが属するテナントのID
name String テンプレート名
title String テンプレートのタイトル - テンプレートを視覚的に表示する際、このフィールドが設定されていればnameではなくこのフィールドを使用してください
description String テンプレートの説明
tags String テンプレートのラベル付けに役立つタグ
investigationType String インベスティゲーションをどのタイプでオープンするか
investigationPriority String インベスティゲーションの優先度
investigationTitle String インベスティゲーションのタイトル
investigationTags String インベスティゲーションのラベル付けに役立つタグ
investigationKeyFindings String keyFindingsはインベスティゲーションの詳細を説明するために使用できるcelテンプレート
investigationKeyFindingsPrompts String keyFindingsPromptsはOpenAIの応答に基づいてインベスティゲーションの詳細を説明するために使用できるcelテンプレートのセット
investigationAssignee String インベスティゲーションに割り当てるユーザー
investigationAssigneeSubject Subject investigationAssigneeSubjectはテンプレートの割り当て先ユーザー情報を取得するためのフェデレーテッドフィールド
APIがフェデレーションでフィールドをレンダリングできないと判断した場合はnilになります。
割り当て先がフェデレーションで解決できる保証はありません。たとえば、フェデレーテッドサービスがダウンしている場合やサブジェクトが削除された場合など。
investigationStatus String インベスティゲーションの初期ステータス
createdBy TDRUser
updatedBy TDRUser
investigationAssigneeUser TDRUser

InvestigationTemplates🔗

説明: InvestigationTemplatesはインベスティゲーションテンプレート検索のページネーション結果を定義します。

フィールド🔗

フィールド 型 説明 引数
templates InvestigationTemplate 現在のページの検索条件に一致するテンプレートのリスト
totalCount Int 検索条件に一致するテンプレートの総数

CreateInvestigationTemplateInput🔗

説明: CreateInvestigationTemplateInputは新しいインベスティゲーションテンプレート作成時に使用するフィールドを記述します。

フィールド🔗

フィールド 型 説明 引数
name String 作成するテンプレート名。
英字、数字、アンダースコアのみ使用可能。
一度設定すると変更できません。
title String ルールのタイトル - 後で変更可能。
description String テンプレートの説明
tags String テンプレートのラベル付けに役立つタグ
investigationType String インベスティゲーションをどのタイプでオープンするか
CELによるテンプレート化をサポートするため、型enumではなくString型を使用。最終的な値は有効なInvestigationTypeである必要があります。
investigationPriority String インベスティゲーションの優先度
CELによるテンプレート化をサポートするため、int型ではなくString型を使用。最終的な値は有効な（1-4）Intである必要があります。
investigationTitle String インベスティゲーションのタイトル
investigationTags String インベスティゲーションのラベル付けに役立つタグ
investigationKeyFindings String investigationKeyFindingsはインベスティゲーションの詳細を説明するために使用できるCELテンプレート
investigationKeyFindingsPrompts String investigationKeyFindingsPromptsはOpenAIの応答に基づいてインベスティゲーションの詳細を説明するために使用できるCELテンプレートのセット
investigationAssignee String インベスティゲーションに割り当てるユーザー
investigationStatus String インベスティゲーションの初期ステータス。
CELによるテンプレート化をサポートするため、status enumではなくString型を使用。最終的な値は有効なInvestigationStatusである必要があります。

UpdateInvestigationTemplateInput🔗

説明: UpdateInvestigationTemplateInputは既存のインベスティゲーションテンプレートを更新するために使用するフィールドを記述します。

フィールド🔗

フィールド 型 説明 引数
id ID 更新するテンプレートのID
title String テンプレートのタイトルを更新
description String テンプレートの説明を更新
tags String テンプレートのラベル付けに役立つタグ。
タグは加算されず、指定したタグが既存のタグを置き換えます。
既存のタグを保持したい場合は、tagsフィールドに含める必要があります。
tagsフィールド自体を送信しない（null）の場合はタグは更新されません。
investigationType String インベスティゲーションをどのタイプでオープンするか
CELによるテンプレート化をサポートするため、型enumではなくString型を使用。最終的な値は有効なInvestigationTypeである必要があります。
investigationPriority String インベスティゲーションの優先度
CELによるテンプレート化をサポートするため、int型ではなくString型を使用。最終的な値は有効な（1-4）Intである必要があります。
investigationTitle String インベスティゲーションのタイトル
investigationTags String インベスティゲーションのラベル付けに役立つタグ
investigationKeyFindings String investigationKeyFindingsはインベスティゲーションの詳細を説明するために使用できるCELテンプレート
investigationKeyFindingsPrompts String investigationKeyFindingsPromptsはOpenAIの応答に基づいてインベスティゲーションの詳細を説明するために使用できるCELテンプレートのセット
investigationAssignee String インベスティゲーションに割り当てるユーザー
investigationStatus String インベスティゲーションの初期ステータス。
CELによるテンプレート化をサポートするため、status enumではなくString型を使用。最終的な値は有効なInvestigationStatusである必要があります。

DeleteInvestigationTemplateInput🔗

説明: DeleteInvestigationTemplateInputは既存のインベスティゲーションテンプレートを削除するために利用可能なフィールドを定義します。

フィールド🔗

フィールド 型 説明 引数
id ID 削除するテンプレートのID

InvestigationV2Arguments🔗

説明: InvestigationV2Argumentsはインベスティゲーションを検索するためのパラメータを記述します。

フィールド🔗

フィールド 型 説明 引数
id ID

InvestigationsV2Arguments🔗

説明: InvestigationsV2Argumentsはインベスティゲーション検索のためのパラメータを記述します。

フィールド🔗

フィールド 型 説明 引数
cql String インベスティゲーションを検索するためのcql文字列
page Int 返す結果のページ - ページは1から開始
perPage Int 1ページあたりの結果数 - 最大100
tenantServiceFilters String 検索するテナントサービスラベル
orderBy PaginationOrder
searchChildrenTenants Boolean

InvestigationTemplateArguments🔗

説明: InvestigationTemplateArgumentsはインベスティゲーションテンプレートを検索するためのパラメータを記述します。
idとnameはどちらもテンプレートの一意識別子です。
いずれか一方は必ず設定する必要があり、両方設定した場合は両方が一致するテンプレートのみが対象となります。

フィールド🔗

フィールド 型 説明 引数
id ID
name String

InvestigationTemplatesArguments🔗

説明: InvestigationTemplatesArgumentsはインベスティゲーションテンプレート検索のためのパラメータを記述します。

フィールド🔗

フィールド 型 説明 引数
cql String テンプレートを検索するためのcql文字列
page Int 返す結果のページ - ページは1から開始
perPage Int 1ページあたりの結果数 - 最大100
name String
tags String

ExportInvestigationResourcesArguments🔗

説明: ExportInvestigationResourcesResultはインベスティゲーションリソース（ルール/テンプレート）をエクスポートするために必要なフィールドを記述します。

フィールド🔗

フィールド 型 説明 引数
arguments ExportInvestigationResourcesArgument

ExportInvestigationResourcesArgument🔗

説明: ExportInvestigationResourcesArgumentはインベスティゲーションリソース（ルール/テンプレート）を検索・エクスポートするためのパラメータを記述します。
idとnameはどちらもテンプレートの一意識別子です。
いずれか一方は必ず設定する必要があり、両方設定した場合は両方が一致するテンプレートのみが対象となります。

フィールド🔗

フィールド 型 説明 引数
id ID
name String
type InvestigationResourceType エクスポートするリソースのタイプ

InvestigationRule🔗

説明: InvestigationRuleは自動インベスティゲーションルールの設定を含みます。

フィールド🔗

フィールド 型 説明 引数
id ID ルールのID（一意）
createdById String ルールを作成したユーザーのID
createdBySubject Subject createdBySubjectはルール作成者のユーザー情報を取得するためのフェデレーテッドフィールド
APIがフェデレーションでフィールドをレンダリングできないと判断した場合はnilになります。
作成者がフェデレーションで解決できる保証はありません。たとえば、フェデレーテッドサービスがダウンしている場合やサブジェクトが削除された場合など。
createdAt Time ルールが作成された日時
updatedById String ルールを最後に更新したユーザーのID
updatedBySubject Subject updatedBySubjectはルールを最後に更新したユーザー情報を取得するためのフェデレーテッドフィールド
APIがフェデレーションでフィールドをレンダリングできないと判断した場合はnilになります。
更新者がフェデレーションで解決できる保証はありません。たとえば、フェデレーテッドサービスがダウンしている場合やサブジェクトが削除された場合など。
updatedAt Time ルールが最後に更新された日時
tenantId String ルールが属するテナントのID
name String ルール名
title String ルールのタイトル - ルールを視覚的に表示する際、このフィールドが設定されていればnameではなくこのフィールドを使用してください
description String ルールの説明
tags String ルールのラベル付けに役立つタグ
type InvestigationRuleType ルールのタイプを示し、アラートの評価方法を決定します
order Int ルールの評価順序を定義します。
数値が小さいほど早く評価されます。
ルールのフィルターがアラートに一致し適用された時点で、他のルールの適用は停止します。
state InvestigationRuleState ルールの処理動作を定義します
filter String QL式で表現されたアラートフィルター
appendFilter String 追加時と作成時で異なるアラート制約（例: より広い）を定義できるオプションのフィルター
appendComment String 既存の非ドラフトインベスティゲーションにアラートが追加された際に展開されるオプションのコメント
groupBy String 追加の一致アラートを既存のインベスティゲーションに追加するためのオプショナルなgroup by句
groupCount Int group by句の一致数を指定するオプション
groupDuration String 一致するインベスティゲーションがクローズされた後もアラートのグルーピングを継続する期間（<int>[d|h|m|s]形式の文字列）を指定
groupExtendOnAppend Boolean 新たに追加されたアラートがグループ化に使用するエンティティ/属性セットを拡張するかどうかを示すオプションフラグ。デフォルトはfalse
searchQueries String 新規作成されたインベスティゲーションに追加のアラートやイベントを投入するためのオプションの検索クエリ
searchWindow String genesisアラートからの期間を指定するオプションの検索ウィンドウ
tenantFilter String 有効なサービスやルール定義と同じテナントなどの属性でテナントをフィルタリングするための設定
skipAlertPrioritization Boolean アラート評価時にアラートの優先度がダウングレードされているかどうかのチェックをスキップする設定
template InvestigationTemplate インベスティゲーション内容を定義するテンプレート
comment String
excludeChildTenants Boolean
createdBy TDRUser
updatedBy TDRUser

CreateInvestigationRuleInput🔗

説明: CreateInvestigationRuleInputは新しいインベスティゲーションルール作成時に使用するフィールドを記述します。

フィールド🔗

フィールド 型 説明 引数
name String 作成するルール名。
英字、数字、アンダースコアのみ使用可能。
一度設定すると変更できません。
title String ルールのタイトル - 後で変更可能。
description String ルールの説明
tags String ルールのラベル付けに役立つタグ
type InvestigationRuleType ルールのタイプを示し、アラートの評価方法を決定します
order Int ルールの評価順序を定義します。
重複するorder値は許可されません。重複するorderでルールを追加すると、希望の位置に挿入され、それ以降のルールのorderが1つずつ繰り上がります。
state InvestigationRuleState ルールの処理動作を定義します
filter String filterはアラートをルールに一致させるためのql/cel式
appendFilter String appendFilterは追加時と作成時で異なるアラート制約（例: より広い）を定義できるオプションのフィルター
appendComment String appendCommentは既存の非ドラフトインベスティゲーションにアラートが追加された際に展開されるオプションのコメント
groupBy String groupBy句で追加の一致アラートを既存のオープンインベスティゲーションに追加
groupCount Int groupBy句の一致数を指定するオプション
groupDuration String groupDurationは一致するインベスティゲーションがクローズされた後もアラートのグルーピングを継続する期間（<int>[h|m|s]形式の文字列）を指定
groupExtendOnAppend Boolean groupExtendOnAppendは新たに追加されたアラートがグループ化に使用するエンティティ/属性セットを拡張するかどうかを示すオプションフラグ。デフォルトはfalse
searchQueries String searchQueriesは新規作成されたインベスティゲーションに追加のアラートやイベントを投入するためのオプションのcql式リスト
searchWindow String searchWindowはgenesisアラートからの期間を指定するオプション
tenantFilter String tenantFilterは有効なサービスやルール定義と同じテナントなどの属性でテナントをフィルタリングするために使用できます
skipAlertPrioritization Boolean skipAlertPrioritizationはアラート評価時にアラートの優先度がダウングレードされているかどうかのチェックをスキップするために使用できます
templateId ID templateIdは新しいインベスティゲーションをオープンする際にルールが使用するテンプレートのID
responseData JSONObject ResponseDataはプレイブック用のルール固有のコンテキスト/設定を提供します。

UpdateInvestigationRuleInput🔗

説明: UpdateInvestigationRuleInputは既存のインベスティゲーションルールを更新するために利用可能なフィールドを記述します。

フィールド🔗

フィールド 型 説明 引数
id ID 更新するルールのID
title String ルールのタイトル（変更してもルールの視覚的表現のみに影響します）。
description String ルールの説明
tags String ルールのラベル付けに役立つタグ。
タグは加算されず、指定したタグが既存のタグを置き換えます。
既存のタグを保持したい場合は、tagsフィールドに含める必要があります。
tagsフィールド自体を送信しない（null）の場合はタグは更新されません。
order Int ルールの評価順序を定義します。
重複するorder値は許可されません。重複するorderでルールを追加すると、希望の位置に挿入され、それ以降のルールのorderが1つずつ繰り上がります。
state InvestigationRuleState ルールの処理動作を定義します
filter String filterはアラートをルールに一致させるためのql/cel式
appendFilter String appendFilterは追加時と作成時で異なるアラート制約（例: より広い）を定義できるオプションのフィルター
appendComment String appendCommentは既存の非ドラフトインベスティゲーションにアラートが追加された際に展開されるオプションのコメント
groupBy String groupBy句で追加の一致アラートを既存のオープンインベスティゲーションに追加
groupCount Int groupBy句の一致数を指定するオプション
groupDuration String groupDurationは一致するインベスティゲーションがクローズされた後もアラートのグルーピングを継続する期間（<int>[h|m|s]形式の文字列）を指定
groupExtendOnAppend Boolean groupExtendOnAppendは新たに追加されたアラートがグループ化に使用するエンティティ/属性セットを拡張するかどうかを示すオプションフラグ。デフォルトはfalse
searchQueries String searchQueriesは新規作成されたインベスティゲーションに追加のアラートやイベントを投入するためのオプションのcql式リスト
searchWindow String searchWindowはgenesisアラートからの期間を指定するオプション
tenantFilter String tenantFilterは有効なサービスやルール定義と同じテナントなどの属性でテナントをフィルタリングするために使用できます
skipAlertPrioritization Boolean skipAlertPrioritizationはアラート評価時にアラートの優先度がダウングレードされているかどうかのチェックをスキップするために使用できます
templateId ID templateIdは新しいインベスティゲーションをオープンする際にルールが使用するテンプレートのID
responseData JSONObject ResponseDataはプレイブック用のルール固有のコンテキスト/設定を提供します。

InvestigationRules🔗

説明: InvestigationRulesはインベスティゲーションルール検索のページネーション結果を定義します。

フィールド🔗

フィールド 型 説明 引数
rules InvestigationRule
totalCount Int

InvestigationRuleArguments🔗

説明: InvestigationRuleArgumentsはインベスティゲーションルールを検索するためのパラメータを記述します。
idとnameはどちらもルールの一意識別子です。
いずれか一方は必ず設定する必要があり、両方設定した場合は両方が一致するルールのみが対象となります。

フィールド🔗

フィールド 型 説明 引数
id ID
name String

InvestigationRulesArguments🔗

説明: InvestigationRulesArgumentsはインベスティゲーションルール検索のためのパラメータを記述します。

フィールド🔗

フィールド 型 説明 引数
cql String テンプレートを検索するためのcql文字列
page Int 返す結果のページ - ページは1から開始
perPage Int 1ページあたりの結果数 - 最大100
name String
tags String

InvestigationRuleState🔗

InvestigationStatus🔗

説明: InvestigationStatusesはインベスティゲーションの可能なステータスを定義します。

InvestigationCloseStatus🔗

説明: InvestigationCloseStatusはインベスティゲーションをクローズする際の可能なステータスを定義します。

InvestigationV2StatusesArguments🔗

フィールド🔗

フィールド 型 説明 引数
currentStatus InvestigationStatus currentStatusはインベスティゲーションの現在のステータス。
設定されている場合、結果は現在のステータスから遷移可能なステータスのみを含みます。
主にドラフト関連のステータスで使用されます。

InvestigationType🔗

説明: InvestigationTypeはインベスティゲーションの可能なタイプを定義します。

InvestigationProcessingState🔗

説明: InvestigationProcessingStateはインベスティゲーション証拠の処理状態の可能な値を定義します。

ExportInvestigationResourceInput🔗

説明: ExportInvestigationResourceInputはインベスティゲーションリソースをエクスポートするために必要なフィールドを記述します。

フィールド🔗

フィールド 型 説明 引数
id ID

ImportInvestigationResourcesInput🔗

説明: ImportInvestigationResourcesInputはインベスティゲーションリソースをインポートするために必要なフィールドを記述します。

フィールド🔗

フィールド 型 説明 引数
file Upload アップロードするファイル

InvestigationResourceExport🔗

説明: InvestigationResourceExportはインベスティゲーションリソースをエクスポートするために必要なフィールドを記述します。

フィールド🔗

フィールド 型 説明 引数
export String エクスポートドキュメント

InvestigationResource🔗

説明: InvestigationResourceユニオンはインベスティゲーションリソースを実装するすべての型を定義します。

InvestigationResourceType🔗

説明: InvestigationResourceTypeはインベスティゲーションリソースの可能なタイプを定義します。

InvestigationProcessingStatus🔗

説明: InvestigationProcessingStatusは処理状態を持つ可能性のある証拠タイプおよび現在の処理状態を定義します。

フィールド🔗

フィールド 型 説明 引数
assets InvestigationProcessingState
events InvestigationProcessingState
alerts InvestigationProcessingState

PaginationOrder🔗

説明: PaginationOrderは結果を昇順または降順で並べ替えるために使用できるenumを定義します

InvestigationV2TimelineEntityType🔗

説明: InvestigationV2TimelineEntityTypeはインベスティゲーションタイムラインエンティティの可能なタイプを定義します。

InvestigationRuleType🔗

説明: InvestigationRuleTypeはインベスティゲーションの可能なタイプを定義します。
タイプはアラートの評価方法を決定するために使用されます。

InvestigationV2TimelineArguments🔗

説明: InvestigationV2TimelineArgumentsはインベスティゲーションタイムラインを取得するためのパラメータを記述します。

フィールド🔗

フィールド 型 説明 引数
investigationId ID タイムラインを取得するインベスティゲーションのID
createdAfter String 指定したタイムスタンプ以降に作成されたタイムラインエントリのみをフィルタリング
createdBefore String 指定したタイムスタンプ以前に作成されたタイムラインエントリのみをフィルタリング
orderBy PaginationOrder タイムラインエントリの並び順
entityTypes InvestigationV2TimelineEntityType 指定したタイプのタイムラインエントリのみをフィルタリングするエンティティタイプのリスト
page Int 返す結果のページ - ページは1から開始
perPage Int 1ページあたりの結果数 - 最大1000

InvestigationV2Timeline🔗

説明: InvestigationV2Timelineはインベスティゲーションタイムラインリクエストのページネーション結果を定義します。

フィールド🔗

フィールド 型 説明 引数
entities InvestigationV2TimelineEntity 現在のページの検索条件に一致するタイムラインエントリのリスト
totalEntities Int 検索条件に一致するタイムラインエントリの総数

InvestigationV2TimelineEntity🔗

説明: InvestigationV2TimelineEntityはインベスティゲーションの単一タイムラインエントリのフィールドを定義します。

フィールド🔗

フィールド 型 説明 引数
id ID タイムラインエントリのID（一意）
investigationId ID タイムラインエントリが関連付けられているインベスティゲーションのID
type String タイムラインエントリのタイプ - Event Alert
tenantId String タイムラインが関連するインベスティゲーションのテナントID
createdAt Time タイムラインエントリが作成された日時
resourceId String 監査タイムラインエンティティに関連するリソースのID
resourceCreatedAt Time リソースが作成された日時
description String タイムラインエントリの簡単な説明
descriptor String エントリの特徴を強調する1～2語の短い説明
監査タイプにはdescriptorはありません
subjectId String 監査タイムラインエンティティに関連するユーザーのID
subject Subject 監査タイムラインエンティティに関連するユーザー情報を取得するためのフェデレーテッドフィールド
APIがフェデレーションでフィールドをレンダリングできないと判断した場合はnilになります。
ユーザーがフェデレーションで解決できる保証はありません。たとえば、フェデレーテッドサービスがダウンしている場合やサブジェクトが削除された場合など。
isPartnerOnly Boolean タイムラインエントリがパートナーユーザーのみに表示されるかどうかを示します
user TDRUser
entityId String
timestamp Time
userId ID
userSubject Subject

AddCommentToInvestigationInput🔗

説明: AddCommentToInvestigationInputはインベスティゲーションにコメントを追加するために必要なフィールドを記述します。

フィールド🔗

フィールド 型 説明 引数
investigationId String コメントを追加するインベスティゲーションのID
comment String インベスティゲーションに追加するコメントのテキスト。
@メンションを含めてコメント通知を行うことができます。
isInternal Boolean isInternalはコメントを内部コメントとしてパートナーユーザーのみに表示するかどうかを示します
内部コメントはパートナーユーザーのみ作成可能です。

UpdateInvestigationCommentInput🔗

説明: UpdateInvestigationCommentInputはインベスティゲーション内のコメントを更新するために必要なフィールドを記述します。

フィールド🔗

フィールド 型 説明 引数
commentId String 更新するコメントのID
comment String 更新するコメントのテキスト
markAsRead Boolean 現在のユーザーに対してコメントを既読にします

CommentV2🔗

説明: CommentV2はインベスティゲーション内のコメントのフィールドを記述します。

フィールド🔗

フィールド 型 説明 引数
id ID コメントのID（一意）
authorId String コメントを作成したユーザーのID
authorSubject Subject authorSubjectはコメント作成者のユーザー情報を取得するためのフェデレーテッドフィールド
APIがフェデレーションでフィールドをレンダリングできないと判断した場合はnilになります。
作成者がフェデレーションで解決できる保証はありません。たとえば、フェデレーテッドサービスがダウンしている場合やサブジェクトが削除された場合など。
createdAt Time コメントが作成された日時
updatedAt Time コメントが最後に更新された日時
comment String コメントのテキスト
investigationId ID コメントが関連付けられているインベスティゲーションのID
tenantId String コメントが関連するインベスティゲーションのテナントID
mentionsIds String コメント内でメンションされたユーザーIDおよびグループメンションのリスト
mentionsSubjects Subject コメント内でメンションされたサブジェクトのリスト
APIがフェデレーションでフィールドをレンダリングできないと判断した場合はnilになります。
メンションがフェデレーションで解決できる保証はありません。たとえば、フェデレーテッドサービスがダウンしている場合やサブジェクトが削除された場合など。
readByIds String コメントを既読にしたユーザーIDのリスト
readBySubjects Subject コメントを既読にしたサブジェクトのリスト
APIがフェデレーションでフィールドをレンダリングできないと判断した場合はnilになります。
既読ユーザーがフェデレーションで解決できる保証はありません。たとえば、フェデレーテッドサービスがダウンしている場合やサブジェクトが削除された場合など。
isInternal Boolean コメントが内部コメントでパートナーユーザーのみに表示されるかどうか
author TDRUser
mentionsUsers TDRUser
readBy TDRUser

DeleteInvestigationCommentInput🔗

説明: DeleteInvestigationCommentInputはインベスティゲーションからコメントを削除するために必要なフィールドを記述します。

フィールド🔗

フィールド 型 説明 引数
commentId String

CommentVisibilityFilter🔗

説明: CommentVisibilityFilterはコメントのフィルタ条件を定義します。

CommentsV2Arguments🔗

説明: CommentsV2Argumentsはインベスティゲーション内のコメントを検索するためのパラメータを記述します。

フィールド🔗

フィールド 型 説明 引数
investigationId String コメントを取得するインベスティゲーションのID
orderBy PaginationOrder コメントのcreatedAtタイムスタンプで並び替える順序
visibility CommentVisibilityFilter コメントの可視性（isInternal）でフィルタリング
page Int 返す結果のページ - ページは1から開始
perPage Int 1ページあたりの結果数 - 最大100

CommentsV2🔗

説明: CommentsV2はコメント検索のページネーション結果を定義します。

フィールド🔗

フィールド 型 説明 引数
comments CommentV2 現在のページの検索条件に一致するコメントのリスト
totalCount Int 検索条件に一致するコメントの総数

InvestigationCommentsCount🔗

説明: InvestigationCommentsCountはインベスティゲーションのコメント総数と未読コメント数を定義します。

フィールド🔗

フィールド 型 説明 引数
total Int
unread Int

AlertEvidence🔗

説明: AlertEvidenceはインベスティゲーション内のアラート証拠のフィールドを記述します。

フィールド🔗

フィールド 型 説明 引数
id ID 証拠エントリのID（一意）
investigationId ID 証拠が関連するインベスティゲーションのID
tenantId String インベスティゲーション/証拠のテナントID
createdAt Time 証拠がインベスティゲーションに追加された日時
createdBy String 証拠を追加したユーザーまたはクライアントのID。
証拠が他の証拠から派生して同期プロセスで追加された場合、このフィールドは証拠を追加したサービスアカウントになります。
alertId String アラートID
isGenesis Boolean isGenesisは証拠がインベスティゲーションを最初にオープンするために使用されたかどうかを示すフラグ

EventEvidence🔗

説明: EventEvidenceはインベスティゲーション内のイベント証拠のフィールドを記述します。

フィールド🔗

フィールド 型 説明 引数
id ID 証拠エントリのID（一意）
investigationId ID 証拠が関連するインベスティゲーションのID
tenantId String インベスティゲーション/証拠のテナントID
createdAt Time 証拠がインベスティゲーションに追加された日時
createdBy String 証拠を追加したユーザーまたはクライアントのID。
証拠が他の証拠から派生して同期プロセスで追加された場合、このフィールドは証拠を追加したサービスアカウントになります。
eventId String イベントID
isGenesis Boolean isGenesisは証拠がインベスティゲーションを最初にオープンするために使用されたかどうかを示すフラグ

AssetEvidence🔗

説明: AssetEvidenceはインベスティゲーション内の資産証拠のフィールドを記述します。

フィールド🔗

フィールド 型 説明 引数
id ID 証拠エントリのID（一意）
investigationId ID 証拠が関連するインベスティゲーションのID
tenantId String インベスティゲーション/証拠のテナントID
createdAt Time 証拠がインベスティゲーションに追加された日時
createdBy String 証拠を追加したユーザーまたはクライアントのID。
証拠が他の証拠から派生して同期プロセスで追加された場合、このフィールドは証拠を追加したサービスアカウントになります。
assetId String 資産ID

EntityEvidence🔗

説明: 非推奨: 代替なし。エンティティAPIを呼び出してください

フィールド🔗

フィールド 型 説明 引数
id ID
investigationId ID
tenantId String
createdAt Time
createdBy String
entityId String

SearchQueryEvidence🔗

説明: SearchQueryEvidenceはインベスティゲーション内の検索クエリ証拠のフィールドを記述します。

フィールド🔗

フィールド 型 説明 引数
id ID 証拠エントリのID（一意）
investigationId ID 証拠が関連するインベスティゲーションのID
tenantId String インベスティゲーション/証拠のテナントID
createdAt Time 証拠がインベスティゲーションに追加された日時
createdBy String 証拠を追加したユーザーまたはクライアントのID。
証拠が他の証拠から派生して同期プロセスで追加された場合、このフィールドは証拠を追加したサービスアカウントになります。
searchQuery String 検索クエリ
isGenesis Boolean isGenesisは証拠がインベスティゲーションを最初にオープンするために使用されたかどうかを示すフラグ

InvestigationV2Type🔗

説明: InvestigationV2Typeはインベスティゲーションタイプを定義します

フィールド🔗

フィールド 型 説明 引数
type InvestigationType インベスティゲーションタイプ
description String インベスティゲーションタイプの説明

InvestigationV2Status🔗

説明: InvestigationV2Statusはインベスティゲーションステータスを定義します

フィールド🔗

フィールド 型 説明 引数
status InvestigationStatus インベスティゲーションステータス

InvestigationFileV2🔗

説明: InvestigationFileV2はインベスティゲーション内のファイルのフィールドを定義します。

フィールド🔗

フィールド 型 説明 引数
id ID ファイルのID（一意）
investigationId ID ファイルが関連するインベスティゲーションのID
tenantId String インベスティゲーション/ファイルのテナントID
createdAt Time ファイルがインベスティゲーションに追加された日時
updatedAt Time ファイルが最後に更新された日時
deletedAt Time ファイルが削除された日時
uploadedById String uploadedByIdはファイルアップロードを初期化したユーザーのID
uploadedBySubject Subject uploadedBySubjectはファイルアップロードを初期化したユーザー情報を取得するためのフェデレーテッドフィールド
APIがフェデレーションでフィールドをレンダリングできないと判断した場合はnilになります。
アップロード者がフェデレーションで解決できる保証はありません。たとえば、フェデレーテッドサービスがダウンしている場合やサブジェクトが削除された場合など。
deletedById String deletedByIdはファイルを削除したユーザーのID
deletedBySubject Subject deletedBySubjectはファイルを削除したユーザー情報を取得するためのフェデレーテッドフィールド
APIがフェデレーションでフィールドをレンダリングできないと判断した場合はnilになります。
削除者がフェデレーションで解決できる保証はありません。たとえば、フェデレーテッドサービスがダウンしている場合やサブジェクトが削除された場合など。
name String ファイル名
path String ファイルの場所
size Int ファイルサイズ
status String ファイルの現在のアップロードステータス
metadata InvestigationFileMeta ファイルに関する追加メタデータ
downloadURL String ファイルの署名付きダウンロードURL。
ファイルが削除されている場合や、1回のクエリで複数ファイルをリクエストした場合はnullになります。
uploadedBy TDRUser
deletedBy TDRUser

InvestigationFileMeta🔗

説明: InvestigationFileMetaはインベスティゲーション内のファイルに関する追加メタデータを定義します。

フィールド🔗

フィールド 型 説明 引数
contentType String ファイルのコンテンツタイプ
contentMD5 String ファイルのmd5ハッシュ

InitInvestigationFileUploadInput🔗

説明: InitInvestigationFileUploadInputはインベスティゲーションのファイルアップロードを初期化するために必要なフィールドを記述します。

フィールド🔗

フィールド 型 説明 引数
investigationId ID ファイルをアップロードするインベスティゲーションのID
name String ファイル名
size Int 予想されるファイルサイズ
contentType String 予想されるファイルのコンテンツタイプ

InvestigationFileUpload🔗

説明: InitInvestigationFileUploadはインベスティゲーションのファイルアップロード初期化のレスポンスです。

フィールド🔗

フィールド 型 説明 引数
file InvestigationFileV2 presignedUrlにアップロードされる予定のファイルのメタデータ
presignedUrl String ファイルをアップロードするためのURL

InvestigationFileV2Arguments🔗

説明: InvestigationFileV2Argumentsはインベスティゲーションに添付されたファイルを取得するためのパラメータを記述します。

フィールド🔗

フィールド 型 説明 引数
fileId ID

InvestigationFilesV2🔗

フィールド🔗

フィールド 型 説明 引数
files InvestigationFileV2
totalCount Int

InvestigationFilesV2Arguments🔗

フィールド🔗

フィールド 型 説明 引数
cql String ファイルを検索するためのcql文字列
page Int 返す結果のページ - ページは1から開始
perPage Int 1ページあたりの結果数 - 最大100
investigationId ID

DeleteInvestigationFileInput🔗

説明: DeleteInvestigationFileInputはインベスティゲーションからファイルを削除するために必要なフィールドを記述します。

フィールド🔗

フィールド 型 説明 引数
fileId ID

TenantV4🔗

フィールド🔗

フィールド 型 説明 引数
id ID

Subject🔗

フィールド🔗

フィールド 型 説明 引数
id ID

TDRUser🔗

フィールド🔗

フィールド 型 説明 引数
id ID

Time🔗

説明: このライブラリのデフォルトTime実装。

Upload🔗

説明: ファイルアップロード内容

JSONObject🔗

説明: JSONペイロード

Map🔗

説明: このライブラリのデフォルトMap実装