为何Microsoft Sentinel告警未在Graph API中显示？

要让Microsoft Sentinel告警出现在Graph API的查询结果中，确实需要完成几项关键配置，以下是具体步骤和排查要点：

• 启用Sentinel与Graph安全API的集成
  在Microsoft Sentinel门户中，进入设置 > 配置，找到Microsoft Graph安全API集成选项，确保该功能处于开启状态。只有开启此集成，Sentinel生成的告警才会同步到Graph安全API的数据集里。

• 确认API权限配置
  调用Graph API的账号或应用必须拥有对应权限：

  • 应用权限：需配置 SecurityEvents.Read.All 或 SecurityEvents.ReadWrite.All，且完成管理员同意
  • 委派权限：需配置 SecurityEvents.Read 或 SecurityEvents.ReadWrite
    权限不足会导致无法获取Sentinel告警数据。

• 注意同步延迟
  Sentinel告警同步到Graph API存在15-30分钟的延迟，刚生成的告警不会立即出现在API结果中，需等待一段时间后再查询。

• 端点与查询验证
  alerts 和 alerts_v2 端点的同步逻辑一致，优先推荐使用alerts_v2。如果配置正确，两个端点都应返回Sentinel告警。若查询结果为空，先移除所有过滤参数，执行基础查询：

  GET https://graph.microsoft.com/v1.0/security/alerts_v2
  

  验证是否能获取到数据。

• 额外排查项

  1. 先确认Sentinel门户的威胁管理 > 告警中确实存在目标告警
  2. 检查是否有查询过滤条件（如$filter）无意中排除了Sentinel告警

内容的提问来源于stack exchange，提问作者Jerome