Présentation de l'API Cisco AMP for Endpoints

Introduction

Ce document décrit les fonctionnalités de Cisco Advanced Malware Protection (AMP) for Endpoints. Cisco AMP for Endpoints est fourni avec une interface de programmation d'applications (API). Il vous permet d'extraire des données d'un déploiement AMP for Endpoints et de les manipuler, si nécessaire. 

Cet article présente quelques fonctionnalités de base de l'API. Les exemples de cet article utilisent un point de terminaison Windows 7.

Contribution de Matthew Franks, Nazmul Rajib et des ingénieurs du centre d'assistance technique Cisco.

Générer et supprimer des informations d'identification API

Pour utiliser l'API AMP for Endpoint, vous devez configurer des informations d'identification d'API.  Suivez les étapes indiquées pour créer des informations d'identification via la console AMP. 

Étape 1 : Connectez-vous à la console et accédez à Comptes > Informations d'identification de l'API.

Étape 2 : Cliquez sur New API Credential pour créer un nouvel ensemble de clés.

Étape 3 : indiquez un nom d'application. Sélectionnez l'étendue de Lecture seule ou Lecture et écriture.

Remarque : des informations d'identification d'API avec une étendue de lecture et d'écriture peuvent apporter des modifications à la configuration de Cisco AMP for Endpoints, ce qui peut entraîner des problèmes importants sur vos terminaux.  Certaines des protections d'entrée intégrées à la console Cisco AMP for Endpoints ne s'appliquent pas à l'API.

Étape 4 : Cliquez sur le bouton Create. La fenêtre API Key Details s'affiche. Enregistrez ces informations car certaines ne seront plus disponibles une fois que vous aurez quitté l'écran.

Remarque : les informations d'identification API (ID client et clé API) permettent à d'autres programmes de récupérer et de modifier vos données Cisco AMP for Endpoints. Il est fonctionnellement équivalent à un nom d'utilisateur et à un mot de passe et doit être traité comme tel.

Attention : vos informations d'identification API sont affichées une seule fois. Si vous perdez les informations d'identification, vous devez en générer de nouvelles.

Supprimez les informations d'identification API d'une application si vous pensez qu'elles ont été compromises, puis créez-en une nouvelle.  Lorsque vous supprimez des informations d'identification d'API, le client qui utilise les anciennes est verrouillé. Vous devez donc les mettre à jour avec les nouvelles informations d'identification.

Versions et options actuelles de l'API

Il existe actuellement deux versions de l'API AMP for Endpoints : la version 0 et la version 1. La version 1 offre des fonctionnalités supplémentaires par rapport à la version 0. La documentation relative à la version 1 est disponible ici.  Vous pouvez extraire ces informations à l'aide de la version 1.

• Ordinateurs
• Activité informatique
• Événements
• Types d'événements
• Listes de fichiers
• Éléments de liste de fichiers
• Groupes
• Politiques
• Versions

Cliquez sur la commande appropriée dans le document pour voir des exemples de son utilisation. 

Exemple de répartition des commandes API

Chaque commande d'API contient des informations similaires et peut se décomposer en une commande curl et peut être regardée comme ceci :

curl -o votrenomfichier.json https://clientID:APIKey@api.amp.cisco.com/v1/whatyouwanttodo

Lorsque vous utilisez la commande curl avec l'option -o, elle vous permet d'enregistrer la sortie dans un fichier. Dans ce cas, le nom du fichier est « votrenomfichier.json ». 

Conseil : Vous trouverez plus d'informations sur les fichiers .json ici.

L'étape suivante dans la commande curl est de définir l'adresse avec vos informations d'identification avant le symbole @. Lorsque vous générez des informations d'identification d'API, vous connaissez l'ID client et la clé API. Cette section de la commande ressemblera donc au lien ci-dessous.

https://538e8b8203a48cc5c7fa:a190c911-8ca4-45fa-8740-e384ef2d3d5b@

Ajoutez le numéro de version et ce que vous souhaitez faire. Pour cet exemple, exécutez les options GET /v1/computers.La commande complète ressemble à ceci :

curl -o computers.json https://538e8b8203a48cc5c7fa:a190c911-8ca4-45fa-8740-e384ef2d3d5b@api.amp.cisco.com/v1/computers

 Après avoir exécuté la commande, vous devriez voir un fichier computers.json téléchargé dans le répertoire où vous avez lancé la commande.

Note : Curl est disponible en ligne et compilé pour beaucoup de plateformes qui incluent Windows (en général, vous voudrez utiliser la version Win32 - Generic).

Lorsque vous ouvrez le fichier, toutes les données s'affichent sur une seule ligne.  Si vous souhaitez voir ceci dans son format approprié, vous pouvez installer un plugin de navigateur pour le formater en JSON et ouvrir le fichier dans un navigateur. Cette fenêtre affiche les informations relatives à vos ordinateurs que vous pouvez utiliser comme vous le souhaitez, par exemple :

connector_guid, hostname, active, links, connector_version, operating_system, internal_ips, external_ip, group_guid, network_addresses, policy guid et policy name.

{
version: "v1.0.0",
metadata: {
links: {
self: "https://api.amp.cisco.com/v1/computers"
},
results: {
total: 4,
current_item_count: 4,
index: 0,
items_per_page: 500
}
},
data: [
{
connector_guid: "abcdef-1234-5678-9abc-def123456789",
hostname: "test.cisco.com",
active: true,
links: {
computer: "https://api.amp.cisco.com/v1/computers/abcdef-1234-5678-9abc-def123456789",
trajectory: "https://api.amp.cisco.com/v1/computers/abcdef-1234-5678-9abc-def123456789/trajectory",
group: "https://api.amp.cisco.com/v1/groups/abcdef-1234-5678-9abc-def123456789"
},
connector_version: "4.4.2.10200",
operating_system: "Windows 7, SP 1.0",
internal_ips: [
"10.1.1.2",
" 192.168.1.2",
" 192.168.2.2",
" 169.254.245.1"
],
external_ip: "1.1.1.1",
group_guid: "abcdef-1234-5678-9abc-def123456789",
network_addresses: [
{
mac: "ab:cd:ef:01:23:45",
ip: "10.1.1.2"
},
{
mac: "bc:de:f0:12:34:56",
ip: "192.168.1.2"
},
{
mac: "cd:ef:01:23:45:67",
ip: "192.168.2.2"
},
{
mac: "de:f0:12:34:56:78",
ip: "169.254.245.1"
}
],
policy: {
guid: "abcdef-1234-5678-9abc-def123456789",
name: "Protect Policy"
}

Maintenant que vous avez vu un exemple de base en action, vous pouvez utiliser les différentes options de commande pour extraire et manipuler des données dans votre environnement.

Informations connexes

• Documentation de l'API Cisco AMP for Endpoints

 Assistance et documentation techniques - Cisco Systems