Microsoft sắp ngừng API săn tìm mối đe dọa cũ, đổi URL thôi chưa đủ

Tóm tắt nhanh

API Advanced Hunting cũ của Microsoft Defender for Endpoint và Defender XDR sẽ ngừng trả dữ liệu từ ngày 1/2/2027.
Microsoft yêu cầu hoàn tất chuyển đổi sang Graph Security API trước hoặc trong ngày 31/1/2027, không có cơ chế tự động di chuyển.
Ngoài endpoint, ứng dụng cần đổi tài nguyên xác thực, quyền truy cập và cách đọc phản hồi; các luồng Power Automate, Logic Apps và báo cáo Power BI cũng cần được rà soát.

Microsoft nhắc lại kế hoạch ngừng các API Advanced Hunting cũ trong thông báo MC1220762 cập nhật ngày 26/10/2026. Với đội vận hành bảo mật, phần đáng lo là những tác vụ vẫn chạy đều ở phía sau: một script lấy dữ liệu cho hệ thống giám sát có thể tiếp tục dùng kết nối cũ cho tới khi API ngừng trả dữ liệu.

Đây là thay đổi ở giao diện lập trình dùng để săn tìm mối đe dọa, không phải thông báo ngừng toàn bộ API bảo mật hay đóng cửa Microsoft Defender. Các tổ chức đang gọi API Advanced Hunting độc lập của Defender for Endpoint hoặc Defender XDR mới là nhóm cần kiểm tra tích hợp của mình.

Đổi endpoint chưa giải quyết hết việc chuyển đổi

Giao diện Microsoft Defender Advanced Hunting với tùy chọn tạo truy vấn — Advanced Hunting có trình soạn truy vấn riêng; thay đổi lần này liên quan đến các API mà ứng dụng bên ngoài sử dụng. Nguồn: Jeffrey Appel.

Chuyển sang Microsoft Graph cần được xem là thay đổi hợp đồng tích hợp, thay vì một lần thay địa chỉ máy chủ. Tài liệu Microsoft Learn liệt kê cả endpoint, Resource URI, quyền API và cấu trúc phản hồi cần cập nhật; bỏ sót một phần có thể khiến ứng dụng không lấy được dữ liệu hoặc không đọc được dữ liệu đã nhận.

Trình soạn truy vấn KQL trong Microsoft Defender Advanced Hunting — Truy vấn KQL là phần nhìn thấy của Advanced Hunting, còn kết nối tự động gọi API cần được chuyển đổi riêng. Nguồn: Microsoft Learn.

Hai endpoint cũ được nêu trong bảng hướng dẫn là https://api.securitycenter.microsoft.com/api/advancedqueries/run và https://api.security.microsoft.com/api/advancedhunting/run. Địa chỉ thay thế trong bảng này là https://graph.microsoft.com/beta/security/runHuntingQuery. Cần giữ đúng phần beta khi đối chiếu cấu hình với hướng dẫn đó, không mặc định mọi API Graph đều dùng cùng một đường dẫn phiên bản.

Resource URI cũng chuyển từ https://api.securitycenter.microsoft.com sang https://graph.microsoft.com. Vì vậy, kiểm tra URL gọi dữ liệu mà bỏ qua cấu hình xin token là chưa đủ để kết luận ứng dụng đã chuyển xong.

Về quyền truy cập, các quyền AdvancedQuery.Read, AdvancedQuery.Read.All của Defender for Endpoint và AdvancedHunting.Read, AdvancedHunting.Read.All của Microsoft Threat Protection được thay bằng ThreatHunting.Read.All trên Microsoft Graph. Microsoft liệt kê quyền mới cho cả kiểu delegated, tức gọi thay mặt người dùng, lẫn application, tức ứng dụng tự hoạt động.

Truy vấn chạy được vẫn có thể làm hỏng bước xử lý kết quả

Advanced Hunting chạy truy vấn DeviceEvents và hiển thị kết quả cùng nút Query Details — Bảng kết quả truy vấn là một điểm cần đối chiếu khi kiểm tra dữ liệu đầu ra của luồng tích hợp. Nguồn: Microsoft Learn.

Điểm dễ bị bỏ qua nằm ở mã đọc phản hồi. API cũ trả đối tượng QueryResponse có các trường Stats, Schema và Results, còn Graph trả tài nguyên huntingQueryResults, trong đó tên trường là schema và results. Khác biệt chữ hoa, chữ thường đủ để làm sai một đoạn mã đang truy cập tên trường cố định.

Bảng kết quả Advanced Hunting và chi tiết bản ghi được mở rộng — Kết quả Advanced Hunting gồm nhiều trường dữ liệu; mã xử lý phản hồi API cần đọc đúng cấu trúc mới khi chuyển sang Graph. Nguồn: Microsoft Learn.

Phía yêu cầu vẫn sử dụng Query để gửi câu truy vấn Kusto Query Language (KQL); bảng chuyển đổi của Microsoft còn nêu thuộc tính Timespan ở phía Graph. Điều này không có nghĩa chỉ cần chép nguyên yêu cầu cũ rồi coi mọi công đoạn phía sau đã tương thích.

Với doanh nghiệp Việt Nam đưa kết quả săn tìm mối đe dọa vào SIEM, tức hệ thống quản lý sự kiện bảo mật, hoặc SOAR, tức hệ thống điều phối phản ứng tự động, tiêu chí nghiệm thu nên là dữ liệu đi hết tới nơi sử dụng. Nhận phản hồi thành công từ API mới chỉ chứng minh được một đoạn của luồng; còn phải kiểm tra bộ phân tích kết quả và tác vụ phụ thuộc có thực sự nhận đúng dữ liệu hay không.

Rà soát cả báo cáo và luồng ít được mở tới

Giao diện chạy truy vấn EmailEvents và xuất kết quả trong Defender — Giao diện cho phép chạy truy vấn và xuất kết quả, còn các luồng lấy dữ liệu tự động và báo cáo cần được kiểm kê kết nối riêng. Nguồn: Microsoft Learn.

Danh sách cần chuyển đổi không nên dừng ở kho mã của đội bảo mật. Microsoft lưu ý Graph không có sẵn action Advanced Hunting tương đương trong connector Microsoft Defender ATP cho Power Platform; các luồng PowerApps, Power Automate hoặc Logic Apps muốn tiếp tục dùng chức năng này cần tạo custom connector theo hướng dẫn chuyển đổi.

Với báo cáo Power BI tùy chỉnh đang lấy dữ liệu từ API cũ, truy vấn Power BI cũng phải được cập nhật theo các tham số Graph. Một báo cáo ít được mở vẫn là thành phần cần kiểm kê, bởi đổi xong script chính không tự sửa được kết nối riêng của báo cáo đó.

Cách ưu tiên hợp lý là tìm các tham chiếu endpoint cũ trong cấu hình và mã nguồn, xác định đội phụ trách từng luồng, rồi thử cả truy vấn lẫn dữ liệu đầu ra trước khi thay kết nối đang vận hành. Đây là công việc phối hợp giữa đội bảo mật, phát triển và quản trị ứng dụng, thay vì chỉ giao cho người quản lý Defender đổi một thiết lập.

Microsoft không chuyển đổi tự động cho khách hàng. Mốc cần đưa vào kế hoạch nội bộ là hoàn tất trước hoặc trong ngày 31/1/2027, thay vì chờ tới khi các API cũ ngừng trả dữ liệu ngày 1/2/2027 mới tìm những tác vụ đã bị bỏ sót.

Nguồn tham khảo: Microsoft Learn: Graph Security API và hướng dẫn chuyển đổi; Thông báo MC1220762 trên bản lưu Microsoft 365 Message Center.