Anexação de locatário: scripts de exemplo CMPivot

Artigo
01/13/2024

Aplica-se a: Configuration Manager (branch atual)

Execute consultas CMPivot de Microsoft Intune centro de administração. Abaixo estão algumas necessidades comuns de consulta e como o CMPivot pode ser usado para atender a elas. O CMPivot usa um subconjunto da KQL (Linguagem de Consulta Kusto).

Abaixo estão algumas necessidades comuns de consulta e como o CMPivot pode ser usado para atender a elas. O CMPivot usa um subconjunto da KQL (Linguagem de Consulta Kusto).

Sistema operacional

Obtém informações do sistema operacional.

// Sample query for OS information
OperatingSystem

Aplicativos usados recentemente

A consulta a seguir obtém aplicativos usados recentemente (últimas 2 horas):

CCMRecentlyUsedApplications
| where (LastUsedTime > ago(2h))
| project CompanyName, ProductName, ProductVersion, LastUsedTime

Horários de início do dispositivo

A consulta a seguir mostra quando os dispositivos foram iniciados nos últimos sete dias:

OperatingSystem
| where LastBootUpTime <= ago(7d)
| summarize count() by bin(LastBootUpTime,1d)

Espaço em disco gratuito

A consulta a seguir mostra espaço em disco gratuito:

LogicalDisk
| project Device, DeviceID, Name, Description, FileSystem, Size, FreeSpace
| order by DeviceID asc

Informações do dispositivo

Mostrar dispositivo, fabricante, modelo e OSVersion:

ComputerSystem
| project Device, Manufacturer, Model
| join (OperatingSystem | project Device, OSVersion=Caption)

Tempos de inicialização para um dispositivo

Mostrar horários de inicialização para dispositivos:

SystemBootData
| project Device, SystemStartTime, BootDuration, OSStart=EventLogStart, GPDuration, UpdateDuration
| order by SystemStartTime desc

Falhas de autenticação

Pesquise os logs de eventos em busca de falhas de autenticação.

EventLog('Security')
| where  EventID == 4673

ProcessModule(<processname>)

Enumera todos os módulos (dlls) carregados por um determinado processo. ProcessModule é útil ao procurar malware que se oculta em processos legítimos.

ProcessModule('powershell')
| summarize count() by ModuleName
| order by count_ desc

Software antimalware status

Obtém o status do software antimalware instalado no computador coletado pelo Get-MpComputerStatus cmdlet. A entidade tem suporte no Windows 10 e no Server 2016 ou posterior com o Defender em execução. |

EPStatus
| project Device, QuickScanAge=datetime_diff('day',now(),QuickScanEndTime)
| summarize DeviceCount=count() by QuickScanAge

Localizar o fabricante do BIOS que contém qualquer palavra como Micro

Bios
// Find BIOS Manufacturer that contains any word like Micro, such as Microsoft
| where Manufacturer like '%Micro%'

Localizar arquivo por seu hash

Pesquise um arquivo por hash.

Device
| join kind=leftouter ( File('%windir%\\system32\\*.exe')
| where SHA256Hash == 'A92056D772260B39A876D01552496B2F8B4610A0B1E084952FE1176784E2CE77')
| project Device, MalwareFound = iif( isnull(FileName), 'No', 'Yes')

Localizar 'Scripts' nos logs do CCM na última hora

A consulta a seguir analisa os eventos na última hora:

CcmLog('Scripts',1h)

Localizar informações no registro

Pesquise informações do registro.

// Change the path to match your desired registry hive query
// The RegistryKey entity (added in version 2107) isn't supported with CMPivot for tenant attached devices.  

Registry('hklm:\SOFTWARE\Microsoft\EnterpriseCertificates\Root\Certificates\*')
RegistryKey('hklm:\SOFTWARE\Microsoft\EnterpriseCertificates\Root\Certificates\*')

RegistryKey('hklm:\SOFTWARE\Microsoft\SMS\*')
Registry('hklm:\SOFTWARE\Microsoft\SMS\*')

Próximas etapas

Para obter mais informações, confira Iniciar CMPivot no centro de administração Para obter mais informações sobre entidades para suas consultas, consulte Microsoft Intune anexação de locatário: visão geral de uso do CMPivot.

Compartilhar via