テナント接続: CMPivot サンプル スクリプト

Configuration Manager (現在のブランチ) に適用

Microsoft Intune 管理センターから CMPivot クエリを実行する。 次に、一般的なクエリのニーズと、CMPivot を使用してそれらを満たす方法について説明します。 CMPivot には Kusto Query Language (KQL) のサブセットが使用されます。

次に、一般的なクエリのニーズと、CMPivot を使用してそれらを満たす方法について説明します。 CMPivot には Kusto Query Language (KQL) のサブセットが使用されます。

オペレーティング システム

オペレーティング システム情報を取得します。

// Sample query for OS information
OperatingSystem

最近使用したアプリケーション

次のクエリは、最近使用されたアプリケーション (過去 2 時間) を取得します。

CCMRecentlyUsedApplications
| where (LastUsedTime > ago(2h))
| project CompanyName, ProductName, ProductVersion, LastUsedTime

デバイスの起動時刻

次のクエリは、過去 7 日間にデバイスがいつ起動されたかを示しています。

OperatingSystem
| where LastBootUpTime <= ago(7d)
| summarize count() by bin(LastBootUpTime,1d)

空きディスク領域

次のクエリは空きディスク領域を示します。

LogicalDisk
| project Device, DeviceID, Name, Description, FileSystem, Size, FreeSpace
| order by DeviceID asc

デバイス情報

デバイス、製造元、モデル、OS バージョンを表示する:

ComputerSystem
| project Device, Manufacturer, Model
| join (OperatingSystem | project Device, OSVersion=Caption)

デバイスの起動時刻

デバイスの起動時間を表示する:

SystemBootData
| project Device, SystemStartTime, BootDuration, OSStart=EventLogStart, GPDuration, UpdateDuration
| order by SystemStartTime desc

認証エラー

イベント ログで認証エラーを検索します。

EventLog('Security')
| where  EventID == 4673

ProcessModule(<processname>)

特定のプロセスによって読み込まれたすべてのモジュール (dll) を列挙します。 ProcessModule は、正規のプロセスに隠れているマルウェアを探す場合に便利です。

ProcessModule('powershell')
| summarize count() by ModuleName
| order by count_ desc

マルウェア対策ソフトウェアの状態

Get-MpComputerStatus コマンドレットによって収集された、コンピューターにインストールされているマルウェア対策ソフトウェアの状態を取得します。 このエンティティは、Windows 10 および Server 2016 以降、Defender が実行されている状態でサポートされています。 |

EPStatus
| project Device, QuickScanAge=datetime_diff('day',now(),QuickScanEndTime)
| summarize DeviceCount=count() by QuickScanAge

Micro のような単語を含む BIOS 製造元を検索します

Bios
// Find BIOS Manufacturer that contains any word like Micro, such as Microsoft
| where Manufacturer like '%Micro%'

ハッシュでファイルを検索する

ハッシュでファイルを検索します。

Device
| join kind=leftouter ( File('%windir%\\system32\\*.exe')
| where SHA256Hash == 'A92056D772260B39A876D01552496B2F8B4610A0B1E084952FE1176784E2CE77')
| project Device, MalwareFound = iif( isnull(FileName), 'No', 'Yes')

過去 1 時間の CCM ログで「スクリプト」を検索します。

次のクエリでは、過去 1 時間のイベントを調べます。

CcmLog('Scripts',1h)

レジストリで情報を検索する

レジストリ情報を検索します。

// Change the path to match your desired registry hive query
// The RegistryKey entity (added in version 2107) isn't supported with CMPivot for tenant attached devices.  

Registry('hklm:\SOFTWARE\Microsoft\EnterpriseCertificates\Root\Certificates\*')
RegistryKey('hklm:\SOFTWARE\Microsoft\EnterpriseCertificates\Root\Certificates\*')

RegistryKey('hklm:\SOFTWARE\Microsoft\SMS\*')
Registry('hklm:\SOFTWARE\Microsoft\SMS\*')

次の手順

詳細については、「管理センターから CMPivot を起動する」を参照してください クエリのエンティティの詳細については、「Microsoft Intune テナントのアタッチ: CMPivot の使用状況の概要」を参照してください。

  • Last updated on