SCCM'de CMPivot Sorgusunu Kullanarak Kötü Amaçlı Yazılımdan Koruma Yazılım Durumunu Bulun

Bu yazıda size SCCM'de (ConfigMgr) CMPivot sorgusunu kullanarak kötü amaçlı yazılımdan koruma yazılımının durumunu nasıl bulacağınızı göstereceğim. CMPivot'u kullanarak, genellikle Get-MpComputerStatus cmdlet'i tarafından toplanan, bilgisayar(lar)da yüklü olan kötü amaçlı yazılımdan koruma yazılımının durumunu alabilirsiniz.

CMPivot, artık ortamınızdaki cihazların gerçek zamanlı durumuna erişim sağlayan, SCCM'deki yeni bir konsol içi yardımcı programdır. CMPivot'un KQL tabanlı sorguları yöneticilerin istemcilerden önemli verileri bulmasını kolaylaştırır. Tüm bu CMPivot sorguları ConfigMgr üretim sunucusunda güvenli bir şekilde çalıştırılabilir ve ayrıca sonuçları veya çıktıyı bir dosyaya aktarabilirsiniz.

CMPivot ile tek bir bilgisayarda veya tüm SCCM cihaz koleksiyonunda kötü amaçlı yazılımdan koruma durumunu kontrol etmek için bazı temel sorguları çalıştırabilirsiniz. Kurulumunuzda Configuration Manager kullanmıyorsanız, Get-MpComputerStatus komutunu çalıştırarak kötü amaçlı yazılımdan koruma yazılımının durumunu bulabilirsiniz.

Bir süredir CMPivot sorgularını araştırıyorum ve bunu çok ilgi çekici buluyorum. Uzaktaki makinelerden toplayabileceğiniz bilgi miktarı tek kelimeyle olağanüstü. CMPivot'u keşfetmek ilginizi çekiyorsa ConfigMgr CMPivot sorgularıyla ilgili tüm yayınlarıma göz atabilirsiniz.

SCCM'de kullanabileceğiniz bazı ilginç CMPivot sorgularına bir göz atın:

  • CMPivot kullanarak Bilgisayarın Seri Numarasını Bulun
  • SCCM CMPivot Sorgusunu Kullanarak Son Kullanılan Uygulamaları Bulun
  • SCCM'de WSUS Sunucusu Ayrıntılarını Bulmak için CMPivot Sorgusunu Kullanın
  • SCCM CMPivot Sorgusunu Kullanarak Dot Net Sürümünü Kolayca Bulun
  • SCCM CMPivot Sorgusunu Kullanarak Varsayılan Tarayıcıyı Bulun

Kötü Amaçlı Yazılımdan Koruma Durumunu bulmak için Get-MpComputerStatus komutunu çalıştırın

Get-MpComputerStatus, bilgisayardaki kötü amaçlı yazılımdan koruma yazılımının durumunu kontrol edebileceğiniz basit bir komuttur. CMPivot'a erişiminiz yoksa, bilgisayarda basit bir komut çalıştırarak kötü amaçlı yazılımdan koruma durumunu bulabilirsiniz.

Bu komutun PowerShell penceresinde yerel olarak çalıştırılması gerekir ve Defender'ın çalıştığı hemen hemen tüm Windows işletim sistemlerinde çalışır. Kötü amaçlı yazılımdan koruma yazılımının durumunu öğrenmek için PowerShell'i açın ve aşağıdaki komutu çalıştırın.

Get-MpComputerStatus

Get-MpComputerStatus komutunun çıktısı aşağıya yapıştırılmıştır. Çıktının, motor sürümü, antivirüs bileşen durumu, RealTimeProtectionEnabled vb. gibi kötü amaçlı yazılımdan koruma yazılımı özellikleriyle ilgili tüm ayrıntıları içerdiğini görüyoruz.

AMEngineVersion : 1.1.19700.3
AMProductVersion : 4.18.2210.4
AMRunningMode : Normal
AMServiceEnabled : True
AMServiceVersion : 4.18.2210.4
AntispywareEnabled : True
AntispywareSignatureAge : 0
AntispywareSignatureLastUpdated : 07-11-2022 06:55:09
AntispywareSignatureVersion : 1.377.1429.0
AntivirusEnabled : True
AntivirusSignatureAge : 0
AntivirusSignatureLastUpdated : 07-11-2022 06:55:09
AntivirusSignatureVersion : 1.377.1429.0
BehaviorMonitorEnabled : True
ComputerID : E3890539-D1A1-469A-90FC-247598E723
ComputerState : 0
DefenderSignaturesOutOfDate : False
DeviceControlDefaultEnforcement : Unknown
DeviceControlPoliciesLastUpdated : 07-11-2022 13:48:58
DeviceControlState : Disabled
FullScanAge : 4294967295
FullScanEndTime :
FullScanOverdue : False
FullScanRequired : False
FullScanSignatureVersion :
FullScanStartTime :
IoavProtectionEnabled : True
IsTamperProtected : True
IsVirtualMachine : True
LastFullScanSource : 0
LastQuickScanSource : 2
NISEnabled : True
NISEngineVersion : 1.1.19700.3
NISSignatureAge : 0
NISSignatureLastUpdated : 07-11-2022 06:55:09
NISSignatureVersion : 1.377.1429.0
OnAccessProtectionEnabled : True
ProductStatus : 524416
QuickScanAge : 18
QuickScanEndTime : 20-10-2022 13:10:30
QuickScanOverdue : True
QuickScanSignatureVersion : 1.377.471.0
QuickScanStartTime : 20-10-2022 13:07:54
RealTimeProtectionEnabled : True
RealTimeScanDirection : 0
RebootRequired : False
SmartAppControlExpiration :
SmartAppControlState : Off
TamperProtectionSource : Signatures
TDTMode : N/A
TDTSiloType : N/A
TDTStatus : N/A
TDTTelemetry : N/A
TroubleShootingDailyMaxQuota :
TroubleShootingDailyQuotaLeft :
TroubleShootingEndTime :
TroubleShootingExpirationLeft :
TroubleShootingMode :
TroubleShootingModeSource :
TroubleShootingQuotaResetTime :
TroubleShootingStartTime :
PSComputerName :

SCCM'de CMPivot kullanarak Kötü Amaçlı Yazılımdan Koruma Yazılımı Durumunu Bulun

SCCM'de CMPivot sorgusunu kullanarak kötü amaçlı yazılım önleme yazılımı durumunu bulma adımlarına bakalım. SCCM konsolunu başlatın ve Varlıklar ve Uyumluluk > Genel Bakış > Cihaz Koleksiyonları'na gidin. CMPivot sorgusunu çalıştırmak istediğiniz cihaz koleksiyonunu seçin. Cihaz koleksiyonunu sağ tıklayın ve CMPivot'u Başlat'ı seçin.

CMPivot aracında Sorgu sekmesini seçin. "EPStatus" sorgusunu girin ve Sorguyu Çalıştır'ı tıklayın. CMPivot sorgu çıktısı, durum ve imza güncellemeleri de dahil olmak üzere kötü amaçlı yazılımdan koruma yazılımı hakkındaki tüm ayrıntıların bir listesini içerir. Çıktı birkaç ayrıntı içerecektir ve listeyi bir CSV dosyasına aktarıp sonuçları gözden geçirmeniz gerekebilir.

Not: CMPivot sorgu penceresine girildiğinde Get-MpComputerStatus komutu çalışmaz. EPStatus, kötü amaçlı yazılımdan koruma yazılımının durumunu ve özelliklerini kontrol etmek için kullanmanız gereken doğru CMPivot sorgusudur.

Cihaz Sayımı ile Kötü Amaçlı Yazılımdan Koruma Yazılımı QuickScanAge'i bulmak için CMPivot sorgusu

Bu örnekte, gün cinsinden son hızlı tarama yaşını bulmak için basit bir CMPivot sorgusu çalıştıracağız ve çıktıyı cihaz sayısıyla birlikte filtreleyeceğiz. "Hızlı tarama, kayıt defteri anahtarları ve bilinen Windows başlangıç klasörleri gibi kötü amaçlı yazılımın sisteme kaydedilebileceği tüm konumlara bakar."

CMPivot ile SCCM'deki tüm cihazları sorgulayarak QuickScanAge özelliğinin hızlı taramanın başlatılmasından bu yana geçen gün sayısını gösterdiğini bulabilirsiniz. Defender yazılımı çalıştıran bir Windows cihazında imzalar hiç güncellenmediyse QuickScanAge değerini 65535 gün olarak göreceksiniz.

CMPivot penceresinde, toplam cihaz sayısıyla birlikte cihazların QuickScanAge'ini bulmak için aşağıdaki sorguyu çalıştırın.

EPStatus
| project Device, QuickScanAge=datetime_diff('day',now(),QuickScanEndTime)
| summarize DeviceCount=count() by QuickScanAge

CMPivot Sorgusunu kullanarak Kötü Amaçlı Yazılımdan Koruma Yazılımı Hizmet Durumunu kontrol edin

CMPivot ile kötü amaçlı yazılım önleme yazılımı hizmetinin durumunu belirlemek için bir sorgu çalıştırabilirsiniz. Uzak bilgisayarlarda Windows Defender Güvenlik Duvarı hizmetinin kurulu ve çalışır durumda olup olmadığını CMPivot sorgusu ile öğrenebilirsiniz. Ayrıca CMPivot ile Windows bilgisayarlarda yüklü ve çalışan hizmetleri nasıl bulacağınıza da bakın.

Hizmetler konsoluna gidip Windows Defender Güvenlik Duvarı hizmetinin durumunu kontrol ederek Windows Defender hizmetinin (mpssvc) durumunu manuel olarak belirleyebilirsiniz. Çoğu bilgisayarda hizmet çalışır durumdadır.

Kötü amaçlı yazılımdan koruma yazılımı hizmet durumunu bulmak için aşağıdaki CMPivot sorgusunu çalıştırın.

Service | where (Name == 'mpssvc') | summarize count() by Device

Aşağıdaki sorgu çıktısında Windows Defender hizmetinin çalışır durumda olduğu bilgisayarları görüyoruz.

İlgili makaleler