ค้นหาสถานะซอฟต์แวร์ป้องกันมัลแวร์โดยใช้ CMPivot Query ใน SCCM

ในบทความนี้ ฉันจะแสดงวิธีค้นหาสถานะซอฟต์แวร์ป้องกันมัลแวร์โดยใช้แบบสอบถาม CMPivot ใน SCCM (ConfigMgr) เมื่อใช้ CMPivot คุณสามารถรับสถานะของซอฟต์แวร์ป้องกันมัลแวร์ที่ติดตั้งบนคอมพิวเตอร์ ซึ่งโดยปกติจะรวบรวมโดย cmdlet Get-MpComputerStatus

CMPivot เป็นยูทิลิตี้ในคอนโซลใหม่ใน SCCM ที่ขณะนี้ให้การเข้าถึงสถานะแบบเรียลไทม์ของอุปกรณ์ในสภาพแวดล้อมของคุณ การสืบค้นแบบ KQL ของ CMPivot ช่วยให้ผู้ดูแลระบบค้นหาข้อมูลสำคัญจากไคลเอนต์ได้ง่ายขึ้น การสืบค้น CMPivot ทั้งหมดนี้สามารถรันได้อย่างปลอดภัยบนเซิร์ฟเวอร์ที่ใช้งานจริง ConfigMgr และคุณยังสามารถส่งออกผลลัพธ์หรือเอาท์พุตไปยังไฟล์ได้อีกด้วย

ด้วย CMPivot คุณสามารถเรียกใช้คำสั่งพื้นฐานเพื่อตรวจสอบสถานะต่อต้านมัลแวร์บนคอมพิวเตอร์เครื่องเดียวหรือในคอลเลกชั่นอุปกรณ์ SCCM ทั้งหมด หากคุณไม่ได้ใช้เครื่องมือจัดการการกำหนดค่าในการตั้งค่า คุณสามารถดูสถานะของซอฟต์แวร์ป้องกันมัลแวร์ได้โดยการเรียกใช้คำสั่ง Get-MpComputerStatus

ฉันได้สำรวจข้อความค้นหาของ CMPivot มาระยะหนึ่งแล้ว และพบว่ามันน่าสนใจมาก ปริมาณข้อมูลที่คุณสามารถรวบรวมจากเครื่องระยะไกลนั้นโดดเด่นมาก หากคุณสนใจที่จะสำรวจ CMPivot คุณสามารถดูโพสต์ทั้งหมดของฉันเกี่ยวกับคำค้นหา ConfigMgr CMPivot

ดูข้อความค้นหา CMPivot ที่น่าสนใจที่คุณสามารถใช้ใน SCCM:

• ค้นหาหมายเลขซีเรียลของคอมพิวเตอร์โดยใช้ CMPivot
• ค้นหาแอปพลิเคชันที่ใช้ล่าสุดโดยใช้ SCCM CMPivot Query
• ใช้ CMPivot Query เพื่อค้นหารายละเอียดเซิร์ฟเวอร์ WSUS ใน SCCM
• ค้นหาเวอร์ชัน Dot Net ได้อย่างง่ายดายโดยใช้ SCCM CMPivot Query
• ค้นหาเบราว์เซอร์เริ่มต้นโดยใช้ SCCM CMPivot Query

เรียกใช้คำสั่ง Get-MpComputerStatus เพื่อค้นหาสถานะ Antimalware

Get-MpComputerStatus เป็นคำสั่งง่ายๆ ซึ่งคุณสามารถตรวจสอบสถานะของซอฟต์แวร์ป้องกันมัลแวร์ในคอมพิวเตอร์ได้ หากคุณไม่มีสิทธิ์เข้าถึง CMPivot คุณสามารถค้นหาสถานะต่อต้านมัลแวร์ได้โดยการรันคำสั่งง่ายๆ บนคอมพิวเตอร์

คำสั่งนี้จำเป็นต้องเรียกใช้ในเครื่องในหน้าต่าง PowerShell และทำงานได้บนระบบปฏิบัติการ Windows เกือบทั้งหมดที่มี Defender ทำงานอยู่ หากต้องการรับสถานะของซอฟต์แวร์ป้องกันมัลแวร์ ให้เปิด PowerShell และเรียกใช้คำสั่งด้านล่าง

Get-MpComputerStatus

ผลลัพธ์ของคำสั่ง Get-MpComputerStatus ถูกวางไว้ด้านล่าง เราเห็นว่าผลลัพธ์มีรายละเอียดทั้งหมดเกี่ยวกับคุณสมบัติของซอฟต์แวร์ป้องกันมัลแวร์ เช่น เวอร์ชันของกลไก สถานะของส่วนประกอบของโปรแกรมป้องกันไวรัส RealTimeProtectionEnabled เป็นต้น

AMEngineVersion : 1.1.19700.3
AMProductVersion : 4.18.2210.4
AMRunningMode : Normal
AMServiceEnabled : True
AMServiceVersion : 4.18.2210.4
AntispywareEnabled : True
AntispywareSignatureAge : 0
AntispywareSignatureLastUpdated : 07-11-2022 06:55:09
AntispywareSignatureVersion : 1.377.1429.0
AntivirusEnabled : True
AntivirusSignatureAge : 0
AntivirusSignatureLastUpdated : 07-11-2022 06:55:09
AntivirusSignatureVersion : 1.377.1429.0
BehaviorMonitorEnabled : True
ComputerID : E3890539-D1A1-469A-90FC-247598E723
ComputerState : 0
DefenderSignaturesOutOfDate : False
DeviceControlDefaultEnforcement : Unknown
DeviceControlPoliciesLastUpdated : 07-11-2022 13:48:58
DeviceControlState : Disabled
FullScanAge : 4294967295
FullScanEndTime :
FullScanOverdue : False
FullScanRequired : False
FullScanSignatureVersion :
FullScanStartTime :
IoavProtectionEnabled : True
IsTamperProtected : True
IsVirtualMachine : True
LastFullScanSource : 0
LastQuickScanSource : 2
NISEnabled : True
NISEngineVersion : 1.1.19700.3
NISSignatureAge : 0
NISSignatureLastUpdated : 07-11-2022 06:55:09
NISSignatureVersion : 1.377.1429.0
OnAccessProtectionEnabled : True
ProductStatus : 524416
QuickScanAge : 18
QuickScanEndTime : 20-10-2022 13:10:30
QuickScanOverdue : True
QuickScanSignatureVersion : 1.377.471.0
QuickScanStartTime : 20-10-2022 13:07:54
RealTimeProtectionEnabled : True
RealTimeScanDirection : 0
RebootRequired : False
SmartAppControlExpiration :
SmartAppControlState : Off
TamperProtectionSource : Signatures
TDTMode : N/A
TDTSiloType : N/A
TDTStatus : N/A
TDTTelemetry : N/A
TroubleShootingDailyMaxQuota :
TroubleShootingDailyQuotaLeft :
TroubleShootingEndTime :
TroubleShootingExpirationLeft :
TroubleShootingMode :
TroubleShootingModeSource :
TroubleShootingQuotaResetTime :
TroubleShootingStartTime :
PSComputerName :

ค้นหาสถานะซอฟต์แวร์ป้องกันมัลแวร์โดยใช้ CMPivot ใน SCCM

มาดูขั้นตอนในการค้นหาสถานะซอฟต์แวร์ป้องกันมัลแวร์โดยใช้แบบสอบถาม CMPivot ใน SCCM เปิดคอนโซล SCCM และไปที่ สินทรัพย์และการปฏิบัติตามข้อกำหนด > ภาพรวม > คอลเล็กชันอุปกรณ์ เลือกคอลเล็กชันอุปกรณ์ที่คุณต้องการเรียกใช้การค้นหา CMPivot คลิกขวาที่คอลเลกชันอุปกรณ์และเลือก เริ่ม CMPivot

ในเครื่องมือ CMPivot ให้เลือกแท็บ ข้อความค้นหา ป้อนคำค้นหา “EPStatus” แล้วคลิก เรียกใช้คำค้นหา ผลลัพธ์การสืบค้น CMPivot ประกอบด้วยรายการรายละเอียดทั้งหมดเกี่ยวกับซอฟต์แวร์ป้องกันมัลแวร์ รวมถึงสถานะและการอัปเดตลายเซ็น ผลลัพธ์จะมีรายละเอียดหลายประการ และคุณอาจต้องส่งออกรายการเป็นไฟล์ CSV และตรวจสอบผลลัพธ์

หมายเหตุ: คำสั่ง Get-MpComputerStatus จะไม่ทำงานเมื่อป้อนในหน้าต่างแบบสอบถาม CMPivot EPStatus คือแบบสอบถาม CMPivot ที่ถูกต้องที่คุณควรใช้เพื่อตรวจสอบสถานะของซอฟต์แวร์ป้องกันมัลแวร์และคุณสมบัติของซอฟต์แวร์

แบบสอบถาม CMPivot เพื่อค้นหาซอฟต์แวร์ป้องกันมัลแวร์ QuickScanAge พร้อมจำนวนอุปกรณ์

ในตัวอย่างนี้ เราจะเรียกใช้การสืบค้น CMPivot แบบง่ายเพื่อค้นหาอายุการสแกนด่วนล่าสุดในหน่วยวัน และกรองเอาต์พุตพร้อมกับจำนวนอุปกรณ์ “การสแกนอย่างรวดเร็วจะตรวจสอบตำแหน่งทั้งหมดที่อาจลงทะเบียนมัลแวร์เพื่อเริ่มต้นด้วยระบบ เช่น รีจิสตรีคีย์และโฟลเดอร์เริ่มต้นระบบ Windows ที่รู้จัก”

ด้วย CMPivot คุณสามารถค้นหาอุปกรณ์ทั้งหมดใน SCCM เพื่อค้นหาคุณสมบัติ QuickScanAge ที่แสดงจำนวนวันนับตั้งแต่เริ่มการสแกนแบบรวดเร็ว บนอุปกรณ์ Windows ที่ใช้ซอฟต์แวร์ Defender หากลายเซ็นไม่เคยได้รับการอัปเดต คุณจะเห็นค่า QuickScanAge เป็น 65535 วัน

ในหน้าต่าง CMPivot ให้เรียกใช้คำค้นหาด้านล่างเพื่อค้นหา QuickScanAge ของอุปกรณ์พร้อมกับจำนวนอุปกรณ์ทั้งหมด

EPStatus
| project Device, QuickScanAge=datetime_diff('day',now(),QuickScanEndTime)
| summarize DeviceCount=count() by QuickScanAge

ตรวจสอบสถานะบริการซอฟต์แวร์ป้องกันมัลแวร์โดยใช้ CMPivot Query

ด้วย CMPivot คุณสามารถเรียกใช้แบบสอบถามเพื่อระบุสถานะของบริการซอฟต์แวร์ป้องกันมัลแวร์ได้ คุณสามารถดูได้ว่าบริการไฟร์วอลล์ Windows Defender ได้รับการติดตั้งและทำงานบนคอมพิวเตอร์ระยะไกลด้วยแบบสอบถาม CMPivot หรือไม่ ดูเพิ่มเติมเกี่ยวกับวิธีค้นหาบริการที่ติดตั้งและทำงานบนคอมพิวเตอร์ Windows ที่มี CMPivot

คุณสามารถระบุสถานะของบริการ Windows Defender ได้ด้วยตนเอง (mpssvc) โดยไปที่คอนโซลบริการและตรวจสอบสถานะบริการไฟร์วอลล์ Windows Defender ในคอมพิวเตอร์ส่วนใหญ่ บริการจะเริ่มทำงาน

เรียกใช้แบบสอบถาม CMPivot ด้านล่างเพื่อค้นหาสถานะบริการซอฟต์แวร์ป้องกันมัลแวร์

Service | where (Name == 'mpssvc') | summarize count() by Device

ในผลลัพธ์แบบสอบถามด้านล่าง เราจะเห็นคอมพิวเตอร์ที่มีบริการ Windows Defender และทำงานอยู่