Avancerad jakt med PowerShell
Gäller för:
Vill du uppleva Microsoft Defender för Endpoint? Registrera dig för en kostnadsfri utvärderingsversion.
Anteckning
Om du är myndighetskund i USA kan du använda de URI:er som visas i Microsoft Defender för Slutpunkt för kunder inom myndigheter i USA.
Tips
För bättre prestanda kan du använda servern närmare din geografiska plats:
- api-us.securitycenter.microsoft.com
- api-eu.securitycenter.microsoft.com
- api-uk.securitycenter.microsoft.com
Kör avancerade frågor med hjälp av PowerShell, se Advanced Hunting API.
I det här avsnittet delar vi PowerShell-exempel för att hämta en token och använda den för att köra en fråga.
Innan du börjar
Först måste du skapa en app.
Förberedelseinstruktioner
Öppna ett PowerShell-fönster.
Om principen inte tillåter att du kör PowerShell-kommandon kan du köra följande kommando:
Set-ExecutionPolicy -ExecutionPolicy Bypass
Mer information finns i PowerShell-dokumentationen
Hämta token
- Kör följande:
$tenantId = '00000000-0000-0000-0000-000000000000' # Paste your own tenant ID here
$appId = '11111111-1111-1111-1111-111111111111' # Paste your own app ID here
$appSecret = '22222222-2222-2222-2222-222222222222' # Paste your own app secret here
$resourceAppIdUri = 'https://api.securitycenter.microsoft.com'
$oAuthUri = "https://login.microsoftonline.com/$TenantId/oauth2/token"
$body = [Ordered] @{
resource = "$resourceAppIdUri"
client_id = "$appId"
client_secret = "$appSecret"
grant_type = 'client_credentials'
}
$response = Invoke-RestMethod -Method Post -Uri $oAuthUri -Body $body -ErrorAction Stop
$aadToken = $response.access_token
var
- $tenantId: ID för klientorganisationen för vilken du vill köra frågan (frågan körs d.v.s. på data från den här klientorganisationen)
- $appId: ID för din Azure AD-app (appen måste ha behörigheten Kör avancerade frågor till Defender för Slutpunkt)
- $appSecret: Hemligt i Azure AD-appen
Kör fråga
Kör följande fråga:
$query = 'RegistryEvents | limit 10' # Paste your own query here
$url = "https://api.securitycenter.microsoft.com/api/advancedqueries/run"
$headers = @{
'Content-Type' = 'application/json'
Accept = 'application/json'
Authorization = "Bearer $aadToken"
}
$body = ConvertTo-Json -InputObject @{ 'Query' = $query }
$webResponse = Invoke-WebRequest -Method Post -Uri $url -Headers $headers -Body $body -ErrorAction Stop
$response = $webResponse | ConvertFrom-Json
$results = $response.Results
$schema = $response.Schema
- $results innehåller resultatet av frågan
- $schema innehåller schemat för frågeresultatet
Komplexa frågor
Om du vill köra komplexa frågor (eller flerradsfrågor) sparar du frågan i en fil och kör följande kommando i stället för den första raden i exemplet ovan:
$query = [IO.File]::ReadAllText("C:\myQuery.txt"); # Replace with the path to your file
Arbeta med frågeresultat
Nu kan du använda frågeresultatet.
Om du vill spara frågeresultatet i CSV-format i file1.csv kör du följande kommando:
$results | ConvertTo-Csv -NoTypeInformation | Set-Content file1.csv
Om du vill spara frågeresultatet i JSON-format i fil file1.json kör du följande kommando:
$results | ConvertTo-Json | Set-Content file1.json