Erkunden Sie verschiedene OSQuery SQL-Abfragen und -Richtlinien zur Überwachung von Entra-Benutzersitzungen, zur Analyse der Prozessressourcennutzung, zum Abrufen aktueller IP-Informationen und zur Überprüfung der Geräteregistrierung in Intune sowie zur Erkennung der Anwendungspräsenz und -aktivität über verschiedene Betriebssysteme hinweg.

Anfragen

Erhalten Sie eine Momentaufnahme davon, welche Entra-Benutzer an den Hosts angemeldet sind.

Kompatibilität: Windows

SELECT	upn,	user,	logon_domain,	dns_domain_name,	authentication_packageFROM	logon_sessionsWHERE	upn LIKE "< your email domain here >"GROUP BY	upn

Analysieren Sie die laufenden Prozesse, um zu verstehen, wie viel RAM/CPU sie verbrauchen.

Kompatibilität: Mac, Windows, Linux

In diesem Beispiel betrachten wir Prozesse, deren Name RTProtection (Abkürzung für „Real-Time Protection“, auch bekannt als Antiviren-/EDR-Software) enthält. Wir ermitteln deren Prozess-ID ( pid ), name , system_time (geteilt durch 86400 zur Umrechnung in Tage), start_time (umgerechnet in das Format TT/MM/JJJJ) und den belegten Arbeitsspeicher ( total_size , geteilt durch 1048576 zur Angabe in Megabyte).

SELECT	pid,	name,	ROUND((system_time / 86400), 2) AS system_time_days,	strftime('%d/%m/%Y', datetime(start_time, 'unixepoch')) AS start_time_date,	ROUND((total_size / 1048576), 2) AS total_size_mbFROM	processesWHERE	name LIKE '%RTProtection%';

Aktuelle IP-Adresse vom Host abrufen

Kompatibilität: Mac, Windows, Linux

SELECT	JSON_EXTRACT(result, '$.ip') AS ip,	JSON_EXTRACT(result, '$.city') AS city,	JSON_EXTRACT(result, '$.region') AS region,	JSON_EXTRACT(result, '$.country') AS countryFROM	curlWHERE	url = 'http://ipapi.co/json';

Richtlinien

Prüfen Sie, ob das Gerät noch bei Intune registriert ist.

Kompatibilität: Windows

Diese Richtlinie schlägt fehl, wenn das Gerät noch bei Intune registriert ist.

SELECT 1FROM	registryWHERE	path LIKE 'HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Enrollments\%%'	AND name =  "DiscoveryServiceFullURL"	AND data NOT IN ("https://enrollment.manage.microsoft.com/enrollmentserver/discovery.svc","https://discovery.dm.microsoft.com/EnrollmentConfiguration?api-version=1.0")

Prüfen Sie, ob Anwendungen vorhanden sind.

Zum Beispiel, um eine Anwendung zu installieren, falls diese fehlt.

SELECT 1 FROM apps WHERE bundle_identifier = 'your_bundle_identifier';

SELECT 1 FROM programs WHERE name LIKE '%application_name%';

Erkennen, ob eine App ausgeführt wird

SELECT	1FROM	processesWHERE	name LIKE '% process_name %';