Esplora varie query e policy SQL OSQuery per monitorare le sessioni utente di Entra, analizzare l'utilizzo delle risorse di processo, recuperare le informazioni IP correnti e controllare la registrazione dei dispositivi in Intune, insieme alla presenza delle applicazioni e al rilevamento delle attività su diversi sistemi operativi.

Query

Ottieni un'istantanea degli utenti Entra che hanno effettuato l'accesso agli host

Compatibilità: Windows

SELECT	upn,	user,	logon_domain,	dns_domain_name,	authentication_packageFROM	logon_sessionsWHERE	upn LIKE "< your email domain here >"GROUP BY	upn

Analizza processi specifici in esecuzione per capire quanta RAM/CPU stanno consumando

Compatibilità: Mac, Windows, Linux

In questo esempio, stiamo esaminando i processi il cui nome contiene RTProtection (abbreviazione di "protezione in tempo reale", ovvero software di tipo Antivirus/EDR). Otteniamo il loro pid (ID processo), name , system_time (che dividiamo per 86400 per convertirlo in giorni), start_time (che convertiamo nel formato gg/mm/aaaa) e RAM consumata ( total_size che dividiamo per 1048576 per ottenerlo in megabyte).

SELECT	pid,	name,	ROUND((system_time / 86400), 2) AS system_time_days,	strftime('%d/%m/%Y', datetime(start_time, 'unixepoch')) AS start_time_date,	ROUND((total_size / 1048576), 2) AS total_size_mbFROM	processesWHERE	name LIKE '%RTProtection%';

Ottieni l'IP corrente dagli host

Compatibilità: Mac, Windows, Linux

SELECT	JSON_EXTRACT(result, '$.ip') AS ip,	JSON_EXTRACT(result, '$.city') AS city,	JSON_EXTRACT(result, '$.region') AS region,	JSON_EXTRACT(result, '$.country') AS countryFROM	curlWHERE	url = 'http://ipapi.co/json';

Politiche

Verificare se il dispositivo è ancora registrato in Intune

Compatibilità: Windows

Questo criterio non funzionerà se il dispositivo è ancora registrato in Intune.

SELECT 1FROM	registryWHERE	path LIKE 'HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Enrollments\%%'	AND name =  "DiscoveryServiceFullURL"	AND data NOT IN ("https://enrollment.manage.microsoft.com/enrollmentserver/discovery.svc","https://discovery.dm.microsoft.com/EnrollmentConfiguration?api-version=1.0")

Verificare la presenza delle applicazioni

Ad esempio, per installare un'applicazione se mancante.

SELECT 1 FROM apps WHERE bundle_identifier = 'your_bundle_identifier';

SELECT 1 FROM programs WHERE name LIKE '%application_name%';

Rileva se un'app è in esecuzione

SELECT	1FROM	processesWHERE	name LIKE '% process_name %';