Búsqueda de sitios web

Encuentre el estado del software antimalware usando CMPivot Query en SCCM

En este artículo, le mostraré cómo encontrar el estado del software antimalware mediante la consulta CMPivot en SCCM (ConfigMgr). Con CMPivot, puede obtener el estado del software antimalware instalado en las computadoras, que generalmente se recopila mediante el cmdlet Get-MpComputerStatus.

CMPivot es una nueva utilidad de consola en SCCM que ahora brinda acceso al estado en tiempo real de los dispositivos en su entorno. Las consultas basadas en KQL de CMPivot facilitan a los administradores encontrar datos importantes de los clientes. Todas estas consultas de CMPivot se pueden ejecutar de forma segura en el servidor de producción de ConfigMgr y también puede exportar los resultados a un archivo.

Con CMPivot, puede ejecutar algunas consultas básicas para verificar el estado del antimalware en una sola computadora o en una colección completa de dispositivos SCCM. Si no está utilizando Configuration Manager en su configuración, puede encontrar el estado del software antimalware ejecutando el comando Get-MpComputerStatus.

He estado explorando las consultas de CMPivot desde hace algún tiempo y las encuentro muy intrigantes. La cantidad de información que puede recopilar de máquinas remotas es simplemente extraordinaria. Si está interesado en explorar CMPivot, puede consultar todas mis publicaciones sobre consultas de ConfigMgr CMPivot.

Eche un vistazo a algunas consultas CMPivot interesantes que puede utilizar en SCCM:

  • Encuentre el número de serie de la computadora usando CMPivot
  • Encuentre aplicaciones utilizadas recientemente mediante SCCM CMPivot Query
  • Utilice la consulta CMPivot para encontrar detalles del servidor WSUS en SCCM
  • Encuentre fácilmente la versión Dot Net usando SCCM CMPivot Query
  • Encuentre el navegador predeterminado usando SCCM CMPivot Query

Ejecute el comando Get-MpComputerStatus para encontrar el estado de Antimalware

El Get-MpComputerStatus es un comando sencillo con el que puedes comprobar el estado del software antimalware en el ordenador. Si no tiene acceso a CMPivot, puede encontrar el estado antimalware ejecutando un comando simple en la computadora.

Este comando debe ejecutarse localmente en la ventana PowerShell y funciona en casi todos los sistemas operativos Windows con Defender ejecutándose. Para obtener el estado del software antimalware, abra PowerShell y ejecute el siguiente comando.

Get-MpComputerStatus

El resultado del comando Get-MpComputerStatus se pega a continuación. Vemos que el resultado incluye todos los detalles sobre las propiedades del software antimalware, como la versión del motor, el estado del componente antivirus, RealTimeProtectionEnabled, etc.

AMEngineVersion : 1.1.19700.3
AMProductVersion : 4.18.2210.4
AMRunningMode : Normal
AMServiceEnabled : True
AMServiceVersion : 4.18.2210.4
AntispywareEnabled : True
AntispywareSignatureAge : 0
AntispywareSignatureLastUpdated : 07-11-2022 06:55:09
AntispywareSignatureVersion : 1.377.1429.0
AntivirusEnabled : True
AntivirusSignatureAge : 0
AntivirusSignatureLastUpdated : 07-11-2022 06:55:09
AntivirusSignatureVersion : 1.377.1429.0
BehaviorMonitorEnabled : True
ComputerID : E3890539-D1A1-469A-90FC-247598E723
ComputerState : 0
DefenderSignaturesOutOfDate : False
DeviceControlDefaultEnforcement : Unknown
DeviceControlPoliciesLastUpdated : 07-11-2022 13:48:58
DeviceControlState : Disabled
FullScanAge : 4294967295
FullScanEndTime :
FullScanOverdue : False
FullScanRequired : False
FullScanSignatureVersion :
FullScanStartTime :
IoavProtectionEnabled : True
IsTamperProtected : True
IsVirtualMachine : True
LastFullScanSource : 0
LastQuickScanSource : 2
NISEnabled : True
NISEngineVersion : 1.1.19700.3
NISSignatureAge : 0
NISSignatureLastUpdated : 07-11-2022 06:55:09
NISSignatureVersion : 1.377.1429.0
OnAccessProtectionEnabled : True
ProductStatus : 524416
QuickScanAge : 18
QuickScanEndTime : 20-10-2022 13:10:30
QuickScanOverdue : True
QuickScanSignatureVersion : 1.377.471.0
QuickScanStartTime : 20-10-2022 13:07:54
RealTimeProtectionEnabled : True
RealTimeScanDirection : 0
RebootRequired : False
SmartAppControlExpiration :
SmartAppControlState : Off
TamperProtectionSource : Signatures
TDTMode : N/A
TDTSiloType : N/A
TDTStatus : N/A
TDTTelemetry : N/A
TroubleShootingDailyMaxQuota :
TroubleShootingDailyQuotaLeft :
TroubleShootingEndTime :
TroubleShootingExpirationLeft :
TroubleShootingMode :
TroubleShootingModeSource :
TroubleShootingQuotaResetTime :
TroubleShootingStartTime :
PSComputerName :

Encuentre el estado del software antimalware usando CMPivot en SCCM

Veamos los pasos para encontrar el estado del software antimalware mediante la consulta CMPivot en SCCM. Inicie la consola SCCM y vaya a Activos y cumplimiento > Descripción general > Colecciones de dispositivos. Elija la colección de dispositivos en la que desea ejecutar la consulta CMPivot. Haga clic derecho en la colección de dispositivos y seleccione Iniciar CMPivot.

En la herramienta CMPivot, seleccione la pestaña Consulta. Ingrese la consulta “EPStatus” y haga clic en Ejecutar consulta. El resultado de la consulta CMPivot incluye una lista de todos los detalles sobre el software antimalware, incluidas las actualizaciones de estado y firma. El resultado incluirá varios detalles y es posible que deba exportar la lista a un archivo CSV y revisar los resultados.

Nota: El comando Get-MpComputerStatus no funcionará cuando se ingresa en la ventana de consulta de CMPivot. El EPStatus es la consulta CMPivot correcta que debe utilizar para comprobar el estado del software antimalware y sus propiedades.

Consulta CMPivot para encontrar el software antimalware QuickScanAge con recuento de dispositivos

En este ejemplo, ejecutaremos una consulta CMPivot simple para encontrar la antigüedad del último escaneo rápido en días y filtrar la salida junto con el recuento de dispositivos. "Un análisis rápido analiza todas las ubicaciones donde podría haber malware registrado para iniciarse en el sistema, como claves de registro y carpetas de inicio conocidas de Windows".

Con CMPivot, puede consultar todos los dispositivos en SCCM para encontrar que la propiedad QuickScanAge muestra la cantidad de días desde que se inició el análisis rápido. En un dispositivo Windows que ejecuta el software Defender, si las firmas nunca se han actualizado, verá el valor QuickScanAge como 65535 días.

En la ventana de CMPivot, ejecute la siguiente consulta para encontrar el QuickScanAge de los dispositivos junto con el recuento total de dispositivos.

EPStatus
| project Device, QuickScanAge=datetime_diff('day',now(),QuickScanEndTime)
| summarize DeviceCount=count() by QuickScanAge

Verifique el estado del servicio de software antimalware mediante CMPivot Query

Con CMPivot, puede ejecutar una consulta para determinar el estado del servicio de software antimalware. Puede averiguar si el servicio Firewall de Windows Defender está instalado y ejecutándose en las computadoras remotas con la consulta CMPivot. Vea también cómo encontrar los servicios instalados y ejecutándose en computadoras Windows con CMPivot.

Puede determinar manualmente el estado del servicio de Windows Defender (mpssvc) yendo a la consola de servicios y verificando el estado del servicio de Firewall de Windows Defender. En la mayoría de las computadoras, el servicio está funcionando.

Ejecute la siguiente consulta CMPivot para encontrar el estado del servicio de software antimalware.

Service | where (Name == 'mpssvc') | summarize count() by Device

En el resultado de la consulta a continuación, vemos las computadoras que tienen el servicio Windows Defender en funcionamiento.

Artículos relacionados