什么是PSMDATP

這篇文章主要介紹“什么是PSMDATP”，在日常操作中，相信很多人在什么是PSMDATP問(wèn)題上存在疑惑，小編查閱了各式資料，整理出簡(jiǎn)單好用的操作方法，希望對(duì)大家解答”什么是PSMDATP”的疑惑有所幫助！接下來(lái)，請(qǐng)跟著小編一起來(lái)學(xué)習(xí)吧！

PSMDATP

PSMDATP是一款針對(duì)Microsoft Defender ATP的PowerShell管理模塊，這個(gè)工具本質(zhì)上來(lái)說(shuō)是一個(gè)易于使用的命令行工具，廣大研究人員可以使用PSMDATP來(lái)訪問(wèn)和使用 Microsoft Defender Advanced Threat Protection（MDATP） API。

這個(gè)工具是一個(gè)針對(duì)MDATP的PowerShell模塊，它的主要特性如下：

• 可以幫助大家提升PowerShell技術(shù)；

• 提供了一種更加簡(jiǎn)單的方法并通過(guò)PowerShell來(lái)與MDATP進(jìn)行交互，并自動(dòng)化實(shí)現(xiàn)某些任務(wù)；

工具要求

• Windows PowerShell 5.1；

• 通過(guò)在AzureAD中注冊(cè)應(yīng)用程序配置訪問(wèn)授權(quán)；

應(yīng)用程序權(quán)限

下面給出的是我們必須授權(quán)的應(yīng)用程序權(quán)限列表樣例：

工具下載

廣大研究人員可以使用下列命令將該項(xiàng)目源碼克隆至本地：

git clone https://github.com/alexverboon/PSMDATP.git

工具使用

如需使用該功能模塊，我們可以打開(kāi)PowerShell命令行終端，然后通過(guò)PSGallery來(lái)安裝該模塊，安裝命令如下：

Install-Module PSMDATP -Scope CurrentUser

應(yīng)用程序注冊(cè)

初始配置

當(dāng)你安裝好該工具并在AzureAD中注冊(cè)好應(yīng)用程序之后，你將會(huì)在該項(xiàng)目的Module文件夾中看到一個(gè)名為T(mén)EMPLATE_PoshMTPconfig.json的文件。現(xiàn)在，我們需要將該文件改名為PoshMTPConfig.json，然后在其中輸入API設(shè)置。接下來(lái)，將該文件拷貝到Module文件夾下的主路徑。

配置樣例：

"C:\Users\User1\Documents\WindowsPowerShell\Modules\PSMDATP"

───PSMDATP

│   │   PoshMTPconfig.json

│   │

│   └───0.0.2

│           PSMDATP.psd1

│           PSMDATP.psm1

│           TEMPLATE_PoshMTPconfig.json

當(dāng)前版本的PSMDATP PowerShell模塊進(jìn)要求提供API_MDATP信息：

{

    "API_MDATP":  {

                      "AppName":  "WindowsDefenderATPPSMDATP",

                      "OAuthUri":  "https://login.windows.net/<YOUR TENANT ID>/oauth3/token",

                      "ClientID":  "CLIENT ID",

                      "ClientSecret":  "<CLIENT SECRET>"

                  },

    "API_MSGRAPH":  {

                        "AppName":  "xMSGraph",

                        "OAuthUri":  "https://login.windows.net/<YOUR TENANT ID>/oauth3/token",

                        "ClientID":  "<CLIENT ID>",

                        "ClientSecret":  "<CLIENT SECRET>"

                    }

}

工具使用樣例

枚舉已包含的命令行工具

首先，我們可以使用下列命令查看PSMDATP模塊所包含的命令行工具：

get-command -Module PSMDATP | Select Name

命令執(zhí)行結(jié)果如下：

Add-MDATPDeviceTag

Add-MDATPIndicator{

Get-MDATPAlert

Get-MDATPCollectionPackageUri

Get-MDATPDevice

Get-MDATPDeviceAction

Get-MDATPDeviceTag

Get-MDATPIndicator

Get-MDATPInvestigation

Get-MDATPQuery

Get-MDATPTvmRecommendation

Get-MDATPTvmVulnerability

Remove-MDATPDevice

Remove-MDATPDeviceTag

Remove-MDATPIndicator

Start-MDATPAppRestriction

Start-MDATPAVScan

Start-MDATPInvestigation

Start-MDATPInvestigationPackageCollection

Start-MDATPIsolation

Stop-MDATPAppRestriction

Stop-MDATPIsolation

獲取MDATP警報(bào)

運(yùn)行下列命令即可獲取過(guò)去30天內(nèi)所有接收到的MDATP警報(bào)：

Get-MDATPAlert -PastHours 720

枚舉MDATP設(shè)備

運(yùn)行下列命令即可列舉所有MDATP注冊(cè)的設(shè)備：

Get-MDATPDevice -All

到此，關(guān)于“什么是PSMDATP”的學(xué)習(xí)就結(jié)束了，希望能夠解決大家的疑惑。理論與實(shí)踐的搭配能更好的幫助大家學(xué)習(xí)，快去試試吧！若想繼續(xù)學(xué)習(xí)更多相關(guān)知識(shí)，請(qǐng)繼續(xù)關(guān)注億速云網(wǎng)站，小編會(huì)繼續(xù)努力為大家?guī)?lái)更多實(shí)用的文章！