FileProfile()

  • Cikk
  • 2 perc alatt elolvasható

Megjegyzés:

Szeretne Microsoft 365 Defender tapasztalni? További információ arról, hogyan értékelheti ki és tesztelheti a Microsoft 365 Defender.

Érintett szolgáltatás:

  • Microsoft 365 Defender

A FileProfile() függvény egy bővített függvény a speciális veszélyforrás-keresésben , amely a következő adatokat adja hozzá a lekérdezés által talált fájlokhoz.

Oszlop Adattípus Leírás
SHA1 string A rögzített műveletet alkalmazó fájl SHA-1 fájlja
SHA256 string A rögzített műveletet alkalmazó fájl SHA-256-os verziójának
MD5 string A rögzített műveletet alkalmazó fájl MD5-kivonata
FileSize int A fájl mérete bájtban
GlobalPrevalence int A Microsoft által globálisan megfigyelt entitás példányainak száma
GlobalFirstSeen datetime Az entitás globális megfigyelésének dátuma és időpontja
GlobalLastSeen datetime Az entitás microsoftos globális megfigyelésének dátuma és időpontja
Signer string Információk a fájl aláírójáról
Issuer string A kiállító hitelesítésszolgáltatóval (CA) kapcsolatos információk
SignerHash string Az aláírót azonosító egyedi kivonatérték
IsCertificateValid boolean Érvényes-e a fájl aláírásához használt tanúsítvány?
IsRootSignerMicrosoft boolean Azt jelzi, hogy a főtanúsítvány aláírója a Microsoft-e, és a fájl beépített-e a Windows operációs rendszerben
SignatureState string A fájlaláírás állapota: SignedValid – a fájl aláírása érvényes aláírással, SignedInvalid – a fájl aláírása, de a tanúsítvány érvénytelen, Aláíratlan – a fájl nincs aláírva, Ismeretlen – a fájlra vonatkozó információk nem kérhetők le
IsExecutable boolean Hogy a fájl egy Portable Executable (PE) fájl-e
ThreatName string Az észlelt kártevők vagy egyéb fenyegetések észlelési neve
Publisher string A fájlt közzétevő szervezet neve
SoftwareName string A szoftvertermék neve
ProfileAvailability string A fájl profiladatainak rendelkezésre állási állapotát jelzi: Elérhető – a profil lekérdezése sikeresen megtörtént, a fájladatok visszaadva, Hiányzó – a profil lekérdezése sikerült, de nem található fájlinformáció, Hiba – hiba a fájladatok lekérdezése során, vagy a lekérdezés befejezése előtt túllépte a maximális kiosztott időt, vagy üres érték – ha a fájlazonosító érvénytelen, vagy elérte a fájlok maximális számát

Szintaxis

invoke FileProfile(x,y)

Érvek

  • x – a használandó fájlazonosító oszlop: SHA1, SHA256, InitiatingProcessSHA1vagy InitiatingProcessSHA256; a függvény nem meghatározott esetekben használja SHA1
  • y – a bővítendő rekordok számának korlátozása, 1–1000; függvény 100-et használ, ha nincs meghatározva

Tipp

A bővítési függvények csak akkor jelenítik meg a kiegészítő információkat, ha elérhetők. Az információk elérhetősége változatos, és sok tényezőtől függ. Ezt mindenképpen vegye figyelembe, amikor a FileProfile() szolgáltatást használja a lekérdezésekben vagy egyéni észlelések létrehozásakor. A legjobb eredmény érdekében javasoljuk, hogy használja a FileProfile() függvényt az SHA1-zel.

Példák

Csak az SHA1 oszlop kivetítése és bővítése

DeviceFileEvents
| where isnotempty(SHA1) and Timestamp > ago(1d)
| take 10
| project SHA1
| invoke FileProfile()

Bővítse az első 500 rekordot, és sorolja fel az alacsony előfordulási gyakoriságú fájlokat

DeviceFileEvents
| where ActionType == "FileCreated" and Timestamp > ago(1d)
| project CreatedOn = Timestamp, FileName, FolderPath, SHA1
| invoke FileProfile("SHA1", 500) 
| where GlobalPrevalence < 15