ConfigurationChange 테이블에 대한 쿼리

중지된 Windows 서비스

지난 30분 동안 중지된 모든 Windows 서비스를 찾습니다.

// To create an alert for this query, click '+ New alert rule'
ConfigurationChange  // (relies on the Change Tracking solution): 
| where ConfigChangeType == "WindowsServices" and SvcChangeType == "State"
| where SvcPreviousState == "Running" and SvcState == "Stopped"
| where SvcStartupType == "Auto" and TimeGenerated > ago(30m)

소프트웨어 변경 내용

Lists 소프트웨어 변경 내용이 시간별로 정렬됩니다(최신 첫 번째).

ConfigurationChange
| where ConfigChangeType == "Software"
| sort by TimeGenerated desc

서비스 변경 내용

Lists 서비스 변경 내용이 시간별로 정렬됩니다(최신 첫 번째).

ConfigurationChange
| where ConfigChangeType == "Services"
| sort by TimeGenerated desc

컴퓨터당 소프트웨어 변경 유형

컴퓨터별 소프트웨어 변경 개수.

ConfigurationChange 
| where ConfigChangeType == "Software"
| summarize AggregatedValue = count() by Computer

중지된 서비스

시간별로 정렬된 중지된 서비스 변경 내용을 Lists.

ConfigurationChange 
| where ConfigChangeType == "WindowsServices" and SvcState == "Stopped" 
| sort by TimeGenerated desc

범주당 소프트웨어 변경 횟수

변경 범주별로 소프트웨어 변경 내용을 계산합니다.

ConfigurationChange
| where ConfigChangeType == "Software"
| summarize AggregatedValue = count() by ChangeCategory

소프트웨어 변경 내용 제거

제거된 소프트웨어에 대한 변경 레코드를 표시합니다.

ConfigurationChange
| where ConfigChangeType == "Software" and ChangeCategory == "Removed"
| order by TimeGenerated desc