什么是PSMDATP

這篇文章主要介紹“什么是PSMDATP”，在日常操作中，相信很多人在什么是PSMDATP問題上存在疑惑，小編查閱了各式資料，整理出簡單好用的操作方法，希望對大家解答”什么是PSMDATP”的疑惑有所幫助！接下來，請跟著小編一起來學習吧！

PSMDATP

PSMDATP是一款針對Microsoft Defender ATP的PowerShell管理模塊，這個工具本質上來說是一個易于使用的命令行工具，廣大研究人員可以使用PSMDATP來訪問和使用 Microsoft Defender Advanced Threat Protection（MDATP） API。

這個工具是一個針對MDATP的PowerShell模塊，它的主要特性如下：

• 可以幫助大家提升PowerShell技術；

• 提供了一種更加簡單的方法并通過PowerShell來與MDATP進行交互，并自動化實現某些任務；

工具要求

• Windows PowerShell 5.1；

• 通過在AzureAD中注冊應用程序配置訪問授權；

應用程序權限

下面給出的是我們必須授權的應用程序權限列表樣例：

工具下載

廣大研究人員可以使用下列命令將該項目源碼克隆至本地：

git clone https://github.com/alexverboon/PSMDATP.git

工具使用

如需使用該功能模塊，我們可以打開PowerShell命令行終端，然后通過PSGallery來安裝該模塊，安裝命令如下：

Install-Module PSMDATP -Scope CurrentUser

應用程序注冊

初始配置

當你安裝好該工具并在AzureAD中注冊好應用程序之后，你將會在該項目的Module文件夾中看到一個名為TEMPLATE_PoshMTPconfig.json的文件。現在，我們需要將該文件改名為PoshMTPConfig.json，然后在其中輸入API設置。接下來，將該文件拷貝到Module文件夾下的主路徑。

配置樣例：

"C:\Users\User1\Documents\WindowsPowerShell\Modules\PSMDATP"

───PSMDATP

│   │   PoshMTPconfig.json

│   │

│   └───0.0.2

│           PSMDATP.psd1

│           PSMDATP.psm1

│           TEMPLATE_PoshMTPconfig.json

當前版本的PSMDATP PowerShell模塊進要求提供API_MDATP信息：

{

    "API_MDATP":  {

                      "AppName":  "WindowsDefenderATPPSMDATP",

                      "OAuthUri":  "https://login.windows.net/<YOUR TENANT ID>/oauth3/token",

                      "ClientID":  "CLIENT ID",

                      "ClientSecret":  "<CLIENT SECRET>"

                  },

    "API_MSGRAPH":  {

                        "AppName":  "xMSGraph",

                        "OAuthUri":  "https://login.windows.net/<YOUR TENANT ID>/oauth3/token",

                        "ClientID":  "<CLIENT ID>",

                        "ClientSecret":  "<CLIENT SECRET>"

                    }

}

工具使用樣例

枚舉已包含的命令行工具

首先，我們可以使用下列命令查看PSMDATP模塊所包含的命令行工具：

get-command -Module PSMDATP | Select Name

命令執行結果如下：

Add-MDATPDeviceTag

Add-MDATPIndicator{

Get-MDATPAlert

Get-MDATPCollectionPackageUri

Get-MDATPDevice

Get-MDATPDeviceAction

Get-MDATPDeviceTag

Get-MDATPIndicator

Get-MDATPInvestigation

Get-MDATPQuery

Get-MDATPTvmRecommendation

Get-MDATPTvmVulnerability

Remove-MDATPDevice

Remove-MDATPDeviceTag

Remove-MDATPIndicator

Start-MDATPAppRestriction

Start-MDATPAVScan

Start-MDATPInvestigation

Start-MDATPInvestigationPackageCollection

Start-MDATPIsolation

Stop-MDATPAppRestriction

Stop-MDATPIsolation

獲取MDATP警報

運行下列命令即可獲取過去30天內所有接收到的MDATP警報：

Get-MDATPAlert -PastHours 720

枚舉MDATP設備

運行下列命令即可列舉所有MDATP注冊的設備：

Get-MDATPDevice -All

到此，關于“什么是PSMDATP”的學習就結束了，希望能夠解決大家的疑惑。理論與實踐的搭配能更好的幫助大家學習，快去試試吧！若想繼續學習更多相關知識，請繼續關注億速云網站，小編會繼續努力為大家帶來更多實用的文章！