求Microsoft Defender PUA审计数据高级狩猎查询及误判排查方法

一、PUA审计日志查询语句 #

以下是可提取PUA审计数据的高级狩猎查询，包含你需要的文件名、设备名、SHA1、威胁名称字段：

DeviceEvents
| where ActionType in ("PotentiallyUnwantedApplicationDetected", "PotentiallyUnwantedApplicationBlocked", "PotentiallyUnwantedApplicationQuarantined")
| project 
    FileName = tostring(parse_json(AdditionalFields).FileName),
    DeviceName,
    SHA1 = FileSHA1,
    ThreatName = tostring(parse_json(AdditionalFields).ThreatName)
| where isnotempty(FileName) and isnotempty(SHA1) and isnotempty(ThreatName)

该查询从DeviceEvents表中筛选所有PUA相关的检测、拦截、隔离事件，解析并提取指定字段，同时过滤掉空值记录。

二、PUA误报判断方法 #

• 确认文件来源合法性：检查文件是否来自官方软件商店、开发商官网等可信渠道，避免第三方非正规下载源的文件。
• 核实文件业务必要性：如果是团队或个人日常使用的合法工具（如开源开发工具、特定行业辅助软件），这类软件常因功能特性被误判为PUA。
• 比对威胁描述与实际功能：在Defender安全门户中查看对应ThreatName的详细标记理由，判断其是否与文件实际功能匹配。
• 多引擎哈希检测：将文件的SHA1哈希提交至主流病毒扫描平台，若仅Defender标记为PUA，基本可认定为误报。
• 隔离环境行为测试：在受控隔离环境中运行文件，观察是否存在推送广告、篡改系统设置、未授权数据收集等恶意行为，无异常则为误报。

内容的提问来源于stack exchange，提问作者shah