azure - 查询以显示 15 天前及更长时间内丢失的关键更新和安全更新

Question

我正在尝试创建一个查询，该查询将显示 VM 上缺少的关键更新和安全更新，但仅限 15 天前或更长时间，但不是 15 天内。所以我创建了这个查询...

Update
| where Classification in ("Security Updates", "Critical Updates")
| where UpdateState == 'Needed' and Optional == false and Approved == true
| where TimeGenerated > ago(15d)
| summarize count() by Classification, Computer, _ResourceId

但是当我运行此查询时，它会提示我缺少 15 天内的更新，但我想要实现的目标是缺少 15 天前的更新。

任何贡献都将受到赞赏。谢谢

Answer 1

每天会多次报告更新事件。您需要过滤最后一个报告并检查发布日期。

Update
| where TimeGenerated > ago(1d)
| where PublishedDate < ago(15d)
| where Classification in ("Security Updates", "Critical Updates")
| where Optional == false
| summarize arg_max(TimeGenerated, Classification, UpdateState, Approved) by KBID, Computer, _ResourceId
| where UpdateState == 'Needed' and Approved == true
| summarize dcount(KBID) by Classification, Computer, _ResourceId