Intune-Anomalien mit Cognitive Services – Teil 3

Update 06.09.2026: Dies ist eine historische Anleitung für Azure Anomaly Detector. Laut Microsoft-Abkündigung wird der Dienst am 1. Oktober 2026 eingestellt. Baue keine neue Abhängigkeit darauf auf; prüfe bestehende Workloads und plane einen unterstützten Ersatz.

Willkommen zum dritten Teil meiner Serie, in der ich Wege beschreibe, um proaktive Benachrichtigungen zu erhalten, wenn etwas in deiner Umgebung ein Problem bzw. einen Fehler hat. Damit dieses Monitoring nicht mit statischen Werten arbeitet, nutze ich Azure Cognitive Services (jetzt Azure AI Services), um Anomalien per Machine Learning zu erkennen. In diesem Blog werfen wir einen Blick auf die Bluescreen-Erkennung in der Endpoint Analytics Startup performance. Hier möchten wir benachrichtigt werden, wenn eine ungewöhnliche Anzahl von Geräten während der Erkennung einen Bluescreen oder ein Problem meldet.

Wie haben wir die Daten erhalten

Auf der Seite Startup performance > Restart frequency erhalten wir alle Informationen, die wir benötigen. Ich habe das Tool Graph X-Ray verwendet, um herauszufinden, welcher Graph-Endpunkt mir diese Informationen liefert. Übrigens: Dieses Tool ist sehr zu empfehlen; es macht die Suche nach Graph-Aufrufen sehr einfach. Schauen wir uns also den Aufruf im Graph Explorer genauer an und passen ihn an.

Sieht genau nach dem aus, was wir brauchen. Wir haben hier einen Verlauf und erhalten die Information über die durchschnittliche Anzahl der Bluescreens of Death pro Gerät sowie den prozentualen Anteil der BSODs an den Neustartgründen.

Schauen wir uns dann an, wie wir mit Azure Automation, Azure AI Services und PowerShell eine proaktive Anomalie-Erkennung aufbauen können.

Bereitstellung des Azure AI Services Anomaly Detectors

• Öffne das Azure Portal und suche nach Anomaly detectors

• Klicke auf + Create

• Wähle eine Subscription und eine Resource group
• Wähle eine Region und gib den Name des Anomaly Detectors ein
• Wähle den Preis-Tier (für Tests ist Free F0 ausreichend)

• Klicke auf Create

Teams-WebHook-URL abrufen

• Erstelle einen MS Teams Kanal und füge den Webhook-Connector hinzu

• 

• 

• 

• 

• 

• 

• 

• 

• 

• 

• 

• 

• Kopiere die WebHook-URL

App-Registrierung erstellen

• Suche nach Microsoft Entra ID

• Wähle App registration

• Wähle +New registration

• Gib einen Name ein und klicke auf Register

• Klicke auf API permissions und +Add a permission

• Wähle Microsoft Graph

• Wähle Application permissions

• Suche nach DeviceManagementManagedDevices.Read.All

• Klicke auf Grant admin consent for *** und bestätige mit Yes

• Wähle Certificates & secrets und klicke auf +New client secret

• Gib eine Description ein und wähle eine Expires time
• Klicke auf Add

• Kopiere und speichere den Value und die Secret ID

Automation Account erstellen

• Suche nach Automation Accounts

• Klicke auf + Create

• Wähle eine Subscription und eine Resource group
• Gib einen account name ein und wähle eine Region
• Klicke auf Next

• Klicke auf Next

• Klicke auf Next -> Next -> Create

Das Runbook erstellen

• Öffne den Automation Account
• Navigiere zu Variables und klicke auf + Add a variable

• Füge den Secret Value, die TenantId, den AnomalyKey, die WebHookUri und die App ID als Variable hinzu

• 

• 

• 

• 

• 

• 

• 

• 

• 

• 

• Wähle Runbooks

• Klicke auf + Create a runbook

• Gib einen Name ein
• Wähle PowerShell als Runbook type
• Wähle 5.1 als Runtime version
• Klicke auf Create

• Füge das Skript aus meinem Github-Repository ein
• Bearbeite die Variable $anomalyEndpoint (füge hier deinen Endpunkt aus der Azure AI Services Ressource ein)

Hinweis: Wenn du die Empfindlichkeit der Anomalie-Erkennung ändern möchtest, kannst du folgende Attribute anpassen:

• maxAnomalyRatio: Die maximale Anzahl an Anomalien, die im Verhältnis zur Gesamtzahl der Datenpunkte erkannt werden soll.
  - sensitivity: Gib einen niedrigeren Wert an, damit weniger Anomalien akzeptiert werden

• Speichere und teste das Skript

• Klicke auf Publish

• Navigiere zu Schedules und klicke auf + Add a schedule

• Klicke auf Link to schedule und füge den erstellten schedule hinzu

Fazit

Bei einem vermehrten Auftreten von Bluescreens of Death ist es wichtig, so früh wie möglich informiert zu werden, damit du direkt reagieren und die Ursache identifizieren kannst, z. B. ein fehlerhaftes Treiber-Update, und es sofort stoppen oder beheben kannst. Ich hoffe, dieser Blog hat dir geholfen, eine solche Monitoring-Lösung aufzubauen, damit du frühzeitig benachrichtigt wirst und rechtzeitig reagieren kannst.

Bleib gesund, Cheers
Jannik