ความปลอดภัยทางไซเบอร์: การติดตั้ง Microsoft Advanced Threat Analytics (ATA) เวอร์ชัน 1.8

Microsoft Advanced Threat Analytics (ATA) เป็นแพลตฟอร์มที่ช่วยให้คุณสามารถปกป้องโครงสร้างพื้นฐานของคุณจากการโจมตีทางไซเบอร์ ATA กำลังใช้เครื่องมือแยกวิเคราะห์เพื่อจับการรับส่งข้อมูลเครือข่ายของโปรโตคอล เช่น Kerberos มันตรวจสอบการรับรองความถูกต้องและการอนุญาต ซึ่งสามารถทำได้ด้วยการมิเรอร์พอร์ตจาก Domain Controller และคอมพิวเตอร์ที่สำคัญอื่นๆ คุณยังสามารถปรับใช้ ATA ได้โดยตรงบนตัวควบคุมโดเมนซึ่งเรียกว่า ATA Lightweight Gateway

ATA รองรับการติดตั้งบนเซิร์ฟเวอร์ที่ใช้ Windows Server 2012 R2 หรือ Windows Server 2016

ATA สามารถตรวจจับการโจมตี เช่น Pass-the-Ticket, Pass-the-Hash, Golden Ticket, Brute-Force และอื่นๆ อีกมากมาย ในระยะสั้น:

• การโจมตีที่เป็นอันตราย
• พฤติกรรมผิดปกติ
• ปัญหาด้านความปลอดภัย

ในบทความนี้ ฉันจะติดตั้ง ATA Center บนเซิร์ฟเวอร์สมาชิกของโดเมน Active Directory ของฉัน จากนั้น Domain Controller ของฉันจะได้รับการกำหนดค่าเป็น ATA Lightweight Gateway ดังนั้นจึงไม่จำเป็นต้องใช้เซิร์ฟเวอร์เฉพาะหรือการกำหนดค่าการมิเรอร์พอร์ต เซิร์ฟเวอร์ทั้งสองรัน Windows Server 2016 ภาพหน้าจอตัวอย่างนี้จาก Microsoft Docs แสดงสิ่งที่เป็นไปได้ ในตอนท้ายของบทความ ฉันจะจำลองการลาดตระเวนผ่าน DNS

ลิงก์: https://docs.microsoft.com/de-de/advanced-threat-analytics/what-is-ata

หากต้องการดาวน์โหลด ATA รุ่นทดลองใช้ 90 วัน โปรดไปที่ลิงก์นี้:

https://www.microsoft.com/en-us/evalcenter/evaluate-microsoft-advanced-threat-analytics

การติดตั้ง ATA Center บนเซิร์ฟเวอร์สมาชิก

เรียกใช้แพ็คเกจการติดตั้ง Microsoft ATA Center

คลิกถัดไป

ยอมรับเงื่อนไขใบอนุญาต ฉันขอแนะนำอย่างยิ่งให้ตรวจสอบการอัปเดตก่อนดำเนินการต่อ

เลือกเส้นทางการติดตั้งและฐานข้อมูล หากคุณมีใบรับรอง SSL ที่ถูกต้อง ให้ระบุในขั้นตอนนี้ ฉันไม่มี ดังนั้นฉันจึงเลือกสร้างใบรับรองที่ลงนามด้วยตนเอง คลิกติดตั้ง

ความคืบหน้า …

ฉันแปลกใจที่การติดตั้งมันบนเซิร์ฟเวอร์สมาชิกของฉันรวดเร็วและง่ายดายเพียงใด

ตอนนี้คลิกที่เปิดตัว ยอมรับคำเตือนใบรับรอง

วิวดี. ?

การสร้างผู้ใช้ Active Directory ATA (การเข้าถึงแบบอ่าน)

เปลี่ยนไปใช้ตัวควบคุมโดเมนของคุณ ขั้นตอนต่อไปคือการเชื่อมต่อ ATA Center ของเรากับ AD Forest เราต้องระบุชื่อผู้ใช้และรหัสผ่าน ผู้ใช้นี้ควรมีสิทธิ์อ่านวัตถุ Active Directory ทั้งหมดเท่านั้น ผู้ใช้โดเมนโดยค่าเริ่มต้นจะมีสิทธิ์อ่านออบเจ็กต์ Active Directory

เชื่อมต่อกับ Active Directory Forest ของคุณ

ตอนนี้เปลี่ยนกลับไปที่ศูนย์ ATA ของเซิร์ฟเวอร์สมาชิก กรอกชื่อผู้ใช้ รหัสผ่าน และชื่อโดเมนของคุณ คลิกที่ทดสอบการเชื่อมต่อ

แค่นั้นแหละ. คลิกบันทึก

กำหนดค่าเกตเวย์ ATA

ขั้นตอนต่อไปคือการดาวน์โหลดการตั้งค่าเกตเวย์และกำหนดค่าเกตเวย์แรกของเรา My Domain Controller จะกลายเป็นเกตเวย์แรก ใน ATA Center คลิกที่ดาวน์โหลดการตั้งค่าเกตเวย์

บันทึกไฟล์ลงในคอมพิวเตอร์ของคุณ คัดลอกไปยังตัวควบคุมโดเมนของคุณ บนตัวควบคุมโดเมนของคุณแยกแพ็คเกจการติดตั้งและเปิด Microsoft ATA Gateway Setup.exe

เลือกภาษาของคุณแล้วคลิกถัดไป ตามที่กล่าวไว้ ฉันจะใช้ Domain Controller เป็น ATA Lightweight Gateway เลือกเส้นทางการติดตั้งแล้วคลิกติดตั้ง

การดูศูนย์ ATA อย่างรวดเร็วแสดงให้ฉันเห็นว่าเกตเวย์ได้รับการติดตั้งสำเร็จแล้วและทำการซิงค์ครั้งแรกแล้ว

คลิกที่ชื่อเกตเวย์ของคุณแล้วตรวจสอบตัวเลือก Domain synchronizer ควรตั้งค่าเป็นเปิด

ดูบริเวณที่เหมาะสม. ATA เริ่มเรียนรู้ การดำเนินการนี้อาจใช้เวลาสักครู่

เราทำเสร็จแล้ว ช่วงเวลาที่น่าตื่นเต้น เครือข่ายของฉันได้รับการตรวจสอบแล้ว

ATA และ PowerShell

มีโมดูล PowerShell สำหรับ ATA บน GitHub ฉันยังไม่ได้ลอง นี่คือลิงก์: https://github.com/Microsoft/Advanced-Threat-Analytics

อีกวิธีหนึ่งคือติดตั้งผ่าน Install-Module

Install-Module Advanced-Threat-Analytics

ดูครั้งแรก.

Get-Command -Module Advanced-Threat-Analytics | Select Name

บางทีฉันอาจจะเล่นกับคำสั่งนี้ในภายหลัง ตอนนี้ฉันต้องการทำการทดสอบครั้งแรกกับ ATA

ก้าวแรก …

การทดสอบครั้งแรกของฉันเสร็จสิ้นแล้ว นี่คือความพยายามในการถ่ายโอนโซน DNS โดยสมบูรณ์:

กิจกรรมนี้ถูกบันทึกโดย ATA ไม่กี่นาทีต่อมา ดี.

อะไรต่อไป?

ตามที่สัญญาไว้ ฉันจะเขียนประสบการณ์ของฉันกับ ATA ในภายหลังในโพสต์บล็อกอื่น เนื่องจากตอนนี้ ATA ต้องเรียนรู้และวิเคราะห์พฤติกรรมเริ่มต้นและกิจกรรมของโครงสร้างพื้นฐานของฉันเป็นระยะเวลานานขึ้น คอยติดตาม!