Domande frequenti su ATA

Se si dispone di un Contratto Enterprise attivo, è possibile scaricare il software da Microsoft Volume Licensing Center (VLSC).

Se è stata acquisita una licenza per Enterprise Mobility + Security (EMS) direttamente tramite il portale di Microsoft 365 o tramite il modello di licenza Cloud Solution Partner (CSP) e non si ha accesso ad ATA tramite Microsoft Volume Licensing Center (VLSC), contattare il supporto tecnico Microsoft per ottenere il processo per attivare Advanced Threat Analytics (ATA).

Esaminare l'errore più recente nel log degli errori corrente (dove ATA è installato nella cartella "Logs").

È possibile simulare attività sospette che costituiscono un test end-to-end eseguendo una delle operazioni seguenti:

1. Ricognizione DNS tramite Nslookup.exe
2. Esecuzione remota tramite psexec.exe

Questa operazione deve essere eseguita in remoto sul controller di dominio monitorato e non dal gateway ATA.

Per informazioni sull'aggiornamento della versione, vedere Percorso di aggiornamento di ATA.

Per la matrice di aggiornamento della versione di ATA, vedere Percorso di aggiornamento di ATA.

Il meccanismo di rilevamento ATA viene migliorato quando viene installata una nuova versione in ATA Center. È possibile aggiornare il Centro usando Microsoft Update (MU) o scaricando manualmente la nuova versione dall'Area download o dal sito per contratti multilicenza.

È possibile inserire il codice seguente in un file e quindi eseguirlo da un prompt dei comandi nella directory: \Programmi\Microsoft Advanced Threat Analytics\Center\MongoDB\bin come indicato di seguito:

nome file ATA mongo.exe

db.getCollectionNames().forEach(function(collection) {
    if (collection.substring(0,10)=="NtlmEvent_") {
        if (db[collection].count() > 0) {
            print ("Found "+db[collection].count()+" NTLM events") 
        }
    }
});

ATA si basa sull'analisi di più protocolli di rete, nonché su eventi raccolti da SIEM o tramite Inoltro eventi di Windows. I rilevamenti basati su protocolli di rete con traffico crittografato (ad esempio, LD piattaforma di strumenti analitici e IP edizione Standard C) non verranno analizzati.

L'abilitazione della blindatura Kerberos, nota anche come FAST (Flexible Authentication Secure Tunneling), è supportata da ATA, ad eccezione del superamento del rilevamento hash che non funzionerà.

Il numero di gateway ATA dipende dal layout di rete, dal volume di pacchetti e dal volume di eventi acquisiti da ATA. Per determinare il numero esatto, vedere Ridimensionamento del gateway ATA Lightweight.

Per ogni giorno intero con una media di 1000 pacchetti/sec è necessario 0,3 GB di spazio di archiviazione. Per altre informazioni sul dimensionamento di ATA Center, vedere Pianificazione della capacità di ATA.

Ciò si verifica quando un account è membro di determinati gruppi designati come sensibili (ad esempio: "Amministrazione di dominio").

Per comprendere il motivo per cui un account è sensibile, è possibile esaminarne l'appartenenza al gruppo per comprendere a quali gruppi sensibili appartiene (anche il gruppo a cui appartiene può essere sensibile a causa di un altro gruppo, quindi lo stesso processo deve essere eseguito fino a quando non si individua il gruppo sensibile di livello più alto).

Inoltre, è possibile contrassegnare manualmente un utente, un gruppo o un computer come sensibili. Per altre informazioni, vedere Contrassegna gli account sensibili.

La maggior parte dei controller di dominio virtuali può essere coperta dal gateway ATA Lightweight per determinare se il gateway ATA Lightweight è appropriato per l'ambiente in uso, vedere Pianificazione della capacità di ATA.

Se un controller di dominio virtuale non può essere coperto dal gateway ATA Lightweight, è possibile avere un gateway ATA virtuale o fisico come descritto in Configurare il mirroring delle porte.

Il modo più semplice consiste nell'avere un gateway ATA virtuale in ogni host in cui esiste un controller di dominio virtuale. Se i controller di dominio virtuali si spostano tra host, è necessario eseguire uno dei passaggi seguenti:

• Quando il controller di dominio virtuale passa a un altro host, preconfigurare il gateway ATA in tale host per ricevere il traffico dal controller di dominio virtuale spostato di recente.
• Assicurarsi di associare il gateway ATA virtuale al controller di dominio virtuale in modo che, se spostato, il gateway ATA si sposti con esso.
• Esistono alcuni commutatori virtuali che possono inviare traffico tra host.

Fare riferimento al ripristino di emergenza di ATA

ATA rileva attacchi dannosi noti e tecniche, problemi di sicurezza e rischi. Per l'elenco completo dei rilevamenti ATA, vedere What detections does ATA perform?.

È consigliabile usare l'archiviazione veloce (i dischi RPM 7200 non sono consigliati) con accesso al disco a bassa latenza (minore di 10 ms). La configurazione RAID deve supportare carichi di scrittura pesanti (RAID-5/6 e i relativi derivati non sono consigliati).

Il gateway ATA richiede almeno due schede di rete:
1. Scheda di interfaccia di rete per connettersi alla rete interna e al Centro ATA
2. Scheda di interfaccia di rete usata per acquisire il traffico di rete del controller di dominio tramite il mirroring delle porte.
* Questo non si applica al gateway ATA Lightweight, che usa in modo nativo tutte le schede di rete usate dal controller di dominio.

ATA ha un'integrazione bidirezionale con SIEM come indicato di seguito:

1. ATA può essere configurato per inviare un avviso Syslog a qualsiasi server SIEM usando il formato CEF, quando viene rilevata un'attività sospetta.
2. ATA può essere configurato per ricevere messaggi Syslog per gli eventi di Windows da questi SIEM.

Sì, è possibile usare il gateway ATA Lightweight per monitorare i controller di dominio presenti in qualsiasi soluzione IaaS.

Microsoft Advanced Threat Analytics è un prodotto locale.

Questa soluzione è attualmente un'offerta autonoma, non fa parte dell'ID Microsoft Entra o Active Directory locale.

Con Microsoft Advanced Threat Analytics non è necessario creare regole, soglie o baseline e quindi ottimizzare. ATA analizza i comportamenti tra utenti, dispositivi e risorse, nonché la relazione tra loro, e può rilevare rapidamente attività sospette e attacchi noti. Tre settimane dopo la distribuzione, ATA inizia a rilevare attività sospette comportamentali. D'altra parte, ATA inizierà a rilevare gli attacchi dannosi noti e i problemi di sicurezza immediatamente dopo la distribuzione.

Sì, anche quando ATA viene installato dopo la violazione, ATA può comunque rilevare attività sospette dell'hacker. ATA non solo esamina il comportamento dell'utente, ma anche gli altri utenti nella mappa di sicurezza dell'organizzazione. Durante il tempo di analisi iniziale, se il comportamento dell'utente malintenzionato è anomalo, viene identificato come "outlier" e ATA continua a segnalare il comportamento anomalo. ATA può inoltre rilevare l'attività sospetta se l'hacker tenta di rubare altre credenziali utente, ad esempio Pass-the-Ticket, o tenta di eseguire un'esecuzione remota in uno dei controller di dominio.

Oltre ad analizzare il traffico di Active Directory tramite una tecnologia di ispezione approfondita dei pacchetti, ATA può anche raccogliere gli eventi rilevanti dalle informazioni di sicurezza e gestione degli eventi (SIEM) e creare profili di entità basati su informazioni provenienti da Dominio di Active Directory Services. ATA può anche raccogliere eventi dai registri eventi se l'organizzazione configura l'inoltro del registro eventi di Windows.

Noto anche come SPAN (Switched Port Analyzer), il mirroring delle porte è un metodo di monitoraggio del traffico di rete. Con il mirroring delle porte abilitato, il commutatore invia una copia di tutti i pacchetti di rete visualizzati su una porta (o un'intera VLAN) a un'altra porta, in cui è possibile analizzare il pacchetto.

Nr. ATA monitora tutti i dispositivi nella rete che eseguono richieste di autenticazione e autorizzazione su Active Directory, inclusi i dispositivi non Windows e mobili.

Sì. Poiché gli account computer (e qualsiasi altra entità) possono essere usati per eseguire attività dannose, ATA monitora il comportamento di tutti gli account computer e tutte le altre entità nell'ambiente.

Microsoft Advanced Threat Analytics supporta ambienti multidominio all'interno dello stesso limite della foresta. Più foreste richiedono una distribuzione ATA per ogni foresta.

Sì, è possibile visualizzare l'integrità complessiva della distribuzione, nonché problemi specifici relativi alla configurazione, alla connettività e così via e si viene avvisati quando si verificano.

Vedi anche

• Prerequisiti di ATA
• Pianificazione della capacità di ATA
• Configurare la raccolta di eventi
• Configurazione dell'inoltro di eventi di Windows
• Consulta il forum di ATA!