Ce este Microsoft Advanced Threat Analytics (ATA)?

• 17.02.2021
• 3 minute de citit

• • d

  • D

  • s

  • m

  • m

In acest articol

Se aplica: Advanced Threat Analytics versiunea 1.9

Advanced Threat Analytics (ATA) este o platforma locala care va ajuta sa va protejati intreprinderea de mai multe tipuri de atacuri cibernetice avansate si amenintari din interior.

Cum functioneaza ATA

ATA utilizeaza un motor propriu de analiza a retelei pentru a captura si analiza traficul de retea de mai multe protocoale (cum ar fi Kerberos, DNS, RPC, NTLM si altele) pentru autentificare, autorizare si colectare de informatii. Aceste informatii sunt colectate de ATA prin:

• Oglindirea porturilor de la controlere de domeniu si servere DNS la gateway-ul ATA si / sau
• Implementarea unui ATA Lightweight Gateway (LGW) direct pe controlere de domeniu

ATA preia informatii din mai multe surse de date, cum ar fi jurnalele si evenimentele din reteaua dvs., pentru a afla comportamentul utilizatorilor si altor entitati din organizatie si construieste un profil comportamental despre acestia. ATA poate primi evenimente si jurnale de la:

• Integrarea SIEM
• Redirectionarea evenimentelor Windows (WEF)
• Direct din Windows Event Collector (pentru Lightweight Gateway)

Pentru mai multe informatii despre arhitectura ATA, consultati Arhitectura ATA.

Ce face ATA?

Tehnologia ATA detecteaza multiple activitati suspecte, concentrandu-se pe mai multe faze ale lantului de ucidere a atacurilor cibernetice, inclusiv:

• Recunoastere, in timpul careia atacatorii aduna informatii despre modul in care este construit mediul, care sunt diferitele active si ce entitati exista. De obicei, aici atacatorii construiesc planuri pentru urmatoarele faze de atac.
• Ciclul de miscare laterala, in timpul caruia un atacator investeste timp si efort in raspandirea suprafetei de atac in reteaua dvs.
• Dominanta domeniului (persistenta), in timpul careia un atacator capteaza informatiile care le permit sa-si reia campania folosind diferite seturi de puncte de intrare, acreditari si tehnici.

Aceste faze ale unui atac cibernetic sunt similare si previzibile, indiferent de ce tip de companie este atacata sau ce tip de informatii sunt vizate. ATA cauta trei tipuri principale de atacuri: atacuri rau intentionate, comportament anormal si probleme si riscuri de securitate.

Atacurile rau intentionate sunt detectate deterministic, cautand lista completa a tipurilor de atac cunoscute, inclusiv:

• Pass-the-Ticket (PtT)
• Pass-the-Hash (PtH)
• Overpass-the-Hash
• PAC forjat (MS14-068)
• Bilet auriu
• Replici rau intentionate
• Recunoastere
• Forta bruta
• Executie la distanta

Pentru o lista completa a detectiilor si descrierile acestora, consultati Ce activitati suspecte poate detecta ATA ?.

ATA detecteaza aceste activitati suspecte si afiseaza informatiile din consola ATA, inclusiv o viziune clara despre cine, ce, cand si cum. Dupa cum puteti vedea, monitorizand acest tablou de bord simplu si usor de utilizat, sunteti avertizat ca ATA suspecteaza ca s-a incercat un atac Pass-the-Ticket pe computerele Client 1 si Client 2 din reteaua dvs.

Comportamentul anormal este detectat de ATA utilizand analize comportamentale si folosind Machine Learning pentru a descoperi activitati discutabile si comportamente anormale la utilizatori si dispozitive din reteaua dvs., inclusiv:

• Conectari anormale
• Amenintari necunoscute
• Partajarea parolei
• Miscare laterala
• Modificarea grupurilor sensibile

Puteti vizualiza activitati suspecte de acest tip in tabloul de bord ATA. In exemplul urmator, ATA va avertizeaza cand un utilizator acceseaza patru computere care nu sunt accesate in mod obisnuit de acest utilizator, ceea ce ar putea fi un motiv de alarma.

ATA detecteaza, de asemenea , probleme si riscuri de securitate , inclusiv:

• Incredere distrusa
• Protocoale slabe
• Vulnerabilitati de protocol cunoscute

Puteti vizualiza activitati suspecte de acest tip in tabloul de bord ATA. In exemplul urmator, ATA va anunta ca exista o relatie de incredere intrerupta intre un computer din reteaua dvs. si domeniu.

Probleme cunoscute

• Daca actualizati la ATA 1.7 si imediat la ATA 1.8, fara a actualiza mai intai gateway-urile ATA, nu puteti migra la ATA 1.8. Este necesar sa actualizati mai intai toate Gateway-urile la versiunea 1.7.1 sau 1.7.2 inainte de a actualiza Centrul ATA la versiunea 1.8.

• Daca selectati optiunea de a efectua o migrare completa, poate dura foarte mult, in functie de dimensiunea bazei de date. Cand selectati optiunile de migrare, este afisat timpul estimat – luati nota de acest lucru inainte de a decide ce optiune sa selectati.

Ce urmeaza?

• Pentru mai multe informatii despre modul in care ATA se incadreaza in reteaua dvs.: arhitectura ATA

• Pentru a incepe implementarea ATA: Instalati ATA

Videoclipuri similare

• Aderarea la comunitatea de securitate
• Prezentare generala a implementarii ATA

Vezi si

Cartea de joc cu activitati suspecte ATA Consultati forumul ATA!