Microsoft Advanced Threat Analytics

Microsoft ATA est un produit permettant de détecter les attaques en profondeur et d'avertir le personnel en cas d'attaque. Il est constaté qu'une attaque en cours peut être mené durant plus de 200 jours avant d'être détecter!!! Microsoft ATA effectu une analyse comportementale des comptes sur le réseau. Pour cela, il a besoin de trois semaines d'analyse avant d'être pleinement opérationnel.

Ses atouts sont principalement:

Décèle les activité suspectes dans le système et établi des profils. Microsoft ATA est capable d'identifier les attaques avancées et connues.
Microsoft ATA apprend continuellement des utilisateurs et ressources et il s'adapte aux modifications de la société
Génère des rapports clairs en identifiant clairement qui a fait quoi où et comment. Il fournit des conseils face à la menace.
Microsoft ATA limite les fausses alertes en regroupant les activités suspectes de manière contextuelle pour vérifier leurs agissements.

Préparation

La première chose a éffectuer avant tout oubli et de mettre en miroir les ports sur les contrôleurs de domaine en concordance avec le serveur ATA.

La machine Microsoft ATA devra necessairement avoir 2 cartes réseaux

Editez les paramètres de la VM ATA et sur la carte réseau effectuant la capture, allez dans les fonctionnalités avancées de la dite carte et définissez le mode de mise en mirroir sur "Destination".

ata26

Editez les paramètres de la VM contrôleur de domaine et sur la carte réseau effectuant la capture, allez dans les fonctionnalités avancées de la dite carte et définissez le mode de mise en mirroir sur "Source".

ata27

Installation

Avant de procéder à l'installation proprement dite, Microsoft recommande de mettre à jour le serveur et notament d'installer la mise à jour KB2934520 sur les serveurs ATA, faute de quoi un redémarrage sera requi lors de l'installation de Microsoft Advanced Threat Analytics.

Une fois téléchargé dans le centre d'évaluation technet,Lancez l'installation...

L'assistant d'installation installe et paramètre les éléments suivants:

Internet Information Services (IIS)
Une base de donnée MongoDB
Le centre de service ATA ainsi que la console de gestion IIS ATA
Les compteurs de performances ATA
Les certificats auto-signés si sélectionnés lors de l'installation

Si jamais vous rencontrez un problème lors de l'installation, le journal ce trouve dans %programfiles%\Microsoft Advanced Threat Analytics\Center\Logs.

Le poste microsoft ATA dispose de deux IPs fixe, 192.168.2.11 et 192.168.2.12

L'installation de Microsoft Advanced Threat Analytics devra s'effectuer avec un compte d'utilisateur de domaine classique ayant les droits d'administration locale du serveur Microsoft ATA. Dans mon cas, ce compte est nommé "analytic"

Lancez l'installation

ata19

ata20

Acceptez le contrat

ata21

Soit vous avez déployer un certificat SSL comme moi et vous pourrez le récupérer.

Soit vous sélectionnerez l'option "Créer un certificat auto-signé"

ata22

ata23

ata24

ata25

L'installation ne prend que 5 minutes, vous pouvez vous loguez avec le compte "analytic"

ata1

Installation de la passerelle ATA

A présent, vous allez devoir installer la passerelle ATA dont son rôle est de faire la liaison entre votre domaine et Microsoft ATA.

Avant de procéder à l'installation de la passerelle ATA, assurez-vous de la présence de la mise à jour kb2919355 à l'aide de la commande powershell suivante:

Get-HotFix -Id kb2919355

Lassistant d'installation va paramétrer les éléments suivants:

Le service passerell ATA
Microsoft Visual C++ 2013 Redistributable
Les compteurs de performances

Vérifiez que :

Le premier contrôleur de domaine ne soit pas un RODC. Les RODC ne doivent être ajoutés qu'a l'issue d'une première synchronisation réussie.
Au moins un des contrôleur de domaine présent dans la liste doit être un serveur de catalogue globale.
Renseignez un compte du domaine. Vous pouvez reprendre le compte créé précédement pour installer Microsoft ATA.

Après avoir cliqué sur le lien de téléchargement, dézippez le fichier est lancez l'installation de la passerelle.

ata4

ata6

L'assistant vous guide

ata7

Renseignez la partie certificat et login

ata8

ata9

Maintenant que la passerelle est installée, il reste à la configurée.

ata10

Renseignez les différents contrôleurs de domaines ainsi que la carte réseau pour laquelle vous avez configuré la mise en miroir des ports. Ici, ma carte réseau à deux IPs...

ata11