Pré-requisitos do ATA

Aplica-se a: Advanced Threat Analytics versão 1.9

Este artigo descreve os requisitos para uma implantação bem-sucedida do ATA em seu ambiente.

O ATA é composto pelo ATA Center, o ATA Gateway e/ou o ATA Lightweight Gateway. Para obter mais informações sobre os componentes do ATA, consulte Arquitetura do ATA.

O sistema ATA funciona no limite de floresta do Ative Directory e suporta o Nível Funcional de Floresta (FFL) do Windows 2003 e superior.

Antes de começar: Esta seção lista as informações que você deve coletar e as contas e entidades de rede que você deve ter, antes de iniciar a instalação do ATA.

ATA Center: Esta seção lista o hardware do ATA Center, os requisitos de software, bem como as configurações que você precisa configurar no servidor do ATA Center.

Gateway ATA: Esta seção lista o hardware do Gateway ATA, os requisitos de software e as configurações que você precisa configurar em seus servidores Gateway ATA.

ATA Lightweight Gateway: Esta seção lista os requisitos de hardware e software do ATA Lightweight Gateway.

Console do ATA: Esta seção lista os requisitos do navegador para executar o Console do ATA.

Antes de começar

Esta seção lista as informações que você deve coletar, bem como contas e entidades de rede que você deve ter antes de iniciar a instalação do ATA.

• Conta de usuário e senha com acesso de leitura a todos os objetos nos domínios monitorados.

  Nota

  Se você tiver definido ACLs personalizadas em várias Unidades Organizacionais (UO) em seu domínio, verifique se o usuário selecionado tem permissões de leitura para essas UOs.

• Não instale o Microsoft Message Analyzer em um gateway ATA ou Lightweight Gateway. O driver do Message Analyzer entra em conflito com os drivers ATA Gateway e Lightweight Gateway. Se você executar o Wireshark no ATA Gateway, precisará reiniciar o Serviço Microsoft Advanced Threat Analytics Gateway depois de interromper a captura do Wireshark. Caso contrário, o Gateway para de capturar tráfego. A execução do Wireshark em um ATA Lightweight Gateway não interfere com o ATA Lightweight Gateway.

• Recomendado: O usuário deve ter permissões somente leitura no contêiner Objetos Excluídos. Isso permite que o ATA detete a exclusão em massa de objetos no domínio. Para obter informações sobre como configurar permissões somente leitura no contêiner Objetos Excluídos, consulte a seção Alterando permissões em um contêiner de objeto excluído no artigo Exibir ou Definir permissões em um objeto de diretório .

• Opcional: uma conta de usuário de um usuário sem atividades de rede. Esta conta é configurável como um usuário ATA Honeytoken. Para configurar uma conta como um usuário Honeytoken, apenas o nome de usuário é necessário. Para obter informações sobre a configuração do Honeytoken, consulte Configurar exclusões de endereço IP e usuário do Honeytoken.

• Opcional: Além de coletar e analisar o tráfego de rede de e para os controladores de domínio, o ATA pode usar os eventos do Windows 4776, 4732, 4733, 4728, 4729, 4756 e 4757 para aprimorar ainda mais o ATA Pass-the-Hash, Força Bruta, Modificação para grupos sensíveis e deteções de Honey Tokens. Esses eventos podem ser recebidos do seu SIEM ou definindo o Encaminhamento de Eventos do Windows do seu controlador de domínio. Os eventos recolhidos fornecem ao ATA informações adicionais que não estão disponíveis através do tráfego de rede do controlador de domínio.

Requisitos do Centro ATA

Esta seção lista os requisitos para o ATA Center.

Geral

O Centro ATA oferece suporte à instalação em um servidor que executa o Windows Server 2012 R2, Windows Server 2016 e Windows Server 2019.

O Centro do ATA pode ser instalado em um servidor que seja membro de um domínio ou grupo de trabalho.

Antes de instalar o ATA Center executando o Windows 2012 R2, confirme se a seguinte atualização foi instalada: KB2919355.

Você pode verificar executando o seguinte cmdlet do Windows PowerShell: [Get-HotFix -Id kb2919355].

Há suporte para a instalação do Centro do ATA como uma máquina virtual.

Especificações do servidor

Ao trabalhar em um servidor físico, o banco de dados ATA requer que você desabilite o acesso não uniforme à memória (NUMA) no BIOS. Seu sistema pode se referir a NUMA como Node Interleaving, caso em que você tem que ativar o Node Interleaving para desativar o NUMA. Para obter mais informações, consulte a documentação do BIOS.

Para um desempenho ideal, defina a opção de alimentação do ATA Center como Alto desempenho.
O número de controladores de domínio que você está monitorando e a carga em cada um dos controladores de domínio dita as especificações de servidor necessárias. Para obter mais informações, consulte Planejamento de capacidade do ATA.

Para os sistemas operacionais Windows 2008R2 e 2012, o Gateway não é suportado em um modo de grupo de vários processadores. Para obter mais informações sobre o modo de grupo com vários processadores, consulte solução de problemas.

Sincronização de tempo

O servidor do Centro do ATA, os servidores Gateway do ATA e os controladores de domínio devem ter o tempo sincronizado dentro de cinco minutos um do outro.

Adaptadores de rede

Você deve ter o seguinte conjunto:

• Pelo menos um adaptador de rede (se estiver usando servidor físico em ambiente VLAN, é recomendável usar dois adaptadores de rede)

• Um endereço IP para comunicação entre o Centro do ATA e o Gateway do ATA criptografado usando SSL na porta 443. (O serviço ATA liga-se a todos os endereços IP que o Centro ATA tem na porta 443.)

Portas

A tabela a seguir lista as portas mínimas que precisam ser abertas para que o Centro do ATA funcione corretamente.

Certificados

Para instalar e implantar o ATA mais rapidamente, você pode instalar certificados autoassinados durante a instalação. Se você optou por usar certificados autoassinados, após a implantação inicial, é recomendável substituir certificados autoassinados por certificados de uma Autoridade de Certificação interna a ser usada pelo Centro do ATA.

Verifique se o Centro do ATA e os Gateways do ATA têm acesso ao seu ponto de distribuição de CRL. Se eles não tiverem acesso à Internet, siga o procedimento para importar manualmente uma CRL, tendo o cuidado de instalar todos os pontos de distribuição da CRL para toda a cadeia.

O certificado deve conter:

• Uma chave privada
• Um tipo de provedor de CSP (Provedor de Serviços de Criptografia) ou KSP (Provedor de Armazenamento de Chaves)
• Um comprimento de chave pública de 2048 bits
• Um valor definido para os sinalizadores de uso KeyEncipherment e ServerAuthentication
• Valor KeySpec (KeyNumber) de "KeyExchange" (AT_KEYEXCHANGE). O valor "Assinatura" (AT_SIGNATURE) não é suportado.
• Todas as máquinas Gateway devem ser capazes de validar e confiar totalmente no certificado do Centro selecionado.

Por exemplo, você pode usar o servidor Web padrão ou modelos de computador.

Requisitos do gateway ATA

Esta seção lista os requisitos para o Gateway ATA.

Geral

O Gateway ATA suporta a instalação em um servidor que executa o Windows Server 2012 R2 ou Windows Server 2016 e Windows Server 2019 (incluindo núcleo do servidor). O Gateway ATA pode ser instalado em um servidor que seja membro de um domínio ou grupo de trabalho. O Gateway ATA pode ser usado para monitorar controladores de domínio com nível funcional de domínio do Windows 2003 e superior.

Antes de instalar o ATA Gateway executando o Windows 2012 R2, confirme se a seguinte atualização foi instalada: KB2919355.

Você pode verificar executando o seguinte cmdlet do Windows PowerShell: [Get-HotFix -Id kb2919355].

Para obter informações sobre como usar máquinas virtuais com o Gateway ATA, consulte Configurar espelhamento de porta.

Especificações do servidor

Para um desempenho ideal, defina a opção de alimentação do gateway ATA como Alto desempenho.
Um Gateway ATA pode suportar a monitorização de vários controladores de domínio, dependendo da quantidade de tráfego de rede de e para os controladores de domínio.

Para saber mais sobre memória dinâmica ou qualquer outro recurso de gerenciamento de memória de máquina virtual, consulte Memória dinâmica.

Para obter mais informações sobre os requisitos de hardware do ATA Gateway, consulte Planejamento de capacidade do ATA.

Sincronização de tempo

O servidor do Centro do ATA, os servidores Gateway do ATA e os controladores de domínio devem ter o tempo sincronizado dentro de cinco minutos um do outro.

Adaptadores de rede

O Gateway ATA requer pelo menos um adaptador de gerenciamento e pelo menos um adaptador de captura:

• Adaptador de gerenciamento - usado para comunicações em sua rede corporativa. Este adaptador deve ser configurado com as seguintes configurações:

  • Endereço IP estático, incluindo gateway padrão

  • Servidores DNS preferenciais e alternativos

  • O sufixo DNS para esta conexão deve ser o nome DNS do domínio para cada domínio que está sendo monitorado.

    

    Nota

    Se o Gateway do ATA for um membro do domínio, isso poderá ser configurado automaticamente.

• Adaptador de captura - usado para capturar o tráfego de e para os controladores de domínio.

  Importante

  • Configure o espelhamento de porta para o adaptador de captura como o destino do tráfego de rede do controlador de domínio. Para obter mais informações, consulte Configurar espelhamento de porta. Normalmente, você precisa trabalhar com a equipe de rede ou virtualização para configurar o espelhamento de portas.
  • Configure um endereço IP estático não roteável para seu ambiente sem gateway padrão e sem endereços de servidor DNS. Por exemplo, 1.1.1.1/32. Isso garante que o adaptador de rede de captura possa capturar a quantidade máxima de tráfego e que o adaptador de rede de gerenciamento seja usado para enviar e receber o tráfego de rede necessário.

Portas

A tabela a seguir lista as portas mínimas que o Gateway ATA requer configuradas no adaptador de gerenciamento:

Requisitos do ATA Lightweight Gateway

Esta seção lista os requisitos para o ATA Lightweight Gateway.

Geral

O ATA Lightweight Gateway oferece suporte à instalação em um controlador de domínio que executa o Windows Server 2008 R2 SP1 (não incluindo Server Core), Windows Server 2012, Windows Server 2012 R2, Windows Server 2016 e Windows Server 2019 (incluindo Core, mas não Nano).

O controlador de domínio pode ser um controlador de domínio somente leitura (RODC).

Antes de instalar o ATA Lightweight Gateway em um controlador de domínio que executa o Windows Server 2012 R2, confirme se a seguinte atualização foi instalada: KB2919355.

Você pode verificar executando o seguinte cmdlet do Windows PowerShell: [Get-HotFix -Id kb2919355]

Se a instalação for para o Windows Server 2012 R2 Server Core, a seguinte atualização também deve ser instalada: KB3000850.

Você pode verificar executando o seguinte cmdlet do Windows PowerShell: [Get-HotFix -Id kb3000850]

Durante a instalação, o .Net Framework 4.6.1 é instalado e pode causar uma reinicialização do controlador de domínio.

Especificações do servidor

O ATA Lightweight Gateway requer um mínimo de 2 núcleos e 6 GB de RAM instalados no controlador de domínio. Para um desempenho ideal, defina a opção de alimentação do ATA Lightweight Gateway como Alto Desempenho. O ATA Lightweight Gateway pode ser implantado em controladores de domínio de várias cargas e tamanhos, dependendo da quantidade de tráfego de rede de e para os controladores de domínio e da quantidade de recursos instalados nesse controlador de domínio.

Para saber mais sobre memória dinâmica ou qualquer outro recurso de gerenciamento de memória de máquina virtual, consulte Memória dinâmica.

Para obter mais informações sobre os requisitos de hardware do ATA Lightweight Gateway, consulte Planejamento de capacidade do ATA.

Sincronização de tempo

O servidor do ATA Center, os servidores ATA Lightweight Gateway e os controladores de domínio devem ter o tempo sincronizado dentro de cinco minutos um do outro.

Adaptadores de rede

O ATA Lightweight Gateway monitora o tráfego local em todos os adaptadores de rede do controlador de domínio.

Após a implantação, você pode usar o Console do ATA se quiser modificar quais adaptadores de rede são monitorados.

Portas

A tabela a seguir lista as portas mínimas que o ATA Lightweight Gateway requer:

Memória dinâmica

Se você executar o Centro do ATA como uma máquina virtual, desligue o servidor antes de criar um novo ponto de verificação para evitar possíveis danos ao banco de dados.

ATA Console

O acesso à Consola ATA é feito através de um browser, suportando os browsers e definições:

• Internet Explorer versão 10 e superior

• Microsoft Edge

• Google Chrome 40 e superior

• Resolução de largura de tela mínima de 1700 pixels

Consulte Também

• Ferramenta de dimensionamento ATA
• Arquitetura ATA
• Instalar o ATA
• Confira o fórum da ATA!