KRAV för ATA

Gäller för: Advanced Threat Analytics version 1.9

Den här artikeln beskriver kraven för en lyckad ATA-distribution i din miljö.

ATA består av ATA Center, ATA Gateway och/eller ATA Lightweight Gateway. Mer information om ATA-komponenterna finns i ATA-arkitekturen.

ATA-systemet fungerar på active directory-skogsgränsen och stöder FFL (Forest Functional Level) för Windows 2003 och senare.

Innan du börjar: Det här avsnittet innehåller information som du bör samla in och konton och nätverksentiteter som du bör ha innan du startar ATA-installationen.

ATA Center: Det här avsnittet innehåller en lista över maskinvara, programvarukrav och inställningar som du behöver konfigurera på ATA Center-servern.

ATA Gateway: I det här avsnittet visas maskinvaru- och programvarukrav för ATA Gateway samt inställningar som du behöver konfigurera på ATA Gateway-servrarna.

ATA Lightweight Gateway: I det här avsnittet visas maskinvaru- och programvarukraven för ATA Lightweight Gateway.

ATA-konsol: Det här avsnittet innehåller webbläsarkrav för att köra ATA-konsolen.

Innan du börjar

Det här avsnittet innehåller information som du bör samla in samt konton och nätverksentiteter som du bör ha innan du startar ATA-installationen.

• Användarkonto och lösenord med läsbehörighet till alla objekt i de övervakade domänerna.

  Obs!

  Om du har angett anpassade ACL:er för olika organisationsenheter (OU) i domänen kontrollerar du att den valda användaren har läsbehörighet till dessa organisationsenheter.

• Installera inte Microsoft Message Analyzer på en ATA Gateway eller Lightweight Gateway. Drivrutinen för Message Analyzer står i konflikt med ATA Gateway- och Lightweight Gateway-drivrutinerna. Om du kör Wireshark på ATA Gateway måste du starta om Microsoft Advanced Threat Analytics Gateway Service när du har stoppat Wireshark-avbildningen. Annars slutar gatewayen att samla in trafik. Att köra Wireshark på en ATA Lightweight Gateway stör inte ATA Lightweight Gateway.

• Rekommenderas: Användaren bör ha skrivskyddade behörigheter för containern Borttagna objekt. Detta gör att ATA kan identifiera massborttagning av objekt i domänen. Information om hur du konfigurerar skrivskyddade behörigheter för containern Borttagna objekt finns i avsnittet Ändra behörigheter för en borttagen objektcontainer i artikeln Visa eller Ange behörigheter för ett katalogobjekt .

• Valfritt: Ett användarkonto för en användare utan nätverksaktiviteter. Det här kontot kan konfigureras som en ATA Honeytoken-användare. För att konfigurera ett konto som en Honeytoken-användare krävs endast användarnamnet. Information om Honeytoken-konfiguration finns i Konfigurera IP-adressundantag och Honeytoken-användare.

• Valfritt: Förutom att samla in och analysera nätverkstrafik till och från domänkontrollanterna kan ATA använda Windows-händelserna 4776, 4732, 4733, 4728, 4729, 4756 och 4757 för att ytterligare förbättra IDENTIFIERINGar av ATA Pass-the-Hash, Brute Force, Modifiering av känsliga grupper och Honey Tokens. Dessa händelser kan tas emot från DIN SIEM eller genom att ange Vidarebefordran av Windows-händelser från domänkontrollanten. Händelser som samlas in ger ATA ytterligare information som inte är tillgänglig via domänkontrollantens nätverkstrafik.

KRAV för ATA Center

I det här avsnittet visas kraven för ATA Center.

Allmän

ATA Center stöder installation på en server som kör Windows Server 2012 R2 Windows Server 2016 och Windows Server 2019.

ATA Center kan installeras på en server som är medlem i en domän eller arbetsgrupp.

Innan du installerar ATA Center som kör Windows 2012 R2 kontrollerar du att följande uppdatering har installerats: KB2919355.

Du kan kontrollera genom att köra följande Windows PowerShell cmdlet: [Get-HotFix -Id kb2919355].

Installation av ATA Center som en virtuell dator stöds.

Serverspecifikationer

När du arbetar på en fysisk server kräver ATA-databasen att du inaktiverar NUMA (Non-Uniform Memory Access) i BIOS. Systemet kan referera till NUMA som Node Interleaving, i vilket fall du måste aktivera Node Interleaving för att inaktivera NUMA. Mer information finns i BIOS-dokumentationen.

För optimala prestanda ställer du in Energialternativet för ATA Center på Höga prestanda.
Antalet domänkontrollanter som du övervakar och belastningen på var och en av domänkontrollanterna avgör vilka serverspecifikationer som behövs. Mer information finns i ATA-kapacitetsplanering.

För Windows-operativsystemen 2008R2 och 2012 stöds inte gateway i läget För flera processorer . Mer information om gruppläge för flera processorer finns i felsökning.

Tidssynkronisering

ATA Center-servern, ATA Gateway-servrarna och domänkontrollanterna måste ha tidssynkroniserad till inom fem minuter från varandra.

Nätverkskort

Du bör ha följande uppsättning:

• Minst ett nätverkskort (om du använder en fysisk server i VLAN-miljön rekommenderar vi att du använder två nätverkskort)

• En IP-adress för kommunikation mellan ATA Center och ATA Gateway som krypteras med SSL på port 443. (ATA-tjänsten binder till alla IP-adresser som ATA Center har på port 443.)

Portar

I följande tabell visas de minsta portar som måste öppnas för att ATA Center ska fungera korrekt.

Certifikat

Om du vill installera och distribuera ATA snabbare kan du installera självsignerade certifikat under installationen. Om du har valt att använda självsignerade certifikat rekommenderar vi att du efter den första distributionen ersätter självsignerade certifikat med certifikat från en intern certifikatutfärdare som ska användas av ATA Center.

Kontrollera att ATA Center- och ATA-gatewayerna har åtkomst till din CRL-distributionsplats. Om de inte har Internetåtkomst följer du proceduren för att importera en CRL manuellt och ser till att installera alla CRL-distributionsplatser för hela kedjan.

Certifikatet måste ha:

• En privat nyckel
• En providertyp av antingen kryptografisk tjänstleverantör (CSP) eller nyckellagringsprovider (KSP)
• En offentlig nyckellängd på 2 048 bitar
• Ett värde som angetts för användningsflaggor för KeyEncipherment och ServerAuthentication
• KeySpec-värdet (KeyNumber) för "KeyExchange" (AT_KEYEXCHANGE). Värdet "Signatur" (AT_SIGNATURE) stöds inte .
• Alla gatewaydatorer måste kunna verifiera och lita på det valda Center-certifikatet fullständigt.

Du kan till exempel använda standardwebbservern eller datormallarna .

KRAV för ATA Gateway

I det här avsnittet visas kraven för ATA Gateway.

Allmän

ATA Gateway stöder installation på en server som kör Windows Server 2012 R2 eller Windows Server 2016 och Windows Server 2019 (inklusive serverkärna). ATA Gateway kan installeras på en server som är medlem i en domän eller arbetsgrupp. ATA Gateway kan användas för att övervaka domänkontrollanter med domänfunktionsnivån Windows 2003 och senare.

Innan du installerar ATA Gateway som kör Windows 2012 R2 kontrollerar du att följande uppdatering har installerats: KB2919355.

Du kan kontrollera genom att köra följande Windows PowerShell cmdlet: [Get-HotFix -Id kb2919355].

Information om hur du använder virtuella datorer med ATA Gateway finns i Konfigurera portspegling.

Serverspecifikationer

För optimala prestanda ställer du in energialternativet för ATA Gateway på Höga prestanda.
En ATA Gateway har stöd för övervakning av flera domänkontrollanter, beroende på mängden nätverkstrafik till och från domänkontrollanterna.

Mer information om dynamiskt minne eller någon annan minneshanteringsfunktion för virtuella datorer finns i Dynamiskt minne.

Mer information om maskinvarukraven för ATA Gateway finns i ATA-kapacitetsplanering.

Tidssynkronisering

ATA Center-servern, ATA Gateway-servrarna och domänkontrollanterna måste ha tidssynkroniserad till inom fem minuter från varandra.

Nätverkskort

ATA Gateway kräver minst ett hanteringskort och minst ett avbildningskort:

• Hanteringskort – används för kommunikation i företagets nätverk. Det här kortet ska konfigureras med följande inställningar:

  • Statisk IP-adress inklusive standardgateway

  • Önskade och alternativa DNS-servrar

  • DNS-suffixet för den här anslutningen ska vara DNS-namnet på domänen för varje domän som övervakas.

    

    Obs!

    Om ATA Gateway är medlem i domänen kan detta konfigureras automatiskt.

• Avbildningskort – används för att samla in trafik till och från domänkontrollanterna.

  Viktigt

  • Konfigurera portspegling för avbildningskortet som mål för domänkontrollantens nätverkstrafik. Mer information finns i Konfigurera portspegling. Vanligtvis behöver du arbeta med nätverks- eller virtualiseringsteamet för att konfigurera portspegling.
  • Konfigurera en statisk icke-dirigerbar IP-adress för din miljö utan standardgateway och inga DNS-serveradresser. Till exempel 1.1.1.1/32. Detta säkerställer att avbildningsnätverkskortet kan samla in maximal mängd trafik och att hanteringsnätverkskortet används för att skicka och ta emot nödvändig nätverkstrafik.

Portar

I följande tabell visas de minsta portar som ATA Gateway kräver konfigurerat på hanteringskortet:

KRAV för ATA Lightweight Gateway

I det här avsnittet visas kraven för ATA Lightweight Gateway.

Allmän

ATA Lightweight Gateway stöder installation på en domänkontrollant som kör Windows Server 2008 R2 SP1 (inklusive Server Core), Windows Server 2012, Windows Server 2012 R2, Windows Server 2016 och Windows Server 2019 (inklusive Core men inte Nano).

Domänkontrollanten kan vara en skrivskyddad domänkontrollant (RODC).

Innan du installerar ATA Lightweight Gateway på en domänkontrollant som kör Windows Server 2012 R2 kontrollerar du att följande uppdatering har installerats: KB2919355.

Du kan kontrollera genom att köra följande Windows PowerShell cmdlet:[Get-HotFix -Id kb2919355]

Om installationen är för Windows Server 2012 R2 Server Core bör följande uppdatering också installeras: KB3000850.

Du kan kontrollera genom att köra följande Windows PowerShell cmdlet:[Get-HotFix -Id kb3000850]

Under installationen installeras .Net Framework 4.6.1 och kan orsaka en omstart av domänkontrollanten.

Serverspecifikationer

ATA Lightweight Gateway kräver minst 2 kärnor och 6 GB RAM-minne installerat på domänkontrollanten. För optimala prestanda ställer du in energialternativet för ATA Lightweight Gateway på Höga prestanda. ATA Lightweight Gateway kan distribueras på domänkontrollanter med olika belastningar och storlekar, beroende på mängden nätverkstrafik till och från domänkontrollanterna och mängden resurser som är installerade på domänkontrollanten.

Mer information om dynamiskt minne eller någon annan minneshanteringsfunktion för virtuella datorer finns i Dynamiskt minne.

Mer information om maskinvarukraven för ATA Lightweight Gateway finns i ATA-kapacitetsplanering.

Tidssynkronisering

ATA Center-servern, ATA Lightweight Gateway-servrarna och domänkontrollanterna måste ha tid synkroniserad till inom fem minuter från varandra.

Nätverkskort

ATA Lightweight Gateway övervakar den lokala trafiken på alla domänkontrollantens nätverkskort.

Efter distributionen kan du använda ATA-konsolen om du vill ändra vilka nätverkskort som övervakas.

Portar

I följande tabell visas de minsta portar som ATA Lightweight Gateway kräver:

Dynamiskt minne

Om du kör ATA Center som en virtuell dator stänger du av servern innan du skapar en ny kontrollpunkt för att undvika eventuella skadade databaser.

ATA-konsol

Åtkomst till ATA-konsolen sker via en webbläsare och stöder webbläsare och inställningar:

• Internet Explorer version 10 och senare

• Microsoft Edge

• Google Chrome 40 och senare

• Minsta skärmbreddsupplösning på 1 700 bildpunkter

Se även

• ATA-storleksverktyget
• ATA-arkitektur
• Installera ATA
• Kolla in ATA-forumet!