Pré-requisitos ATA

Aplica-se a: Advanced Threat Analytics versão 1.9

Este artigo descreve os requisitos para uma implementação bem-sucedida do ATA no seu ambiente.

A ATA é composta pelo ATA Center, pelo ATA Gateway e/ou pelo ATA Lightweight Gateway. Para mais informações sobre os componentes ATA, veja arquitetura ATA.

O Sistema ATA funciona no limite da floresta do Active Directory e suporta o Nível Funcional da Floresta (FFL) do Windows 2003 e versões posteriores.

Antes de começar: Esta secção lista informações que deve recolher e as contas e entidades de rede que deve ter, antes de iniciar a instalação do ATA.

ATA Center: Esta secção lista o hardware, os requisitos de software e as definições que precisa de configurar no seu servidor ATA Center.

ATA Gateway: Esta secção lista o hardware, os requisitos de software e as definições que precisa de configurar nos seus servidores ATA Gateway.

ATA Lightweight Gateway: Esta secção lista os requisitos de hardware e software do ATA Lightweight Gateway.

Consola ATA: Esta secção lista os requisitos do navegador para correr a Consola ATA.

Antes de começar

Esta secção lista informações que deve recolher, bem como contas e entidades de rede que deve ter antes de iniciar a instalação do ATA.

• Conta de utilizador e palavra-passe com acesso de leitura a todos os objetos nos domínios monitorizados.

  Observação

  Se tiver ACLs personalizadas definidas em várias Unidades Organizacionais (OU) no seu domínio, certifique-se de que o utilizador selecionado tem permissões de leitura para essas OUs.

• Não instale o Microsoft Message Analyzer num Gateway ATA ou Gateway Leve. O driver Message Analyzer entra em conflito com os drivers ATA Gateway e Lightweight Gateway. Se executares o Wireshark no ATA Gateway, terás de reiniciar o serviço Microsoft Advanced Threat Analytics Gateway depois de parares a captura do Wireshark. Caso contrário, o Gateway deixa de capturar tráfego. Executar o Wireshark num gateway ATA Lightweight não interfere no gateway ATA Lightweight.

• Recomendado: O utilizador deve ter permissões de apenas leitura no contentor de Objetos Eliminados. Isto permite ao ATA detetar eliminação em massa de objetos no domínio. Para informações sobre a configuração de permissões de só leitura no contentor de Objetos Eliminados, consulte a secção Alterar permissões num contentor de objeto eliminado no artigo Visualizar ou Definir permissões num Objeto de Diretório .

• Opcional: Uma conta de utilizador de um utilizador sem atividades de rede. Esta conta pode ser configurada como utilizador ATA Honeytoken. Para configurar uma conta como utilizador Honeytoken, é necessário apenas o nome de utilizador. Para informações de configuração do Honeytoken, veja Configurar exclusões de endereços IP e utilizador do Honeytoken.

• Opcional: Para além de recolher e analisar o tráfego de rede para e dos controladores de domínio, o ATA pode usar os eventos Windows 4776, 4732, 4733, 4728, 4729, 4756 e 4757 para melhorar ainda mais o ATA Pass-the-Hash, Brute Force, Modificação a grupos sensíveis e deteções de Honey Tokens. Estes eventos podem ser recebidos do seu SIEM ou configurando o Encaminhamento de Eventos do Windows a partir do seu controlador de domínio. Os eventos recolhidos fornecem ao ATA informação adicional que não está disponível através do tráfego de rede do controlador de domínio.

Requisitos do Centro ATA

Esta secção lista os requisitos para o ATA Center.

General

O ATA Center suporta a instalação num servidor que executa Windows Server 2012, R2, Windows Server 2016 e Windows Server 2019.

O Centro ATA pode ser instalado num servidor que seja membro de um domínio ou grupo de trabalho.

Antes de instalar o ATA Center que está a executar o Windows 2012 R2, confirme que a seguinte atualização foi instalada: KB2919355.

Pode verificar executando o seguinte Windows cmdlet PowerShell: [Get-HotFix -Id kb2919355].

A instalação do ATA Center como máquina virtual é suportada.

Especificações do servidor

Ao trabalhar num servidor físico, a base de dados ATA exige que desative o acesso à memória não uniforme (NUMA) na BIOS. O seu sistema pode referir-se a NUMA como Intercalação de Nós, caso no qual deve ativar a Intercalação de Nós para poder desativar o NUMA. Para mais informações, consulte a documentação da sua BIOS.

Para um desempenho ótimo, defina a Opção de Energia do Centro ATA para Alto Desempenho.
O número de controladores de domínio que estás a monitorizar e a carga em cada um deles determinam as especificações do servidor necessárias. Para mais informações, consulte o planeamento de capacidade do ATA.

Para os sistemas operativos Windows 2008R2 e 2012, o Gateway não é suportado no modo Multi Processor Group. Para mais informações sobre o modo de grupo multiprocessador, consulte resolução de problemas.

Sincronização de tempo

O servidor ATA Center, os servidores ATA Gateway e os controladores de domínio devem ter o tempo sincronizado com uma diferença de cinco minutos entre si.

Adaptadores de rede

Deves ter o seguinte conjunto:

• Pelo menos um adaptador de rede (se estiver a usar servidor físico num ambiente VLAN, recomenda-se usar dois adaptadores de rede)

• Um endereço IP para comunicação entre o Centro ATA e o Gateway ATA que é encriptado usando SSL na porta 443. (O serviço ATA associa-se a todos os endereços IP que o ATA Center tem na porta 443.)

Portas

A tabela seguinte lista as portas mínimas que têm de ser abertas para que o ATA Center funcione corretamente.

Certificados

Para instalar e implementar o ATA mais rapidamente, pode instalar certificados auto-assinados durante a instalação. Se optou por usar certificados autoassinados, após a implementação inicial recomenda-se substituir certificados autoassinados por certificados de uma Autoridade de Certificação interna para serem usados pelo ATA Center.

Certifique-se de que o ATA Center e os gateways ATA têm acesso ao seu ponto de distribuição CRL. Se não tiverem acesso à Internet, siga o procedimento para importar manualmente um CRL, tendo o cuidado de instalar todos os pontos de distribuição CRL para toda a cadeia.

O certificado deve ter:

• Uma chave privada
• Um tipo de fornecedor de Fornecedor de Serviços Criptográficos (CSP) ou Fornecedor de Armazenamento de Chaves (KSP)
• Um comprimento de chave pública de 2.048 bits
• Um conjunto de valores para as flags de utilização de CifragemDeChave e AutenticaçãoDoServidor
• Valor de KeySpec (KeyNumber) para "KeyExchange" (AT_KEYEXCHANGE). O valor "Assinatura" (AT_SIGNATURE) não é* suportado.
• Todas as máquinas Gateway devem ser capazes de validar e confiar totalmente no certificado Center selecionado.

Por exemplo, pode usar os modelos padrão de servidor Web ou de computador .

Requisitos do Gateway ATA

Esta secção lista os requisitos para o Gateway ATA.

General

O Gateway ATA suporta a instalação num servidor a correr Windows Server 2012 R2 ou Windows Server 2016 e Windows Server 2019 (incluindo núcleo de servidor). O gateway ATA pode ser instalado num servidor que seja membro de um domínio ou grupo de trabalho. O Gateway ATA pode ser usado para monitorizar Controladores de Domínio com Nível Funcional de Domínio do Windows 2003 e superiores.

Antes de instalar o ATA Gateway com o Windows 2012 R2, confirme que a seguinte atualização foi instalada: KB2919355.

Pode verificar executando o seguinte Windows cmdlet PowerShell: [Get-HotFix -Id kb2919355].

Para informações sobre a utilização de máquinas virtuais com o Gateway ATA, consulte Configurar espelhamento de portas.

Especificações do servidor

Para um desempenho ótimo, defina a Opção de Energia do Gateway ATA para Alto Desempenho.
Um gateway ATA pode suportar a monitorização de múltiplos controladores de domínio, dependendo da quantidade de tráfego de rede para e para os controladores de domínio.

Para saber mais sobre memória dinâmica ou qualquer outra funcionalidade de gestão de memória em máquinas virtuais, consulte Memória dinâmica.

Para mais informações sobre os requisitos de hardware do Gateway ATA, consulte o planeamento de capacidade do ATA.

Sincronização de tempo

O servidor ATA Center, os servidores ATA Gateway e os controladores de domínio devem ter o tempo sincronizado com uma diferença de cinco minutos entre si.

Adaptadores de rede

O Gateway ATA requer pelo menos um adaptador de gestão e pelo menos um adaptador de captura:

• Adaptador de gestão - usado para comunicações na sua rede corporativa. Este adaptador deve ser configurado com as seguintes definições:

  • Endereço IP estático, incluindo gateway predefinido

  • Servidores DNS preferenciais e alternativos

  • O sufixo DNS para esta ligação deve ser o nome DNS do domínio de cada domínio monitorizado.

    

    Observação

    Se o Gateway ATA for membro do domínio, isto pode ser configurado automaticamente.

• Adaptador de captura - usado para captar tráfego de e para os controladores de domínio.

  Importante

  • Configure o espelhamento de portas para o adaptador de captura como destino do tráfego de rede do controlador de domínio. Para obter mais informações, veja Configurar o espelhamento de porta. Normalmente, é necessário trabalhar com a equipa de redes ou virtualização para configurar o espelhamento de portas.
  • Configura um endereço IP estático e não encaminhável para o teu ambiente, sem gateway predefinido e sem endereços de servidor DNS. Por exemplo, 1.1.1.1/32. Isto garante que o adaptador de rede de captura pode captar a quantidade máxima de tráfego e que o adaptador de rede de gestão é usado para enviar e receber o tráfego de rede necessário.

Portas

A tabela seguinte lista as portas mínimas que o ATA Gateway requer configuradas no adaptador de gestão:

Requisitos do ATA Lightweight Gateway

Esta secção lista os requisitos para o ATA Lightweight Gateway.

General

O ATA Lightweight Gateway suporta a instalação num controlador de domínio a correr Windows Server 2008 R2 SP1 (excluindo Server Core), Windows Server 2012, Windows Server 2012 R2, Windows Server 2016 e Windows Server 2019 (incluindo o Core mas não o Nano).

O controlador de domínio pode ser um controlador de domínio de apenas leitura (RODC).

Antes de instalar o ATA Lightweight Gateway num controlador de domínio a correr Windows Server 2012 R2, confirme que a seguinte atualização foi instalada: KB2919355.

Pode verificar executando o seguinte Windows cmdlet PowerShell: [Get-HotFix -Id kb2919355]

Se a instalação for para Windows Server Server 2012 R2 Server Core, a seguinte atualização deve também ser instalada: KB3000850.

Pode verificar executando o seguinte Windows cmdlet PowerShell: [Get-HotFix -Id kb3000850]

Durante a instalação, o .NET Framework 4.6.1 é instalado e pode causar um reinício do controlador de domínio.

Especificações do servidor

O ATA Lightweight Gateway requer um mínimo de dois núcleos e 6 GB de RAM instalados no controlador de domínio. Para um desempenho ótimo, defina a Opção de Energia do Gateway Leve ATA para Alto Desempenho. O ATA Lightweight Gateway pode ser implementado em controladores de domínio de várias cargas e tamanhos, dependendo da quantidade de tráfego de rede para e dos controladores de domínio e da quantidade de recursos instalados nesse controlador de domínio.

Para saber mais sobre memória dinâmica ou qualquer outra funcionalidade de gestão de memória em máquinas virtuais, consulte Memória dinâmica.

Para mais informações sobre os requisitos de hardware do Gateway Leve do ATA, consulte o planeamento de capacidade do ATA.

Sincronização de tempo

O servidor ATA Center, os servidores ATA Lightweight Gateway e os controladores de domínio devem ter o tempo sincronizado com um intervalo de cinco minutos entre si.

Adaptadores de rede

O ATA Lightweight Gateway monitoriza o tráfego local em todos os adaptadores de rede do controlador de domínio.

Após a implementação, pode usar a Consola ATA se quiser modificar quais os adaptadores de rede monitorizados.

Portas

A tabela seguinte lista as portas mínimas que o ATA Lightweight Gateway exige:

Memória dinâmica

Se executar o ATA Center como uma máquina virtual, desligue o servidor antes de criar um novo checkpoint para evitar uma possível corrupção na base de dados.

Consola ATA

O acesso à Consola ATA é feito através de um navegador, que suporta os navegadores e definições:

• Internet Explorer versão 10 e superiores

• Microsoft Edge

• Google Chrome 40 e superiores

• Resolução mínima de largura do ecrã de 1.700 pixels

Ver também

• Ferramenta de dimensionamento ATA
• Arquitetura ATA
• Instalar ATA
• Veja o fórum do ATA!