Microsoft Advanced Threat Analytics ATA 1.6 Yenilikler ve Kurulum

Hakan Uzuner 15/05/2016

0 6 dakika okuma süresi

Microsoft ATA Mayıs 2016 itibari ile 5 Milyon kullanıcı 10 Milyon aygıtı izleyen ve son derece popüler bir güvenlik ürünü haline gelmiştir. Ürünü bilenler için bir daha detaylandırmaya gerek yok, ilk defa duyanlar ise aşağıdaki yazıları inceleyebilir

Microsoft Advanced Threat Analytics – Bölüm 1 – What is ATA

Microsoft Advanced Threat Analytics – Bölüm 2 – Planning and Requirements

Microsoft Advanced Threat Analytics – Bölüm 3 – Deployment Guide – Lab Installation

Microsoft Advanced Threat Analytics – Bölüm 4 – Configure Event Collection

http://sozluk.cozumpark.com/goster.aspx?id=4024&kelime=Microsoft-ATA

https://channel9.msdn.com/Blogs/HakanUzuner/Microsoft-Advanced-Threat-Analytics-ATA-Nedir-Nasl-alr

Peki 1.6 sürümü ile neler geldi?

UEBA pazarının lideri olan ATA bu pazar için çıtayı yükseltmiş ve yeni standartlar belirlemiştir;

Yeni Saldırı Tespitleri

Kötü niyetli kişiler her geçen gün saldırı teknikleri ve yöntemlerini değiştirdiği için ATA da bu alanda özellikle saldırganların yeni yöneldikleri alanları tespit edebilmektedir.

Reconnaissance via Net Session enumeration

DC, GPO özelliği nedeni ile bir file server gibi hizmer vermekte olup istemciler GPO ayarlarını almak için SMB üzerinden DC lere bağlanmaktadır. Kötü niyetli kişiler keşif çalışmasında bu alanı kullanıp DC’ den o andaki tüm session’ lar için kullanıcı adı ve ip bilgisi isteyebilirler.

Compromised credentials via Malicious Replication Request

Benzer şekilde yine kötü niyetli kişiler düzenli olarak replikasyon yapan DC’ ler için bu trafiği manipüle edip buradan kullanıcı şifre bilgilerini alabilirler.

Compromised Credentials via Malicious DPAPI Request

Data Protection API (DPAPI), şifre temelli bir veri koruma servisidir. Bu veri koruma servisi pek çok uygulama tarafından kullanılmaktadır kullanıcı kimlik bilgisini saklamak için kullanılır ( Örneğin bir web sitesi giriş şifresi veya bir dosya paylaşımına erişim için kullancak şifre gibi). Ek olarak bu servis olası bir şifre kaybına karşın gizlenmiş verilerin tekrar erişilmesi için bir kurtarma anahtarı sunar. Kötü niyetli kişiler bu kurtarma anahtarını ele geçirebilir ve bu durumda şifre bilgilerinide edinmiş olurlar

Yeni Dağıtım Seçeneği

ATA Lightweight Gateway sayesinde on-prem veya Iaas modeli çalışan Domain ortamlarınızda özel bir sunucu ya da port yönlendirmesi olmadan ATA Gateway kurabilirsiniz. Domain Controller makine üzerine direkt olarak kurulan bu servis sayesinde artık port yönlendirme ihtiyacı ortadan kalkmaktadır. DC üzerine kurulan bu servis DC üzerindeki kaynakların kullanımını da otomatik olarak ayarlamaktadır. Bu sayede mevcut DC üzerinde çalışan servisler veya hizmetler bundan etkilenmez. Ek olarak bu yeni model sayesinde uzak ofislerde özellikle kaynak yetersizliği veya port yönlendirme imkânı olmayan durumlar için kolay dağıtım sağlar.

Bu yeni servis modelinden sonra mimari artık aşağıdaki gibi değişmiştir

Eskiden olduğu gibi yine ATA Center ve ATA Gateway olmasına karşın artık isterseniz port yönlendirme ile ATA Gateway kurmak yerine DC üzerine ATA Lightweight Gateway kurabilirsiniz. İsterseniz bu iki modeli de aynı anda kullanabilirsiniz. Yani merkez site içerisinde ATA Gateway kullanırken uzak ofislerde port yönlendirme veya ek GW sunucusu için kaynak olmaması durumunda ATA Lightweight Gateway kurabilirsiniz.

Ancak bu modelde önemli olan DC üzerinde yeterli bilgisayar gücü olması.

Yukarıda gördüğünüz gibi DC %30 kaynak kullanırken birden bu %60 olur ise bu durumda ATA GW kaynaklarını sınırlamaktadır, fakat bu durumda izlenen trafikte kayıplar olacaktır.

ATA Gateway için bundan önceki makalelerimde sizing yani gerekli olan makine yapılandırma ayarlarını paylaşmıştım, isterseniz bu bilgiye aşağıdaki link üzerinden ulaşabilirsiniz

https://docs.microsoft.com/en-us/advanced-threat-analytics/plan-design/ata-capacity-planning

Yine bu link içerisinde ATA L-Gateway kurulumu içinde gerekli olan kaynakları görebilirsiniz

Performans ve Ölçekleme

1.6 sürümü ile artık daha performanslı çalışan ATA özellikle eski sürüme göre veri depolama alanında 5 kat daha az yer istemektedir. Performans tarafındaki iyileştirme özellikle tespit etme motorunda ( detection engine ) gerçekleştirilmiş olup bu sayede çok büyük yapılarda dahi sorunsuz bir şekilde ürünü kullanabilirsiniz.

Otomatik Update Desteği

Güvenlik alanında güncelleme çok önemli olduğu için ATA artık WSUS; SCCM veya Windows Update üzerinden otomatik olarak güncellenebilecektir. Bu sayede yeni özellikleri kazanmak için elle indirme yükleme yapmaya gerek yoktur. İlk olarak ATA Center yükseltildikten sonra yine konfigürasyon yapılmış ise ATA Gateway makineleri de otomatik olarak yükseltilecektir.

3 Parti Program Entegrasyonu

Malum ATA için SIEM önemli bir ürün olup mevcut SIEM ürünü üzerinden log alabilir ve bunu tespitlerinde kullanabilirken benzer şekilde kendi sonularını da bir SIEM ile paylaşabilir. Bu konuda hali hazırda çalıştığı SIEM ürünlerine ek olarak bu sürümde IBM QRADAR ile entegre çalışmaktadır. ( bir önceki sürüm hali hazırda RSA Security Analytics, HP Arcsight ve Splunk ile entegre çalışıyordu)

Peki, kurulum adımlarına geçelim.

Kurulum öncesi malum ortamınız için hazırlıkları bundan önceki makalelerimi inceleyerek edinebilirsiniz.

Microsoft Advanced Threat Analytics – Bölüm 2 – Planning and Requirements

Not: Eğer ATA 1.6 ile beraber gelen servis bazlı Gateway kurmak istiyorsanız yukarıdaki gereksinimlerde bulunan port yönlendirmelere ihtiyacınız yoktur.

Daha fazla kurulum öncesi gereksinim bilgisi için aşağıdaki linki kullanabilirsiniz

https://docs.microsoft.com/en-us/advanced-threat-analytics/deploy-use/preinstall-ata

Ürünü Microsoft Volume Licensing Service Center, TechNet Evaluation Center veya MSDN üzerinden indirebilirsiniz.

Ben TechNet linki paylaşıyorum

https://www.microsoft.com/en-us/evalcenter/evaluate-microsoft-advanced-threat-analytics

Ürünü indirdikten sonra ilk olarak Center kurulumu için hazırladığımız makinede kurulumu başlatıyoruz.

Eski sürüme göre ilk göze çarpan özellikle Windows Update ile otomatik güncelleme alması. Bizde tabiki bunu seçip ilerliyoruz.

Bu ekran 1.5 sürümü ile aynı olup detayları aşağıdaki gibidir;

Öncelikle ATA Center kurulacak olan makinede tek Ethernet iki ip olması gerekliydi, bunu bir önceki makalemde paylaşmıştım. Benim 10.0.1.105 ve 10.0.1.106 ip adreslerim hazır.

ATA Center Service IP address: Port

ATA Gateway ve Center görüşmesi için kullanılacak olan servis ip adresi ve port numarasıdır.

ATA Console IP Address

ATA web ara yüzü hizmeti için kullanılacak olan ip adresidir.

Her iki ip adresi için güvenlik iletişimi sağlamak adına sertifika temin edilebilir. Ben demo ortamına kurulum yaptığım için self signed sertifika kullanacağım.

Kurulum sonrasında ilk olarak servisleri kontrol edebilirsiniz, “Microsoft Advanced Threat Analytics Center” servisi çalışıyor olmalıdır. Hemen sonrasında browser yardımı ile ATA Center’ a giriş yapabilirsiniz.

Ek olarak veri tabanı servisini kontrol edebilirsiniz

Kurulum sonrasında karşımıza aşağıdaki gibi ayar ekranı çıkacaktır

Eğer bu ekran çıkmaz ise aşağıdaki gibi ulaşabilirsiniz.

Bu ekrana Domain erişim bilgilerini tanımlayınız. Kullanıcı standart bir domain kullanıcı hesabı seçebilirsiniz. Bu hesap güvenlik nedeni ile ATA ve benzeri bir isim içermemelidir. Yine bunu servis hesabı olarak kullanabilirsiniz, bu nedenle bu hesabı ek olarak ATA makinesinde local admin yapınız.

Not: ben demo ortamı olduğu için administrator hesabı ile bağlantı kuruyorum.

Bu ayarları yaptıktan sonra ek olarak aşağıdaki gibi bir seçenek göreceksiniz

Bu seçenek sayesinde ATA center yeni bir yükseltme aldığında otomatik olarak GW makineleri de yükseltilecektir.

Bu işlemi tamamladıktan sonra ATA Gateway makinesine gidip ATA Center URL adresinden GW yükleme dosyasını indirmemiz gerekiyor.

Bu yükleme adımını iki şekilde gerçekleştirebiliriz. Eğer ATA GW için ayrı bir makine ayarladınız ve port yönlendirme yaptıysanız bu durumda öncelikle o makinede aşağıdaki yamanın yüklü olduğunu kontrol ediniz

KB2919355

Daha sonra ATA Center üzerinden yükleme dosyasını indiriniz

Bunun için konfigürasyon bölümünden ATA Gateway sekmesine tıklıyoruz

İndirdiğimiz bu dosya aynı zamanda ATA Lightweight Gateway yükleme dosyasıdır, yani bu dosyayı bir DC ye yüklemeniz halinde ek bir GW makinesine gerek olmayacaktır ( ilgili DC için ).

İndirme işleminden sonra yükleme adımları aşağıdaki gibidir;

Yukarıda gördüğünüz gibi yükleme yöneticisi şu anda DC olmayan ayrı bir makinede yükleme yaptığımızı fark etti ve bize böyle bir yükleme için port yönlendirme gerektiğini hatırlatıyor.

Yükleme için ATA Center makinesindeki bir lokal admin kullanıcısı gerekli ki bunu domain de ki bir servis hesabını kullanarak gerçekleştirebiliriz.

Yükleme sonrasında tekrar ATA Center’ a bağlanıyoruz.

ATA GW için açıklayıcı bir tanımlama yapıyoruz, dinlediğimiz domain controller makinelerinin FQDN bilgisi yazıyoruz, capture yani port yönlendirilmiş olan interface’ i seçiyoruz.

Not: port yönlendirmeden emin olmak için aşağıdaki makaledeki gibi Network Monitor ile paketleri kontrol etmeniz gereklidir

https://docs.microsoft.com/en-us/advanced-threat-analytics/deploy-use/validate-port-mirroring

Domain synchronizer candidate seçeneği ise, bir ATA GW makinesini AD ile eşitleme konusunda sorumlu yapabiliriz ( kullanıcı, grup üyelikleri, foto, şifre değiştirme tarihi vb). Aslında bunu birkaç GW makinesi içinde yapabiliriz, ancak uzak site içerisinde bulunan GW makineleri için varsayılan olarak açık gelen bu ayarı kapatmanızı tavsiye ederim.

Eğer sistem sorunsuz çalışıyor ise 5dk gibi kısa bir sürede hem servis çalışacak (Microsoft Advanced Threat Analytics Gateway) hem de benim lab ortamımda olduğu gibi ortamınız hakkında sağ üst köşede bilgi verecektir

Not: sorun oluşması durumunda bu dizindeki log dosyasını kontrol edebilirsiniz

“%programfiles%\Microsoft Advanced Threat Analytics\Gateway\Logs”

Bu son ayar ile temel kurulum tamamlanmış oldu. Ek olarak VPN network tanımlanması, Honeytoken user dediğimiz tuzak kullanıcı SID girişi ve Event Log işlemleri için aşağıdaki makaleyi inceleyebilirsiniz

Microsoft Advanced Threat Analytics – Bölüm 3 – Deployment Guide – Lab Installation

Microsoft Advanced Threat Analytics – Bölüm 4 – Configure Event Collection

Diğer bir GW kurma yöntemi ise DC üzerine kurulumdur. Yani GW için ayrı bir makine ayarlamak yerine DC üzerine kurulum yapabilirsiniz. Aynı yükleme dosyasını DC üzerinde çalıştırın

Not: yükleme .NET 4.6.1 ister ve yükler, bu nedenle böyle bir değişiklik sonucunda DC’ nin yeniden başlaması istenecektir. Hem değişiklik yapmak noktasında hem de yeniden başlatma noktasında temkinli olunuz.