In diesem Artikel wird ein Update für Microsoft Microsoft Advanced Threat Analytics (ATA) v1.7 beschrieben.
Führen Sie den Befehl in diesem Artikel NICHT in Versionen aus, die höher sind als v1.7, da dies dem System schadet. Versuchen Sie auch nicht, diesen Befehl zu ändern und ohne direkte Anweisungen von Microsoft-Support oder der Produktgruppe auszuführen.
Durch dieses Update behobene Probleme
Problem 1
Die Migration von ATA v1.6 (1.6.4103) oder ATA v1.6 Update 1 (1.6.4317) zu ATA v1.7 (1.7.5402) schlägt mit einem 0x80070643 Fehlercode fehl.
Problem 2
Nach der Migration zu oder Installation von ATA v1.7 (1.7.5402) generiert ATA weiterhin Benachrichtigungen (E-Mail, Syslog oder Ereignisprotokolle) für verdächtige Aktivitäten, deren Status in "Verworfen" geändert wurde.
Ausgabe 3
ATA generiert eine große Anzahl von verdächtigen Aktivierungen "Reconnaissance using directory services enumeration", nachdem Sie zu ATA v1.7 (1.7.5402) migriert oder installiert haben.
Lösung
Laden Sie das im Abschnitt "Beziehen dieses Updates" beschriebene Update herunter, und führen Sie es aus, um diese Probleme zu beheben. Das Update aktualisiert ATA auf ATA 1.7 Build 1.7.5647.
Für Problem 3: Nach der Installation dieses Updates können Sie das folgende Verfahren verwenden, um die Erkennung verdächtiger Aktivitäten "Reconnaissance mithilfe von Verzeichnisdienstenumeration" zu deaktivieren und die alten verdächtigen Aktivitäten nach dem Upgrade auf ATA v1.7 Build 1.7.5647 zu entfernen. Führen Sie hierzu die folgenden Schritte aus:
Navigieren Sie an einer Eingabeaufforderung mit erhöhten Rechten zum folgenden Speicherort:
C:\Program Files\Microsoft Advanced ThreatAnalytics\Center\MongoDB\binTyp – Mongo.exe ATA. (Beachten Sie, dass "ATA" in Großbuchstaben geschrieben werden muss.)
Fügen Sie die folgenden Befehle in die mongo-Eingabeaufforderung ein.
So schließen Sie die vorhandenen verdächtigen Aktivitäten:
db. SuspiciousActivity.update({_t: "SamrReconnaissanceSuspiciousActivity"}, {$set: {Status: "Dismissed"}}, {multi: true})
So deaktivieren Sie die verdächtige Aktivität "Reconnaissance mithilfe von Verzeichnisdienste-Enumeration":
db. SystemProfile.update({_t:"CenterSystemProfile"},{$set:
{"Configuration.SamrReconnaissanceDetectorConfiguration.IsEnabled":false}})
So erhalten Sie dieses Update
Methode 1: Microsoft Update
Dieses Update ist über Microsoft Update erhältlich. Weitere Informationen zur Verwendung von Microsoft Update finden Sie unter Beziehen von Updates über Windows Update.
Methode 2: Microsoft Download Center
Die folgende Datei steht im Microsoft Download Center zum Download zur Verfügung:
Laden Sie das ATA v1.7 Update 1-Paket jetzt herunter.
Weitere Informationen zum Herunterladen von Microsoft-Support-Dateien finden Sie im folgenden Artikel der Microsoft Knowledge Base:
119591 So erhalten Sie Microsoft-Supportdateien von Onlinedienste Microsoft hat diese Datei auf Viren überprüft. Dazu wurde die neueste Software zur Virenerkennung verwendet, die zum Zeitpunkt der Bereitstellung verfügbar war. Die Datei befindet sich auf Servern mit verstärkter Sicherheit, wodurch nicht autorisierte Änderungen an der Datei weitestgehend verhindert werden.
Detaillierte Informationen zum Update
Voraussetzungen
Um dieses Update zu installieren, sollten Sie zunächst ATA v1.6 mit Update 1 (1.6.4317) oder ATA v1.7 (1.7.5402) installieren. Wenn Sie ATA v1.6 (1.6.4103) haben, müssen Sie zuerst ein Upgrade auf ATA v1.6 Update 1 über die Beschreibung von Update 1 für Microsoft Advanced Threat Analytics v1.6 durchführen.
Registrierungsinformationen
Sie müssen keine Änderungen an der Registrierung vornehmen, um das Update anzuwenden.
Neustartanforderung
Sie müssen den Computer nach der Installation des Updates möglicherweise neu starten.
Informationen zur Ersetzung von Updates
Dieses Update ersetzt kein zuvor veröffentlichtes Update.
Weitere Informationen
Zertifikat ist nicht kompatibel mit ATA 1.7-Migration
Einführung
In ATA v1.7 erfordert das ATA Center ein Zertifikat sowohl für den ATA Center-Dienst als auch für die ATA-Konsole. Wenn Sie ein Upgrade von ATA v1.6 auf v1.7 durchführen, wird das Zertifikat, das derzeit von IIS für die ATA-Konsole verwendet wird, als Zertifikat für ATA v1.7 verwendet. Dieses Zertifikat wird sowohl vom ATA Center-Dienst als auch von der Webkonsole verwendet. Wenn das derzeit von IIS verwendete Zertifikat ein KSP-Zertifikat ist, schlägt das Upgrade mit der folgenden Meldung fehl:
ATA Version 1.7 unterstützt das aktuell konfigurierte ATA-Konsolenzertifikat nicht. Befolgen Sie die Anweisungen in KB3191777, um den ATA Center-Updateprozess abschließen zu können.
Lösung
Führen Sie die folgenden Schritte aus, um das von der ATA-Konsole verwendete Zertifikat zu wechseln:
Installieren Sie das neue Zertifikat (nicht KSP) auf dem ATA Center-Server. Sie können den gleichen Antragstellernamen wie im vorhandenen Zertifikat verwenden, um Probleme beim Navigieren von Benutzern zur ATA-Konsole zu vermeiden.
Öffnen Sie den IIS-Manager.
Erweitern Sie den Namen des Servers und dann Sites.
Wählen Sie die Microsoft ATA-Konsolenwebsite aus, und klicken Sie dann im Bereich "Aktionen" auf "Bindungen".
Wählen Sie HTTPS aus, und klicken Sie dann auf Bearbeiten.
Wählen Sie unter SSL-Zertifikat das neue Zertifikat aus.
Warten Sie, bis alle ATA-Gateways mit dem Center synchronisiert wurden.
Führen Sie das ATA 1.7-Upgrade erneut aus.
Hinweis: Wenn Sie ein neues ATA-Gateway installieren müssen, bevor Sie das Upgrade erneut ausführen, müssen Sie das aktualisierte ATA-Gateway-Paket aus dem ATA-Center herunterladen, bevor Sie die ATA-Gateway-Installation ausführen.
Hinweis: Um zu überprüfen, ob das Zertifikat mithilfe einer KSP-Vorlage ausgestellt wurde, gehen Sie wie folgt vor:
Öffnen Sie eine Eingabeaufforderung mit erhöhten Rechten, und geben Sie Folgendes ein:
certutil -store my <CertName>Wenn die Ausgabe "Anbieter = Microsoft Software Key Storage Provider" lautet, handelt es sich um ein KSP-Zertifikat.
Referenzmaterial
Informieren Sie sich über die Terminologie, die Microsoft zum Beschreiben von Softwareupdates verwendet.