Microsoft Advanced Threat Analytics v1.7 の更新プログラム 1 について

適用先
Microsoft Advanced Threat Analytics (ATA)

この記事では、Microsoft Advanced Threat Analytics (ATA) v1.7 の更新プログラムについて説明します。

v1.7 以降のバージョンでは、システムに損傷を与えるため、この記事のコマンドを実行しないでください。 また、Microsoft サポート サービスまたは製品グループからの直接の指示なしに、このコマンドを変更して実行しないでください。

この更新プログラムで修正される問題

問題 1

ATA v1.6 (1.6.4103) または ATA v1.6 Update 1 (1.6.4317) から ATA v1.7 (1.7.5402) への移行は、0x80070643エラー コードで失敗します。

問題 2

ATA v1.7 (1.7.5402) に移行またはインストールした後も、ATA は、状態が「無視済み」に変更された疑わしいアクティビティの通知 (電子メール、syslog、またはイベント ログ) を引き続き生成します。

問題 3

ATA v1.7 (1.7.5402) に移行またはインストールした後、ATA によって多数の "ディレクトリ サービス列挙を使用した偵察" という疑わしいアクティベーションが生成される。

解決策

これらの問題を解決するには、「この更新プログラムの入手方法」セクションに記載されている更新プログラムをダウンロードして実行します。 この更新プログラムは、ATA を ATA 1.7 ビルド 1.7.5647 にアップグレードします。

問題 3 の場合: この更新プログラムをインストールした後は、次の手順を使用して "ディレクトリ サービス列挙を使用した偵察" の疑わしいアクティビティの検出を無効にし、ATA v1.7 ビルド 1.7.5647 にアップグレードした後に古い疑わしいアクティビティを削除できます。 手順は次のとおりです。

  1. 管理者特権のコマンド プロンプトから、次の場所に移動します。
    C:\Program Files\Microsoft Advanced ThreatAnalytics\Center\MongoDB\bin

  2. 種類 – Mongo.exe ATA。 (注: "ATA" は大文字で入力してください。)

  3. mongo コマンド プロンプトに次のコマンドを貼り付けます。

    1. 既存の疑わしいアクティビティを無視するには:

      db.SuspiciousActivity.update({_t: "SamrReconnaissanceSuspiciousActivity"}, {$set: {status: "Dismissed"}}, {multi: true})

    2. "ディレクトリ サービス列挙を使用した偵察" の疑わしいアクティビティを無効にするには:

      db.SystemProfile.update({_t:"CenterSystemProfile"},{$set:
      {"Configuration.SamrReconnaissanceDetectorConfiguration.IsEnabled":false}})

この更新プログラムの入手方法

方法 1: Microsoft Update

この更新プログラムは、Microsoft Update で入手できます。 Microsoft Update の使用方法の詳細については、「Windows Update から更新プログラムを入手する方法」を参照してください。

方法 2: Microsoft ダウンロード センター

次のファイルは、Microsoft ダウンロード センターからダウンロードできます。

ダウンロード ATA v1.7 Update 1 パッケージを今すぐダウンロードしてください。

 マイクロソフトのサポート ファイルをダウンロードする方法の詳細については、以下のサポート技術情報番号をクリックしてください。

119591 Microsoft サポート ファイルを入手する方法 オンライン サービス マイクロソフトがこのファイルのウイルス スキャンを行った場合。 配布ファイルはセキュリティで保護されたサーバー上に置かれており、権限のない第三者が無断でファイルを変更できないようになっています。 配布ファイルはセキュリティで保護されたサーバー上に置かれており、権限のない第三者が無断でファイルを変更できないようになっています。

更新プログラムの詳細情報

前提条件

この更新プログラムをインストールするには、最初に ATA v1.6 Update 1 (1.6.4317) または ATA v1.7 (1.7.5402) をインストールする必要があります。 ATA v1.6 (1.6.4103) を使用している場合は、最初に「Microsoft Advanced Threat Analytics v1.6 の更新プログラム 1 の説明」から ATA v1.6 Update 1 にアップグレードする必要があります。

レジストリ情報

この更新プログラムを適用するために、レジストリを変更する必要はありません。

再起動の必要性

この更新プログラムの適用後、コンピューターの再起動が必要になる場合があります。

更新プログラムの置き換えに関する情報

この更新プログラムを適用しても、以前にリリースされた更新プログラムが置き換えられることはありません。

追加情報

証明書が ATA 1.7 移行と互換性がない

概要

ATA v1.7 では、ATA Center では、ATA Center サービスと ATA コンソールの両方に対して 1 つの証明書が必要です。 ATA v1.6 から v1.7 にアップグレードすると、アップグレード プロセスでは、現在 IIS for the ATA コンソール用の証明書が ATA v1.7 用の証明書として取得されます。 この証明書は、ATA Center サービスと Web コンソールの両方で使用されます。 現在 IIS で使用されている証明書が KSP 証明書の場合、アップグレードは失敗し、次のメッセージが表示されます。

ATA バージョン 1.7 は、現在構成されている ATA コンソール証明書をサポートしていません。ATA Center の更新プロセスを完了できるように、KB3191777 の指示に従ってください。

解決策

ATA コンソールで使用されている証明書を切り替えるには、次の手順を実行します。

  1. ATA Center サーバーに新しい証明書 (非 KSP) をインストールします。 既存の証明書と同じサブジェクト名を使用すると、ユーザーが ATA コンソールを参照するときに問題が発生しないようにすることができます。

  2. IIS マネージャを開きます。

  3. サーバーの名前を展開し、[ サイト] を展開します。

  4. Microsoft ATA コンソール サイトを選択し、[操作] ウィンドウで [バインド] をクリックします。
     
    Microsoft ATA コンソール サイトを選択し、[操作] ウィンドウで [バインド] をクリックします

  5. [ HTTPS] を選択し、[ 編集] をクリックします。

  6. [ SSL 証明書] で、新しい証明書を選択します。

  7. すべての ATA ゲートウェイがセンターと同期するまで待ちます。

  8. ATA 1.7 アップグレードを再実行します。

    注: アップグレードを再実行する前に新しい ATA ゲートウェイをインストールする必要がある場合は、ATA ゲートウェイのインストールを実行する前に、更新された ATA ゲートウェイ パッケージを ATA センターからダウンロードする必要があります。

注: 証明書が KSP テンプレートを使用して発行されたことを確認するには、次の手順を実行します。

  1. 管理者特権でのコマンド プロンプトを開き、次のコマンドを入力します。
    certutil -store my <CertName>

  2. 出力が "プロバイダー = Microsoft ソフトウェア キー ストレージ プロバイダー" の場合は、KSP 証明書です。

    管理者コマンド プロンプト

参考資料

マイクロソフトでソフトウェア更新プログラムの説明に使用する用語集を参照してください。