บทความนี้อธิบายถึงการปรับปรุงสำหรับ Microsoft ขั้นสูงคุกคาม Analytics (ATA) v1.7
รันคำสั่งในบทความนี้ในรุ่นที่ใหม่กว่า v1.7 ขณะนี้เสียระบบ นอกจากนี้ อย่าพยายามเปลี่ยนคำสั่งนี้ และเรียกใช้ โดยไม่มีคำสั่งโดยตรงจาก กลุ่มผลิตภัณฑ์หรือการบริการสนับสนุนของ Microsoft
ปัญหาที่ได้รับการแก้ไขในการปรับปรุงนี้
ปัญหาที่ 1
การโยกย้ายจาก ATA v1.6 (1.6.4103) หรือ v1.6 ATA Update 1 (1.6.4317) v1.7 ATA (1.7.5402) ล้มเหลว ด้วยรหัสข้อผิดพลาด 0x80070643
ปัญหาที่ 2
หลังจากที่คุณย้ายไป หรือ v1.7 ATA ติดตั้ง (1.7.5402), ATA ยังสร้างการแจ้งเตือน (อีเมล syslog หรือบันทึกเหตุการณ์) สำหรับกิจกรรมที่น่าสงสัยที่มีสถานะถูกเปลี่ยนเป็น "dismissed"
ปัญหาที่ 3
ATA สร้าง "Reconnaissance ใช้การแจงนับของบริการไดเรกทอรี" จำนวนมากน่าสงสัยเปิดใช้งานหลังจากที่คุณย้ายไป หรือติดตั้ง ATA v1.7 (1.7.5402)
การแก้ปัญหา
เมื่อต้องการแก้ไขปัญหาเหล่านี้ ดาวน์โหลด และเรียกใช้การปรับปรุงที่อธิบายไว้ในส่วน "วิธีการรับการปรับปรุงนี้" รุ่นปรับปรุง ATA เพื่อ ATA 1.7 สร้าง 1.7.5647
สำหรับปัญหาที่ 3: หลังจากที่คุณติดตั้งโปรแกรมปรับปรุงนี้ คุณสามารถใช้ขั้นตอนต่อไปนี้ เพื่อปิดใช้งานการตรวจพบกิจกรรมที่น่าสงสัย "Reconnaissance ใช้การแจงนับของบริการไดเรกทอรี" และลบกิจกรรมที่น่าสงสัยเก่าหลังจากที่คุณปรับรุ่นเป็น ATA v1.7 build 1.7.5647. เมื่อต้องการทำเช่นนี้ ให้ทำตามขั้นตอนเหล่านี้:
-
จากพร้อมท์คำสั่ง นำทางไปยังตำแหน่งที่ตั้งต่อไปนี้:
C:\Program Files\Microsoft ที่คุกคามAnalytics\Center\MongoDB\binขั้นสูง
-
ชนิด – Mongo.exe ATA (หมายเหตุ"ATA" ต้องเป็นตัวพิมพ์ใหญ่)
-
วางคำสั่งต่อไปนี้ในพร้อมท์คำสั่ง mongo
-
เมื่อต้องการยกเลิกกิจกรรมที่น่าสงสัยที่มีอยู่:
ฐานข้อมูล SuspiciousActivity.update ({ _t: "SamrReconnaissanceSuspiciousActivity" }, { $set: {สถานะ: "ปิด"} }, {หลายรายการ: true })
-
เมื่อต้องการปิดกิจกรรมที่น่าสงสัย "Reconnaissance ใช้การแจงนับของบริการไดเรกทอรี":
db.SystemProfile.update({_t:"CenterSystemProfile"},{$set:
{"Configuration.SamrReconnaissanceDetectorConfiguration.IsEnabled":false}})
-
วิธีการรับการปรับปรุงนี้
วิธีที่ 1: Microsoft Update
โปรแกรมปรับปรุงนี้จะพร้อมใช้งานบน Microsoft Update สำหรับข้อมูลเพิ่มเติมเกี่ยวกับวิธีการใช้ Microsoft Update ดูวิธีการรับการปรับปรุงผ่าน Windows Update
วิธีที่ 2: ศูนย์ดาวน์โหลดของ Microsoft
แฟ้มต่อไปนี้จะสามารถดาวน์โหลดได้จากศูนย์ดาวน์โหลดของ Microsoft:
สำหรับข้อมูลเพิ่มเติมเกี่ยวกับวิธีการดาวน์โหลดแฟ้มสนับสนุนของ Microsoft ให้คลิกหมายเลขบทความต่อไปนี้เพื่อดูบทความในฐานความรู้ของ Microsoft:
119591วิธีการขอรับแฟ้มสนับสนุนของ Microsoft จากบริการออนไลน์Microsoft สแกนแฟ้มนี้เพื่อหาไวรัสแล้ว Microsoft ใช้ซอฟต์แวร์ตรวจสอบไวรัสที่เป็นปัจจุบันที่สุดซึ่งพร้อมใช้งานตั้งแต่วันที่ซึ่งมีการประกาศแฟ้มนี้ แฟ้มนี้ถูกจัดเก็บไว้ในเซิร์ฟเวอร์ที่เพิ่มการรักษาความปลอดภัยซึ่งช่วยป้องกันการเปลี่ยนแปลงใด ๆ ที่ไม่ได้รับอนุญาตต่อแฟ้มดังกล่าว
ข้อมูลรายละเอียดการปรับปรุง
ข้อกำหนดเบื้องต้น
เมื่อต้องการติดตั้งโปรแกรมปรับปรุงนี้ คุณควรติดตั้ง ATA v1.6 กับการปรับปรุง 1 (1.6.4317) หรือ ATA v1.7 (1.7.5402) ถ้าคุณมี ATA v1.6 (1.6.4103), คุณต้องก่อนปรับให้ v1.6 ATA 1 การปรับปรุงจากคำอธิบายของการปรับปรุง 1 สำหรับ v1.6 Microsoft วิเคราะห์การคุกคามขั้นสูง
ข้อมูลรีจิสทรี
เมื่อต้องการใช้การปรับปรุงนี้ คุณไม่จำเป็นต้องทำการเปลี่ยนแปลงใด ๆ ในรีจิสทรี
ข้อกำหนดการรีสตาร์ท
คุณอาจต้องรีสตาร์ทคอมพิวเตอร์หลังจากใช้การปรับปรุงนี้
ข้อมูลการแทนที่การปรับปรุง
โปรแกรมปรับปรุงนี้ไม่แทนการปรับปรุงที่ออกมาก่อนหน้านี้
ข้อมูลเพิ่มเติม
ใบรับรองไม่เข้ากันกับ ATA 1.7 โยกย้าย
บทนำ
ใน ATA v1.7, ATA กึ่งกลางต้องใช้ใบรับรองหนึ่งสำหรับทั้ง ATA ศูนย์บริการและคอนโซล ATA เมื่อคุณอัพเกรดจาก ATA v1.6 v1.7 กระบวนการอัพเกรดใช้ใบรับรองที่กำลังใช้งาน IIS สำหรับคอนโซล ATA เป็นใบรับรองสำหรับ ATA v1.7 ใบรับรองนี้จะถูกใช้ โดยบริการศูนย์ ATA และเว็บคอนโซลทั้ง ถ้าใบรับรองที่กำลังใช้งาน IIS เป็นใบรับรอง KSP การปรับรุ่นล้มเหลวพร้อมกับข้อความต่อไปนี้:
ATA รุ่น 1.7 ไม่สนับสนุนใบรับรองคอนโซล ATA จัดโครงแบบอยู่ในขณะนี้ โปรดทำตามคำแนะนำใน KB3191777 เพื่อให้สามารถดำเนินกระบวนการปรับปรุงศูนย์ ATA
การแก้ปัญหา
เมื่อต้องการสลับใบรับรองที่กำลังถูกใช้ โดยคอนโซล ATA ให้ทำตามขั้นตอนเหล่านี้:
-
ติดตั้งใบรับรองใหม่ (ที่ไม่ใช่ KSP) บนเซิร์ฟเวอร์ ATA ศูนย์ คุณสามารถใช้ชื่อเรื่องเดียวกันเช่นในใบรับรองที่มีอยู่เพื่อหลีกเลี่ยงการก่อให้เกิดปัญหาเมื่อผู้ใช้เรียกดูไปยังคอนโซล ATA
-
เปิดตัวจัดการ IIS
-
ขยายชื่อของเซิร์ฟเวอร์ และไซต์ที่ขยายแล้ว
-
เลือกไซต์ Microsoft ATA คอนโซล และจากนั้น ในบานหน้าต่างการดำเนินการ คลิกรวม
-
เลือกHTTPSและจากนั้น คลิกแก้ไข
-
ภายใต้ใบรับรอง SSLเลือกใบรับรองใหม่
-
รอเกตเวย์ ATA ทั้งหมดให้ตรงกันกับศูนย์กลาง
-
เรียกใช้การปรับรุ่น ATA 1.7
หมายเหตุถ้าคุณจำเป็นต้องติดตั้งเกตเวย์ ATA ใหม่ก่อนที่จะปรับรุ่นสำเร็จ คุณต้องดาวน์โหลดแพคเกจเกตเวย์ ATA ที่ปรับปรุงแล้วจากศูนย์ ATA ก่อนที่จะเรียกใช้การติดตั้งเกตเวย์ ATA
หมายเหตุ เมื่อต้องการตรวจสอบว่า ใบรับรองที่ออกโดยใช้ต้นแบบ KSP ให้ทำตามขั้นตอนเหล่านี้:
-
เปิดพร้อมท์คำสั่ง และจากนั้น พิมพ์ต่อไปนี้:
certutil-เก็บของฉัน < CertName >
-
ถ้าผลลัพธ์เป็น "ผู้ให้บริการ =ผู้ให้บริการจัดเก็บคีย์ซอฟต์แวร์ของ Microsoft, " เป็นใบรับรองแบบ KSP
ข้อมูลอ้างอิง
เรียนรู้เกี่ยวกับ คำศัพท์เฉพาะทาง ที่ Microsoft ใช้เพื่ออธิบายการปรับปรุงซอฟต์แวร์
