Microsoft publie Advanced Threat Analytics v1.8 avec plusieurs nouvelles fonctionnalités et améliorations

Microsoft Advanced Threat Analytics (ATA) est une plate-forme sur site qui aide à protéger l'entreprise contre plusieurs types de cyberattaques ciblées avancées et de menaces internes en utilisant des informations provenant de plusieurs sources de données dans leur réseau pour apprendre le comportement des utilisateurs et d'autres entités dans le organisation et créer un profil comportemental à leur sujet et en tirant parti du moteur d'analyse réseau propriétaire d'ATA pour capturer et analyser le trafic réseau de plusieurs protocoles.

Microsoft a récemment a publié la mise à jour Advanced Threat Analytics v1.8 avec plusieurs nouvelles fonctionnalités et améliorations. Alors que les pirates découvrent de nouveaux types d'attaques, Microsoft met régulièrement à jour son moteur ATA pour améliorer les détections d'attaques connues et inconnues. Trouvez les détections nouvelles et mises à jour incluses dans cette mise à jour ci-dessous.

• Modification anormale des groupes sensibles : Dans le cadre de la phase d'escalade des privilèges d'une attaque, les attaquants modifient les groupes avec des privilèges élevés pour accéder aux ressources sensibles. ATA détecte maintenant lorsqu'il y a un changement anormal dans un groupe avec des privilèges élevés (c'est-à-dire un groupe sensible).
• Échecs d'authentification suspects (force brute comportementale) : Les attaquants tentent souvent d'utiliser la force brute sur les informations d'identification pour compromettre les comptes. ATA déclenche désormais une alerte lorsqu'un comportement anormal d'échec d'authentification est détecté.
• Tentative d'exécution à distance - WMI exec : Les attaquants peuvent tenter de contrôler votre réseau en exécutant du code à distance sur votre contrôleur de domaine. ATA a ajouté une détection pour l'exécution à distance en exploitant les méthodes WMI pour exécuter du code à distance.

Cette mise à jour permettra également aux opérations de sécurité de trier les activités suspectes en :

• Supprimer activités suspectes récurrentes de l'alerte.
• À l'exclusion entités de déclencher de futures activités suspectes, pour empêcher ATA d'alerter lorsqu'il détecte des vrais positifs bénins (tels qu'un administrateur exécutant du code à distance ou utilisant nslookup).
• Suppression activités suspectes de la chronologie de l'attaque.

Microsoft a également ajouté quelques nouveaux rapports qui faciliteront l'analyse et l'investigation des problèmes de sécurité. Le nouveau rapport de synthèse a été ajouté pour vous permettre de voir toutes les données résumées d'ATA, y compris les activités suspectes, les problèmes de santé et plus encore. Et le rapport sur les groupes sensibles a été amélioré pour vous permettre de voir toutes les modifications apportées aux groupes sensibles sur une certaine période.

Trouver le journal des modifications complet ici.