Comment sécuriser son environnement avec Microsoft Threat Protection – Part 2
•
0 j'aime•93 vues
![☁️Seyfallah Tagrerout☁ [MVP]](https://cdn.slidesharecdn.com/profile-photo-SeyfallahTagrerout-48x48.jpg?cb=1699861747)
Ma présentation sur Microsoft Threat protection partie 2 - cette partie traite l'Identity Protection et Azure ATP.
Recommandé
Contenu connexe
Tendances
Tendances (18)
Similaire à Comment sécuriser son environnement avec Microsoft Threat Protection – Part 2
Similaire à Comment sécuriser son environnement avec Microsoft Threat Protection – Part 2 (20)
Plus de ☁️Seyfallah Tagrerout☁ [MVP]
Plus de ☁️Seyfallah Tagrerout☁ [MVP] (8)
Comment sécuriser son environnement avec Microsoft Threat Protection – Part 2
- 1. aOS Meetup 19/03/2020 Comment sécuriser son environnement avec Microsoft Threat Protection – Part 2 Seyfallah Tagrerout - 16/04/2020
- 4. Agenda Microsoft Threat Protection • Introduction • Présentation Azure ATP • Introduction • Identity Protection • ATA vs AATP Planification • Planification • Questions avant le déploiement Déploiement • Prérequis Administration • RBAC Conclusion 2 4 6 7 Architecture • Overview • Présentation des éléments • ATA vs AATP 3
- 6. Microsoft Threat Protection 6 «Avec un modèle je vais pouvoir sécuriser mon système d’information sur tous les plans» Microsoft Threat Protection
- 7. Microsoft Threat Protection Sans oublier : • AIP • Microsoft ATA et Azure ATP
- 8. Microsoft Threat protection et ses produits Azure Sentinel MDAATPAATP Azure Security Center Office 365 ATP Azure Active Directory Cloud app security
- 10. Modèle de sécurité – Microsoft 365
- 11. Identity Days 2019 User browses to a website Phishing mail Opens attachment Clicks on a URL + Exploitation & Installation Command & Control Brute force account or use stolen account credentials User account is compromised Attacker attempts lateral movement Privileged account compromised Domain compromised Attacker accesses sensitive data Exfiltrate data Maximize Detection Azure AD Identity Protection Identity protection & conditional access Cloud App Security Azure ATP Azure AD Identity Protection Identity protection & conditional access Identity protection Extends protection & conditional access to other cloud apps
- 13. Azure Identity Protection Détection des vulnérabilité Remédiations Action automatique en fonction des activités suspectes détectées
- 14. 14 Azure ATP
- 15. AATP Machine learning Protection Anticipation Alerts
- 16. Azure Advanced Threat Protection Sinon, que permet AATP ? Chaine classique d’une cyber attaque: • Reconnaissance • Mouvement latérale • Persistance Risques: • Vulnérabilité de protocole connues • Protocoles faibles • Perte de relation de confiance
- 17. Azure Advanced Threat Protection Identity Days 2019 Account enumeration Users group membership enumeration Users & IP address enumeration Hosts & server name enumeration (DNS) Pass-the-Ticket Pass-the-Hash Overpass-the-Hash Reconnaissance ! ! ! Compromised Credential Lateral Movement Domain Dominance Golden ticket attack DCShadow Skeleton Key Remote code execution on DC Service creation on DC Brute force attempts Suspicious VPN connection Suspicious groups membership modifications Honey Token account suspicious activities
- 18. Azure Advanced Threat Protection
- 19. Azure Advanced Threat Protection Identity Days 2019 High Level Azure ATP Intelligent Security Graph Contrôleurs de domaine AD A NA LY Z E US E R BE H A RI OR I N VE ST I GAT E A ND RE SP O N D M O N I TO R AC TI V I T I ESU S E R S D E V I C E S D A T A D E T E CT & A LE RT
- 20. Identity Days 2019 ATA vs AATP On premise MS ATA Azure ATP DC DC AATP ATA as a Service Intégration Cloud App et MDATP Workspace – Cloud Multi-forêts AD DC Shadow Evolution continue ATA Sensor ATA sensor Standalone EME E5 ATA Architecture Prem Server ATA Center Une version majeur par an Pas de DC Shadow ATA Gateway et light gateway EMS E 3 Microsoft ATA on Prem ou Cloud ?
- 21. ATA vs AATP Identity Days 2019 ATA DC DC ATA Center ATA Gateway ATA LightGateway AATP Cloud Service AATP Sensor AATP Sensor Standalone Azure ATP
- 22. 22 Architecture
- 26. Architecture Identity Days 2019 Les composants AATP • Azure Portal • Azure ATP Senor • Azure ATP Sensor Standalone • Azure ATP Cloud Service
- 27. Architecture Identity Days 2019 Azure Portal – tout commence ici … • Création de l’instance AATP • Administration des AATP Sensor • Visualisation des alertes de sécurité • Visualisation de l’etat de santé des sensors • Détection des activités suspicieuses • Alertes email • Reporting • Administration
- 28. Architecture Identity Days 2019 AATP Sensor • Capture et inspection du trafic réseau des contrôleurs de domaine AD • Capture des Windows évents logs depuis les contrôleurs de domaine AD • Récupère les données utilisateurs et computers depuis l’AD • Transfert vers l’Azure ATP Cloud Service • Protection du DC: • Composant qui analyse le CPU + RAM du DC sur le quel il est installé: – Fréquence d’analyse : toutes les 10 secondes – Minimum 15 % de ressources …. – Un espace est dédié pour l'état de santé des DC + Sensor
- 29. Architecture Identity Days 2019 AATP Sensor • Windows events: • Authentification NTLM • Modification des groupes sensitifs • Création de services suspects • Les IDs concernés : • 4776,4732,4733,4728,4729,4756,4757,7045, 8004 • Automatique - à condition GPO audit : • Audit Credential Validation • Audit Security Group Management • NTLM - 8004 : • Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers = Audit All • Network security: Restrict NTLM: Audit NTLM authentication in this domain = Enable all • Network security: Restrict NTLM: Audit Incoming NTLM Traffic = Enable auditing for all accounts
- 30. Architecture Identity Days 2019 AATP Sensor – Standalone • Fonctionnement avec du port mirroring • Capture et inspection du trafic réseau des contrôleurs de domaine AD • Capture des Windows évents logs depuis les contrôleurs de domaine AD • Récupère les données utilisateurs et computers depuis l’AD • Transfert vers l’Azure ATP Cloud Service • Protection du DC: • Composant qui analyse le CPU + RAM du DC sur le quel il est installé: – Fréquence d’analyse : toutes les 10 secondes – Minimum 15 % de ressources …. – Un espace est dédié pour l'état de santé des DC + Sensor
- 31. Architecture Identity Days 2019 AATP Sensor vs AATP Sensor Standalone Sensor type Benefits Cost Deployment topology Domain controller use Azure ATP sensor Installation sur le DC, pas besoin de port mirroring ni de serveur intermédiaire Lower Installation sur les DC Support jusqu’à 100,000 packets/s Azure ATP standalone sensor Complique la tâche aux attaquants Higher Installation sur un serveur intermédiaire et fonctionnement avec du port Mirroring Support jusqu’à 100,000 packets/s
- 32. 32 Démo
- 33. 33 Planification
- 34. Planification – capacity planning Identity Days 2019 Définir les besoins en ressources matériels Outils de dimensionnement : • Azure Advanced Threat Protection Sizing Tool - Version 1.3.0.0 • https://gallery.technet.microsoft.com/Azure-Advanced-Threat-a11343c4 • Scan tout le trafic au niveau des DCs et aide à : • Quantité de mémoire RAM • CPU • Stockage Data base • ATA Gateway & LightWeight Gateway
- 35. Planification – capacity planning Identity Days 2019 Définir les besoins en ressources matériels
- 36. Planification – capacity planning Identity Days 2019 Définir les besoins en ressources matériels Questions: • ATA ou AATP ? • Si AATP • AATP Sensor ou Standalone ? • Mode de déploiement • Silent mode : "Azure ATP sensor Setup.exe" /quiet NetFrameworkCommandLineArguments="/q" AccessKey="<Access Key>" • Mélange des deux ? • Envoi des alertes au SIEM ?
- 37. 37 Deployment
- 38. Prérequis Identity Days 2019 • EMS E5 ou licence standalone AATP • Vérifier la connectivité internet sur les DC • Si proxy _ autorisation des URLs ( Europe par exemple) triprd1wceun1sensorapi.atp.azure.com triprd1wceuw1sensorapi.atp.azure.com • VM vMware – désactiver IPv4 TSO Offload
- 40. Prérequis Identity Days 2019 • Name Network Resolution:
- 41. Prérequis Identity Days 2019 • ATP Sensor : • Dc sous : Windows Server 2008 R2 SP1, 2012, 2012 R2, 2016 2019 • Si 2019 – installez la KB4487044 • .Net framework 4.7 • RODC supporté • Communication du Dc vers le Azure ATP service – ouvrir le 443 et autoriser l’url *.atp.azure.com • Reste des prérequis : • https://docs.microsoft.com/en-us/azure-advanced-threat-protection/atp-prerequisites
- 43. Administration Identity Days 2019 24 octobre 2019 - PARIS • RBAC Role
- 44. 44 Conclusion
- 46. Identity Days 2019 SecOps identity investigation experience Azure ATP Analyse complète de l’identité dans un monde hybride ( Cloud et On-Prem) Analyse Comportements des identité sur les apps cloud Analyse risky sign-ins & User Risk Microsoft Cloud app security Azure AD Identity Protection Analyse Comportements des identité on-prem
- 47. Identity Days 2019 SecOps identity investigation experience Azure ATP Microsoft Cloud app security Azure AD Identity Protection
- 48. 48 Merci !