ATA : Advanced Threat Analytics
Sécurité
ATA : Advanced Threat Analytics. « Analyse avancée des menaces », par analogie avec un vigile qui connaît les habitudes de chaque employé et remarque celui qui se met soudain à essayer toutes les portes. Solution Microsoft de détection centrée sur les identités d'un domaine Windows, aujourd'hui remplacée par Microsoft Defender for Identity.
Détection comportementale : ATA observe les connexions, les authentifications et certains échanges entre machines pour repérer des comportements inhabituels. Un compte qui se connecte soudainement à de nombreux serveurs peut ainsi déclencher une alerte.
Pass-the-Hash : La solution peut mettre en évidence l’utilisation suspecte d’une empreinte de mot de passe, sans connaître le mot de passe original. Ce signal aide à enquêter sur un déplacement latéral dans le réseau.
Évolution du produit : ATA a été intégré et renommé Microsoft Defender for Identity. Dans les documentations récentes, ce dernier nom est généralement celui à retenir.
Ce qui arrive si on s'en passe
Sans surveillance des authentifications du domaine, un attaquant qui a récupéré l'empreinte d'un mot de passe peut la rejouer de machine en machine (Pass-the-Hash) sans jamais connaître le mot de passe lui-même. Chaque connexion paraît légitime prise isolément : seul le rapprochement des comportements (un compte qui ouvre soudain des sessions sur des dizaines de serveurs, une requête inhabituelle vers un contrôleur de domaine) trahit le déplacement latéral. Sans ce rapprochement, l'intrusion progresse jusqu'aux comptes d'administration sans déclencher d'alerte, et l'enquête après coup doit reconstituer le parcours à partir de journaux dispersés.
Explication de la marmotte
ATA est un peu le gardien d’un établissement scolaire numérique. Il regarde qui entre, depuis quel ordinateur, à quelle heure et ce que cette personne essaie ensuite de faire. Si un compte habituellement calme ouvre soudainement beaucoup de portes dans plusieurs salles, le gardien trouve cela louche et prévient l’équipe. Cela permet de repérer un voleur qui aurait récupéré un indice permettant d’imiter un employé, même sans connaître son véritable mot de passe.
Où ce terme est utilisé
- NTLM : protocole authentification LAN Manager New Technology Microsoft (1 occurrence)
- Pourquoi supprimer un fichier ne l'efface pas (1 occurrence)