Installera ATA – steg 9
Gäller för: Advanced Threat Analytics version 1.9
Obs!
Innan du tillämpar en ny princip måste du alltid se till att din miljö förblir säker, utan att påverka programkompatibiliteten genom att först aktivera och verifiera de föreslagna ändringarna i granskningsläge.
Steg 9: Konfigurera nödvändiga SAM-R-behörigheter
Identifieringen av lateral förflyttningssökväg förlitar sig på frågor som identifierar lokala administratörer på specifika datorer. Dessa frågor utförs med hjälp av SAM-R-protokollet via ATA-tjänstkontot som skapades i steg 2. Anslut till AD.
För att säkerställa att Windows-klienter och -servrar tillåter ATA-tjänstkontot att utföra den här SAM-R-åtgärden måste du göra en ändring av grupprincipen som lägger till ATA-tjänstkontot utöver de konfigurerade konton som anges i principen för nätverksåtkomst . Den här grupprincipen bör tillämpas för varje enhet i din organisation.
Leta upp principen:
- Principnamn: Nätverksåtkomst – Begränsa klienter som tillåts att göra fjärranrop till SAM
- Plats: Datorkonfiguration, Windows-inställningar, Säkerhetsinställningar, Lokala principer, Säkerhetsalternativ
Lägg till ATA-tjänsten i listan över godkända konton som kan utföra den här åtgärden på dina moderna Windows-system.
ATA-tjänsten (ATA-tjänsten som skapades under installationen) har nu rätt behörigheter för att utföra SAM-R i miljön.
Mer information om SAM-R och grupprincip finns i Nätverksåtkomst: Begränsa klienter som tillåts göra fjärranrop till SAM.
Få åtkomst till den här datorn från nätverksinställningen
Om du har definierat inställningen Åtkomst till den här datorn från nätverksinställningen i ett grupprincipobjekt som gäller för datorer i din domän måste du lägga till ATA-tjänstkontot i listan över tillåtna konton för den inställningen:
Obs!
Inställningen är inte aktiverad som standard. Om du inte har aktiverat det tidigare behöver du inte ändra det för att tillåta att Defender for Identity gör fjärranrop till SAM.
Om du vill lägga till tjänstkontot går du till principen och går till Datorkonfiguration ->Principer ->Windows-inställningar ->Lokala principer ->Tilldelning av användarrätt. Öppna sedan inställningen Åtkomst till den här datorn från nätverket.
Lägg sedan till ATA-tjänstkontot i listan över godkända konton.
