微軟端點偵防系統透過雲端平臺提供Win10進階防護

近期微軟對於資安防護可說是相當積極，推出多款解決方案，像是Advanced Threat Analytics（ATA）、Cloud App Security等，而對於端點進階威脅偵防措施的強化，微軟在新發布的Windows 10企業版租賃方案中，添加了Windows Defender Advanced Threat Protection（WDATP），試圖透過端點電腦，強化企業對於進階威脅的防護。

就取得方式而言，WDATP必須基於Windows 10企業版E5授權取得，租用費用為每個使用者每月483元，換算成每年費用為5,796元，但每個使用者授權最多可在5臺電腦使用，在這個情況下，每臺端點電腦最低一年平均只要不到1,200元。這個價格，比起許多EDR產品的單價都來得便宜，形同買EDR送作業系統授權。

雖然WDATP必須隨著Windows 10企業版授權訂購，但原廠還是單獨提供試用版，申請流程需要大約一個星期的審核時間。一般人若要申請試用，假如填寫的電子郵件位址並非微軟認可的公司信箱，或是遇到原廠審核未通過等情況，仍需要透過經銷商協助。

搭配Windows 10作業系統企業版E5，微軟提供的專屬端點進階防護機制

值得注意的是，WDATP採用雲端主控臺架構，只要端點電腦能夠連接到網際網路，就能執行，但只有執行Windows 10特定版本的電腦（專業版、企業版、教育版，以及LTSB長期支援版），才能受到防護。

在部署的方式中，由於代理程式已經內建於新版Windows 10作業系統，因此只需下載指令檔，使用管理員權限在端點電腦執行後，這些電腦就受到WDATP的管理。而在上述從單機執行指令檔之外，WDATP也提供透過群組原則，或是針對System Center Configuration Manager（SCCM）、Intune等端點電腦管理工具部署的指令檔案，快速將企業列管的Windows 10端點電腦，納入WDATP的防護範圍。

WDATP主要的功能，是將可疑的執行記錄彙整成事件，接著，他們會整合到作業系統內建的Windows Defender特徵碼中，由防毒軟體執行自動阻擋機制。

然而，WDATP目前主要的遠端反制措施，像是封鎖端點電腦或是刪除有問題的檔案，還是必須額外搭配像是SCCM、Intune等端點控管軟體，才能達成。在2017年初的Windows 10 Creator Update新版本中，微軟計畫為WDATP加入相關的反制能力。

此外，對於來自ATA與Office 365 Advanced Threat Protection的威脅情資，下一代的WDATP也將能夠整合接收，藉此提供WDATP更多的偵察能力，找出像是來自電子郵件等社交攻擊的源頭。

儀表板可快速總覽重大警示與系統運作狀態的情形，以及惡意軟體的威脅情資

管理者只要登入WDATP的雲端主控臺，就能檢視所有企業端點電腦受到威脅的情形。在儀表板中，管理者可檢視系統事件警示、疑似有風險的端點電腦，並將警示通知的嚴重程度分成高、中、低等3種等級。

在警示通知之外，這裡也提供WDATP系統運作的狀態，以及端點電腦回報至主控臺的情況，管理者也可看到在30天之內，每天與主控臺連線的電腦數量。

值得一提的是，管理者也能在這個儀表板中，檢視列管的端點電腦裡，有那些較為活躍的惡意程式。不過，這個報表的情資，其實是來自Windows內建的防毒軟體Windows Defender運作的情形，因此端點電腦必須開啟這套防毒軟體，WDATP的儀表板才會顯示惡意程式相關資訊的報表。

同時呈現端點威脅情勢與系統運作狀態

在WDATP的儀表板中，主要提供事件警示的資訊，這裡主要以兩種類型指標顯示，包含處理的狀態（新進與處理中事件），與需要留意的端點電腦清單。此外，這裡也能檢視分析平臺與列管端點運作的狀態。

提供可疑行為各階段詳細資料，以利進階調查

在WDATP的管理平臺中，管理者可由儀表板警示的事件或端點電腦進行調查，主控臺可呈現詳細的事件發生步驟，並將多筆記錄彙整成為事件，提供管理者調查整個攻擊事件的源頭。

假如管理者以疑似發生問題的電腦進行調查，管理平臺首先呈現單一端點電腦的主要資料，包含電腦名稱、所屬網域、作業系統版本，以及內部與外部的IP位置，在同類型偵防產品中，像WDATP能同時提供這兩種IP位置的資料的產品並不多，而這樣的機制，或許更有利於事件源頭的追溯。

接著，WDATP列出了這臺電腦中的執行各種行為的記錄，包含執行的處理程序、受到修改的登錄檔與檔案等資訊，系統也會標示其中可能具有風險的行為，管理者就能從這些記錄加以調查。例如，WDATP發現發動攻擊的加密勒索軟體來源，可能是一個看起來沒有傷害性的檔案，但透過它了開通後門之後，駭客便將加密勒索軟體送到電腦並且執行。

在彙整相關事件記錄之餘，有別於大多數的同類型產品，WDATP提供進一步的相關說明，包含指出疑似攻擊的手法類型，描述公司受到此種攻擊會造成的影響，並提出排除問題的建議步驟，即使不具相關知識背景的管理人員，也能對事件進行回應。

 WDATP特色總覽 

針對可疑事件的呈現，WDATP能彙整端點和事件的關連，管理者可檢視端點電腦發生事件的狀態，並追查其中相關的行為記錄，以及針對指定的可疑處理程序，探索牽連到的電腦端點與檔案範圍。

以階層方式顯示事件發生的詳細過程

在事件記錄列表中，管理者針對其中的單一記錄，點選展開之後，WDATP主控臺便會用階層式的圖文並茂手法，提供其中的詳細資訊。以圖中記事中執行的SVCHOST.EXE來說，WDATP列出其雜湊值、檔案路徑，以及執行的指令等，供進一步調查之用。

提供端點電腦狀態摘要資訊

針對WDATP列管的電腦，主控臺不只顯示電腦名稱、網域與作業系統版本，也提供內部與外部IP位址等相關資訊，以利於管理者調查之用，但目前並無法顯示較為詳細的作業系統版本資訊，像是語系、細部版本資訊等進一步的內容。

以攻擊鏈呈現事件影響範圍，並提供逐步處理指南

針對疑似攻擊事件的彙整中，WDATP提供了攻擊類型的說明，與建議處置措施，讓管理者可依循指示，清除或是追查可能有問題的檔案。而這裡也以攻擊鏈呈現整起事件中，所有受到影響的端點電腦，以及其中的檔案，藉此縮小管理者需要調查的範圍。

 產品資訊 

微軟WDATP

●　原廠：微軟(02)3725-3888

●　建議售價：包含WDATP的Windows 10企業版E5方案，每人每月為483元

●　伺服器部署形式：雲端主控臺

●　管理功能：端點AD整合、警示通知

●　支援端點平臺：Win 10

【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商。】