攻擊者經(jīng)常試圖擺動(dòng)你的網(wǎng)絡(luò)，然后試圖掩蓋他們的蹤跡。當(dāng)你確定有人違反了你的網(wǎng)絡(luò)時(shí)，他們?nèi)绾芜M(jìn)入的證據(jù)可能已經(jīng)將你的日志文件下線。您希望更好地了解攻擊者可以如何使用Windows網(wǎng)絡(luò)內(nèi)部的橫向移動(dòng)以及他們沿途訪問的資源。

多年來，這個(gè)問題只能由專門的法醫(yī)團(tuán)隊(duì)進(jìn)行長時(shí)間的調(diào)查來解決。現(xiàn)在，通過Win10和E5許可證，法醫(yī)檢查可以被暴露并保存以供日后查看。這項(xiàng)服務(wù)被稱為Win10高級(jí)威脅防護(hù)（ATP），允許擁有E5許可證的任何人都能在幕后看到攻擊者對(duì)系統(tǒng)做了什么。它依賴于計(jì)算機(jī)鏈接到ATP服務(wù)時(shí)啟用的遙測功能。

Win10 ATP要求和設(shè)置

系統(tǒng)要求非常簡單：您需要Win10 Enterprise E5，Win10 Education E5或Microsoft 365 E5（M365 E5）（其中包括Windows 10 Enterprise E5）形式的Windows E5許可證。您需要訪問互聯(lián)網(wǎng)，該服務(wù)將使用每日平均帶寬5MB將日常活動(dòng)上傳到數(shù)據(jù)收集站點(diǎn)。當(dāng)您最初設(shè)置服務(wù)時(shí)，您可以選擇數(shù)據(jù)存儲(chǔ)的位置，無論是在美國，歐洲還是英國。一旦設(shè)置了數(shù)據(jù)收集，您就可以通過啟用ATP功能來“加載”計(jì)算機(jī)系統(tǒng)。雖然許可證需要企業(yè)許可證，但可以在Windows 10 Pro上啟用ATP。

您可以使用組策略，System Center Configuration Manager（SCCM）或Intune來管理服務(wù)注冊(cè)。您還可以使用腳本注冊(cè)以啟用注冊(cè)表項(xiàng)。一旦機(jī)器連接到ATP控制臺(tái)，您就可以深入了解日常系統(tǒng)操作，例如瀏覽器活動(dòng)，防病毒更新和與RSS源的Outlook連接，并獲得關(guān)于發(fā)生的事情的基線上。

與其他Defender功能不同，Windows ATP可以與McAfee或其他第三方防病毒軟件一起使用（請(qǐng)與供應(yīng)商確認(rèn)），但您必須將Defender配置為被動(dòng)模式。 即使您使用第三方防病毒軟件，仍必須配置防御者簽名更新。

訪問：