Com o lançamento da midia RTM (Release To Manufactoring ou Final) do Windows 2016 e System Center 2016 chega a hora de fazer o upgrade de versões 2012 R2 e 2016 Technical Preview.

Vou abordar cada um deles a partir das versões 2016 Technical Preview, já que a migração das versões 2012 R2 é normalmente mais simples e suportada.

Atualização: Veja os Update Rollups do System Center 2016: http://www.marcelosincic.com.br/post/System-Center-2016-Updates-Rollup.aspx

System Center Configuration Manager (SCCM)

O SCCM é um dos produtos que já estavam na versão 2016 desde o inicio do ano, quando foi lançado como SCCM 1511, seguinte a nomenclatura do Windows 10.

Seguem os posts que já escrevi sobre esta versão:

http://www.marcelosincic.com.br/post/Nova-Feature-do-System-Center-Configuration-Manager-1511-Atualizacoes-e-Updates.aspx

http://www.marcelosincic.com.br/post/Novo-Modelo-de-Updates-do-SCCM-2016.aspx

http://www.marcelosincic.com.br/post/System-Center-Configuration-Manager-1511-Alterar-Evaluation.aspx

Para quem tem o SCCM 2012 R2 o upgrade é tranquilo e basta executar o Setup para funcionar.

System Center Operations Manager (SCOM)

O upgrade do SCOM pode ser feito tanto da versão 2012 R2 quanto das versões 2016 Techincal Preview da mesma forma, ele suporta os dois caminhos.

A unica recomendação que o próprio setup indica é fazer o backup das bases de dados (trabalho e DW) antes, pois não há como retornar caso ocorram erros no meio do processo:

Será necessário fazer o upgrade do Report Viewer, antes utilizamos o RV do SQL 2012 e agora deve ser utilizado o RV do SQL 2016, que é encontrado no link do próprio Setup:

System Center Service Manager (SCSM)

O upgrade tanto do 2012 R2 quanto das versões Technical Preview é simples, não exige nenhum tipo de restrição, ocorrendo de forma bem tranquila:

É importante lembrar de ao final fazer o upgrade dos Management Packs a partir do wizard que o SCOM 2016 possui:

http://www.marcelosincic.com.br/post/Atualizacoes-Automaticas-no-System-Center-Operations-Manager-2016-(TP4).aspx

System Center Virtual Machine Manager (VMM)

Este é um dos produtos que não permite o upgrade automático da versão Techinical Preview, mas permite a partir da 2012 R2.

No caso do Tecnhinical Previwe, o Setup irá indicar que já existe e pedirá para desinstalar:

Porem, a reinstalação é simples. Basta ao desinstalar escolher a opção para manter o banco de dados:

Ao executar o Setup novamente usar o mesmo banco de dados e diretório das bibliotecas:

Após isso o VMM funcionará normalmente, mas é bom lembrar que será necessário deinstalar os agentes e reinstalar, se ele não fizer o upgrade automático do agente.

Lembrando que uma das mais interessantes features é integração com o Azure: http://www.marcelosincic.com.br/post/System-Center-Virtual-Machine-Manager-2016-TP2-Integrado-com-Azure.aspx

System Center Orchestrator (SCORCH)

Assim como o VMM, ele exige reinstalar mas é possivel manter o banco de dados e reapontar na nova instalação:

Após o processo, os runbooks aparecerão normalmente com os mesmo Integrations Packs.

No caso dos Integrations Packs do SCORCH e do SCOM é importante fazer o upgrade dos pacotes, sendo que no SCOM é bem mais fácil por ter no menu, enquanto não temos o mesmo no Orchestrator.

Como já é esperado por todos os profissionais de TI MIcrosoft, o lançamento do Azure Stack é aguardado com grande expectativa. O lançamento estava sendo esperado junto com o Windows 2016, mas agora foi adiado para o meio do próximo ano.

Basicamente, o Azure Stack é a mesma estrutura do Azure, mas para ambientes on-premisse com o novo portal.

A Microsoft já teve esse produto no passado como CPS by Dell (Cloud Platform System) que era um rack de servidores já com System Center e o Windows Azure Pack configurados para fornecer soluções de cloud "dentro de casa".
https://www.microsoft.com/en-us/cloud-platform/cloud-platform-system

A evolução do produto foi evidente, o novo portal do Azure comparado ao portal anterior com seus novos recursos e features foi o que nos fez esperar tão ansiosamente o Azure Stack.

O que mudou agora?

Assim como no CPS, o Azure Stack irá integrar updates de software e hardware e capacidades avançadas de biling, monitoração e balanceamento de recursos.

Adicionalmente, os potenciais usuários desse tipo de produto são empresas que precisam de modelos cloud e Datacenters comerciais.

Sendo assim, não é possível rodar o Azure Stack em qualquer hardware e garantir a criticidade do ambiente com SLA de 99,95% que é o desejado para este tipo de ambiente.

Uma vantagem do Azure Stack sobre o CPS é que o CPS era um produto Microsoft By Dell e o Azure Stack permitirá que qualquer fabricante homologue o hardware!

Essa não é uma mudança de rumo

Apesar do Azure Stack ter sido publicamente liberado, sempre se soube que ele exigiria um hardware mais "pesado" e que este tipo de solução necessita o uso de hardwares homologados.

Todos que já trabalham com soluções de Datacenter sabem que modelos como o CPS da Microsoft e o VCE da VMWare+Citrix+EMS são essenciais para garantir que todos os recursos de servidores, storages e networking interajam entre si sem queda de performance, perda de recurso ou incompatibilidades.

Enfim, o Azure Stack será um grande lançamento e uma enorme evolução no modelo de nuvem privada da Microsoft, mas não espere executá-lo naquele servidor que você tem em casa  ;-)

http://www.computerworld.com/article/3106743/cloud-computing/heres-why-azure-stack-will-only-run-on-certain-hardware.html
http://windowsitpro.com/hybrid-cloud/microsoft-s-azure-pack-delayed-allow-partners-time-certify-hardware

Parte dos novos recursos do Windows 10 é a capacidade de detalhamento na segurança e integração com recursos do Microsoft DCU (Digital Crime Unit), que é a unidade da Microsoft que trabalha com o departamento de defesa para gerar e identificar ataques ao redor do mundo (https://blogs.windows.com/windowsexperience/2016/03/01/announcing-windows-defender-advanced-threat-protection/).

Tipos de Proteção Disponiveis

Em geral os antivírus são baseados em DAT que são arquivos com assinaturas de vírus e conseguem identificar programas que tenham atividades ou parte destes códigos considerados perigosos. Nessa categoria estão todos os antivírus atuais, o que inclui o Windows Defender.

Já os sistemas de proteção avançados contem com análise comportamental interna e externa, ou seja, eles identificam potenciais ameaças por comportamentos como fazem alguns produtos da Symantec e McAfee, que identifica maquinas enviando pacotes para outras maquinas, logins com força bruta, etc.

Já os sistemas de proteção comportamental com análise externa são produtos bem diferentes. Eles analisam comportamentos de maquinas no ambiente e comunicações externas. Com isso é possível identificar:

• Um grupo de maquinas recebendo pacotes de uma determinada maquina com conteúdo suspeito
• Pacotes oriundos de países onde o ataque de phishing e similares são comuns
• Pacotes oriundos de maquinas já identificadas como “zumbi”

Ou seja, com base na análise do próprio ambiente e de comportamento de hackers, é possível identificar que determinado hacker está tentando invadir uma empresa ao analisas que este hacker está enviando pacotes para a rede da empresa alvo.

O que é o ATA e o ATP

Nos produtos Microsoft esse produto é o ATA (Advanced Thread Analisys) que trabalha no Active Directory e logins, e o ATP (Advanced Thread Protection) que trabalha com Machine Learning (análise de dados) sobre os logs das maquinas individuais.

Na prática o Windows Defender ATP trabalha com o mesmo log que o Windows Defender, mas online e com base nas análises e dados do DCU. Com isso é possível identificar ameaças que não são encontradas nos tradicionais DAT ou com base apenas em uma única maquina que é a forma como os antivírus tradicionais trabalham.

O ATA é parte do EMS (Enterprise Mobility Suite), mas pode ser adquirido a parte: https://www.microsoft.com/pt-br/server-cloud/products/advanced-threat-analytics/overview.aspx

O ATP ainda está em preview com acesso por solicitação: https://www.microsoft.com/en-us/WindowsForBusiness/windows-atp

Overview do ATP

Como já possuo acesso ao ATP, vamos ver como ele funciona. Para pedir esse acesso, entre na página acima e complete com seus dados. É possível incluir maquinas de seu ambiente, mas o sistema gera algumas maquinas com vírus e problemas para testes automaticamente. Note nas telas abaixo que o usuário utilizado é gerado pela Microsoft para os testes.

Ao receber o acesso, o primeiro passo é indicar tempo de retenção e perfil da empresa que serve para elaborar threads por tipo de segmento:

Na sequencia geramos o pacote ou o script para distribuição das configurações. Note que é possível criar os pacotes para distribuição por GPO, SCCM, Intune ou Local que é o que utilizarei nos meus testes:

O passo seguinte é baixar o pacote, no meu caso o Local Script:

O script contem um arquivo CMD para ser executado manualmente nas maquinas que desejo que o log do Defender seja enviado para o ATP. Esse script cria uma chave no registro para indicar o meu tenant e ativar o ATP:

A partir de agora as suas maquinas passarão a enviar dados para o ATP em algumas horas.

No caso do meu teste, posso utilizar os dados da maquina que a Microsoft gera com testes e ver os alertas e o dashboard. A primeira tela é o Dashboard que indica o comportamento geral no ambiente monitorado:

Neste caso não tenho alertas gerados nos últimos 30 dias, mas tenho os de criação do tenant para demonstrar como utilizar o gerenciamento de alertas:

Cada alerta pode ser ignorado, marcado como resolvido ou suprimido em todo o tenant ou apenas para esta maquina específica:

Conclusão

Este tipo de análise dos dados é essencial para a segurança da corporação. Em breve disponível como serviço no Azure, o ATP é uma nova forma de analisar e garantir seu ambiente.