利用入侵者的两难困境进行 Active Directory 防御

Semperis 指出 AI 正在加速身份攻击的速度与规模，2025 上半年基于身份的攻击增长 32%，机器身份数量已达人类身份的 10 倍；建议组织重新定义网络弹性，让全团队提前参与混合身份防护、权限治理与恢复演练，而非等危机爆发。

ESC1 攻击滥用 AD CS 中允许请求者自带主题名并支持客户端认证 EKU 的证书模板，为任意账户（如 Domain Admin）申请证书以冒充其身份。文章解析攻击原理、检测与加固方法。

MFA 疲劳（MFA 轰炸）攻击：以推送轰炸诱使用户误批一次。微软称 2023 年中日均约 6000 次尝试；文章解析攻击流程、案例与数字匹配等防御手段。

Kerberoasting 攻击解析：任意认证用户可请求弱加密（RC4/DES）的服务票据并离线破解服务账户凭据。文章讲解 Kerberos 与 SPN 基础、攻击流程与防御。

中间人攻击入门：攻击者插入通信双方之间截获并篡改流量。文章聚焦与 AD 相关的 NTLM 中继、LDAP 中继等形式，分析凭据窃取等影响与防御方法。

ITDR 指南：解释身份威胁检测与响应（ITDR）的定义、与 EDR 的区别、为何重要，以及如何评估覆盖攻击前中后全周期的 Active Directory 保护方案。