使用 Directory Services Protector 进行有效的 GPO 变更审计

组策略滥用让拥有 GPO 写权限的攻击者可以 SYSTEM 权限投放恶意软件、关闭安全设置或植入后门。文章以 SharpGPOAbuse 为例演示攻击链，并介绍用 Purple Knight 发现可疑计划任务。

Semperis 指出 AI 正在加速身份攻击的速度与规模，2025 上半年基于身份的攻击增长 32%，机器身份数量已达人类身份的 10 倍；建议组织重新定义网络弹性，让全团队提前参与混合身份防护、权限治理与恢复演练，而非等危机爆发。

Semperis DSP 新增服务账户保护模块，持续发现并监控高风险服务账户，同时引入自动化响应规则与 AD 对象列表，帮助简化混合 AD 的安全管理。

人工审计并回滚每一项风险变更并不现实。DSP 的 Auto Undo 功能可实时自动还原非预期修改，覆盖 Modify、Add、Move、Remove 操作，文中以保护 AdminSDHolder 等场景为例展开。

Forrester TEI 研究显示，DSP 客户修复对象与组级配置错误提速 90%——从数小时缩短至几分钟。文章引述医疗行业客户一线反馈。

Forrester TEI 显示 DSP 将混合 AD 环境遭勒索攻击成功的可能性降低 25%：打通 AD 与 Entra ID 可视性缺口，识别跨环境特权等风险指标。