Active Directory 中的密码喷洒检测

密码喷洒用少量常见口令试探大量账户以规避锁定策略，目标涵盖 VPN、Citrix 网关与 Entra ID 租户。文章给出 MFA、强密码策略与无密码认证等防御建议，以及 DSP 的检测能力。

AS-REP Roasting 针对未启用 Kerberos 预认证的账户：攻击者请求加密响应并离线破解以获取明文口令。文章演示如何用 Purple Knight 定位这些账户并重新启用预认证。

Semperis 推出 Lightning IRP：以机器学习检测密码喷洒、暴力破解等经久不衰的攻击模式，与 DSP 联动，从噪声中捕捉真实威胁信号。

Semperis 指出 AI 正在加速身份攻击的速度与规模，2025 上半年基于身份的攻击增长 32%，机器身份数量已达人类身份的 10 倍；建议组织重新定义网络弹性，让全团队提前参与混合身份防护、权限治理与恢复演练，而非等危机爆发。

密码猜测攻击利用默认口令、弱密码策略与服务账户等薄弱环节入侵 AD。文章介绍攻击类型、检测与缓解措施，包括 NIST 建议的密码实践以及特权账户的特别防护要点。

非约束委派使服务可冒充域内任意用户，攻击者会搜寻启用该设置的服务器，用 Rubeus 捕获 Kerberos TGT 后横向移动。文章解析利用手法，并说明如何发现与整改这一配置。