如何防御 Active Directory 中的 SPN 扫描

Kerberoasting 攻击解析：任意认证用户可请求弱加密（RC4/DES）的服务票据并离线破解服务账户凭据。文章讲解 Kerberos 与 SPN 基础、攻击流程与防御。

通过信息图梳理红队常见攻击工作流（以钓鱼为主线）与蓝队检测、防护控制的对应关系，并附上红队避免触发告警的实践经验，帮助安全团队评估检测能力建设。

任意域用户查询 AD 中的 SPN 记录即可枚举域内全部 SQL Server（含实例名与端口），无需高噪音的发现扫描；NetSPI 发布的 Get-SQLServerAccess PowerShell 模块可进一步自动测试每个实例的可访问性与攻击面。

Semperis 指出 AI 正在加速身份攻击的速度与规模，2025 上半年基于身份的攻击增长 32%，机器身份数量已达人类身份的 10 倍；建议组织重新定义网络弹性，让全团队提前参与混合身份防护、权限治理与恢复演练，而非等危机爆发。

为缓解 Kerberoasting 等攻击，Microsoft 自 2026 年起分阶段弃用 RC4；文章解释弃用时间线、依赖 RC4 的应用类型，并给出审计环境、定位风险账户的方法与资源。

LDAP 侦察使攻击者能够查询 AD 中的用户、组、计算机与权限信息，定位薄弱环节。文章介绍基于 ETW 的检测思路，并梳理常用工具（AdFind、SharpHound 等）与相关威胁行为体。