Active Directory 攻击：5 种常见的 AD 攻击方法

近半微软事件响应发现 AD 配置不安全，Mandiant 称十起攻击九起利用 AD。文章从攻击者侦察视角梳理加固重点与账户、域控安全建议。

关于域控制器（DC）上该装什么软件，网上一直疑问不断：该部署哪些角色？哪些应用是必需的？要回答这些问题，得先想清楚 DC 的本职——它唯一的目的就是控制域，承载 ADDS，其余一切都应围绕这一原则做减法。

Semperis 指出 AI 正在加速身份攻击的速度与规模，2025 上半年基于身份的攻击增长 32%，机器身份数量已达人类身份的 10 倍；建议组织重新定义网络弹性，让全团队提前参与混合身份防护、权限治理与恢复演练，而非等危机爆发。

为缓解 Kerberoasting 等攻击，Microsoft 自 2026 年起分阶段弃用 RC4；文章解释弃用时间线、依赖 RC4 的应用类型，并给出审计环境、定位风险账户的方法与资源。

Pass the Hash 允许攻击者直接用窃取的 NT 哈希完成认证，无需破解或知晓明文密码，从而隐蔽地横向移动。文章以 Cobalt Strike 与 Mimikatz 为例演示攻击流程，并给出检测与防御建议。

黄金票据攻击利用 KRBTGT 账户哈希伪造 Kerberos TGT，攻击者由此可冒充任意用户获得域内不受限访问。文章详述在 Cobalt Strike 中生成票据的过程，并给出分层管理等防御建议。