Active Directory 加固最佳实践

关于域控制器（DC）上该装什么软件，网上一直疑问不断：该部署哪些角色？哪些应用是必需的？要回答这些问题，得先想清楚 DC 的本职——它唯一的目的就是控制域，承载 ADDS，其余一切都应围绕这一原则做减法。

经典文章更新：AD 的历史默认权限与易枚举特权组等结构弱点，衍生五大常见攻击手法。逐一剖析并给出防护措施。

域控制器安全要点：提升为 DC 后登录模型改变，访问应严格受限；链接到 Domain Controllers OU 的 GPO 影响所有域控，错误配置影响面大。

一个未防护的目录暴露了红队工具集：Cobalt Strike、Havoc、Villain 等 C2 框架，以及 SSH 目录、bash 历史、BloodHound 数据与 Kerberoast 哈希；该目录由 Justin Elze 率先发现，凸显操作安全（OPSEC）失误。

Semperis 指出 AI 正在加速身份攻击的速度与规模，2025 上半年基于身份的攻击增长 32%，机器身份数量已达人类身份的 10 倍；建议组织重新定义网络弹性，让全团队提前参与混合身份防护、权限治理与恢复演练，而非等危机爆发。

为缓解 Kerberoasting 等攻击，Microsoft 自 2026 年起分阶段弃用 RC4；文章解释弃用时间线、依赖 RC4 的应用类型，并给出审计环境、定位风险账户的方法与资源。