Active Directory 安全最佳实践

关于域控制器（DC）上该装什么软件，网上一直疑问不断：该部署哪些角色？哪些应用是必需的？要回答这些问题，得先想清楚 DC 的本职——它唯一的目的就是控制域，承载 ADDS，其余一切都应围绕这一原则做减法。

CISA/NSA 十大网络安全配置错误系列第一篇（AD 视角）：默认配置、权限隔离不当、缺乏内部监控，剖析系统性弱点并给出修复建议。

通过 GPO 分配的用户权限（调试程序、备份文件、取得所有权等）误授即构成风险。文章讲解如何审查并锁定 AD 中的高风险用户权限。

Semperis CEO Mickey Bresman 呼吁重视 AD：47% 的组织以其为主要身份存储，云身份仍要同步回本地 AD，一旦被攻陷将连锁失守；企业应制定经过演练的恢复计划并部署 AD 专项监控。

Semperis 指出 AI 正在加速身份攻击的速度与规模，2025 上半年基于身份的攻击增长 32%，机器身份数量已达人类身份的 10 倍；建议组织重新定义网络弹性，让全团队提前参与混合身份防护、权限治理与恢复演练，而非等危机爆发。

WinRM over HTTP 并非人们以为的明文灾难：消息载荷在应用层加密，嗅探与中继都难以奏效；文章辨析 HTTPS 究竟额外带来什么，并说明何时应改用 HTTPS、如何有意识地做选择。