什么是 Active Directory 安全？

CISA/NSA 十大网络安全配置错误系列第一篇（AD 视角）：默认配置、权限隔离不当、缺乏内部监控，剖析系统性弱点并给出修复建议。

非约束委派为何是 AD 最严重的安全缺口之一：它允许计算机保存用户 Kerberos 票据并冒充其身份，成为攻击者的显眼目标；禁用非约束委派可消除可信认证链上的薄弱环节。

需尽快发现并修复的 7 个 Active Directory 错误配置，从持有 DCSync 权限的非默认主体到 AdminSDHolder 权限篡改等，每项均给出检测要点与修复步骤。

关于域控制器（DC）上该装什么软件，网上一直疑问不断：该部署哪些角色？哪些应用是必需的？要回答这些问题，得先想清楚 DC 的本职——它唯一的目的就是控制域，承载 ADDS，其余一切都应围绕这一原则做减法。

Semperis 指出 AI 正在加速身份攻击的速度与规模，2025 上半年基于身份的攻击增长 32%，机器身份数量已达人类身份的 10 倍；建议组织重新定义网络弹性，让全团队提前参与混合身份防护、权限治理与恢复演练，而非等危机爆发。

客座文章探讨美国州与地方政府及教育机构（SLED）的 AD 安全：为何事件前中后的攻击检测至关重要、当前面临哪些威胁，以及强化身份基础设施的行动计划。