如何保护 Active Directory 免受 Kerberoasting 攻击：AD 安全入门

黄金票据攻击利用 KRBTGT 账户哈希伪造 Kerberos TGT，取得域内无限制访问。文章讲解 Kerberos 与 KRBTGT 原理、Mimikatz 攻击流程及防御措施。

金票（Golden Ticket）攻击科普：攻击者伪造 Kerberos 票据即可访问组织 IT 环境；文章介绍如何以基础安全卫生与分层防御抵御此类攻击。

Kevin Robertson 总结攻击者视角下利用 Active Directory MachineAccountQuota 的十条规则：默认低权限用户可添加 10 个机器账户，结合 Powermad 与 Kerberos 非约束委派等场景可用于攻击，防御上建议将 MAQ 设为 0。

发布 Invoke-MassMimikatz-PsRemoting 脚本：结合 SPN 服务发现、PowerShell Remoting 与 Invoke-Mimikatz，自动定位开启 WinRM 的域内主机并批量收集凭据，支持替代凭据与非域机器发起。

任意域用户查询 AD 中的 SPN 记录即可枚举域内全部 SQL Server（含实例名与端口），无需高噪音的发现扫描；NetSPI 发布的 Get-SQLServerAccess PowerShell 模块可进一步自动测试每个实例的可访问性与攻击面。

Kerberoasting 修复指南：先通过事件 ID 4769 确认 SPN 是否仍在使用，再用 setspn 或 ADUC 删除不需要的 SPN；文章同时说明了删除在用 SPN 可能造成的影响。