身份攻击观察：AD 安全新闻，2023年7月

将 Domain Admin 同步进 Entra ID 会让攻击者在攻陷本地 AD 后转向云端，并可通过密码回写反向渗透回本地。CIS 与 Microsoft 均建议特权管理员账号保持纯云（cloud-only）。

Microsoft 域的云认证分托管与联合两种：前者直连 Azure AD 验证，后者经 ADFS 回源内网域控。配套工具 Invoke-ExternalDomainBruteforce 可自动识别域类型并对 O365/ADFS 发起密码爆破。

2022 年 1 月综述：钓鱼攻击利用未强制 MFA 的 Azure AD 注册攻击者设备；LockBit 经组策略攻击法国司法部及欧洲企业；noPac 漏洞组合可在数秒内攻陷域控。

应用接入 Azure AD 的 SCIM 自动开通后，直接信任云端同步的名字字段：first/last name 未做输出编码即写入页面，形成两处 XSS，其中一个还能外链 JS 弹出钓鱼登录框窃取凭据。

Semperis 指出，仅在理想条件下验证备份会制造弹性假象：真正的网络弹性体现在恢复计划失效、前提假设崩塌时的应对能力，例如身份系统、通信渠道与密码库同时不可用的场景。文章以银行劫案作类比，强调弹性应是持续运营能力而非一次性演练。

Semperis 指出 AI 正在加速身份攻击的速度与规模，2025 上半年基于身份的攻击增长 32%，机器身份数量已达人类身份的 10 倍；建议组织重新定义网络弹性，让全团队提前参与混合身份防护、权限治理与恢复演练，而非等危机爆发。