身份攻击观察：AD 安全新闻，2023年6月

将 Domain Admin 同步进 Entra ID 会让攻击者在攻陷本地 AD 后转向云端，并可通过密码回写反向渗透回本地。CIS 与 Microsoft 均建议特权管理员账号保持纯云（cloud-only）。

2022 年 1 月综述：钓鱼攻击利用未强制 MFA 的 Azure AD 注册攻击者设备；LockBit 经组策略攻击法国司法部及欧洲企业；noPac 漏洞组合可在数秒内攻陷域控。

应用接入 Azure AD 的 SCIM 自动开通后，直接信任云端同步的名字字段：first/last name 未做输出编码即写入页面，形成两处 XSS，其中一个还能外链 JS 弹出钓鱼登录框窃取凭据。

Microsoft 域的云认证分托管与联合两种：前者直连 Azure AD 验证，后者经 ADFS 回源内网域控。配套工具 Invoke-ExternalDomainBruteforce 可自动识别域类型并对 O365/ADFS 发起密码爆破。

2023 年 9 月综述：Johnson Controls 遭勒索（Dark Angels 的 ESXi 加密器）；MOVEit 美加再添受害者；Royal 声称攻击达拉斯市；BlackCat 攻击 MGM；APT33 对 Entra ID 发动密码喷洒。

2022 年 11 月综述：Sandworm 的 RansomBoggs 从域控制器投放攻击乌克兰；LockBit 攻击弗吉尼亚州南安普顿县与大陆集团；Vice Society 攻击辛辛那提学院；Black Basta 攻击加拿大 Sobeys。