AD 安全入门：域控制器安全

通过 GPO 分配的用户权限（调试程序、备份文件、取得所有权等）误授即构成风险。文章讲解如何审查并锁定 AD 中的高风险用户权限。

关于域控制器（DC）上该装什么软件，网上一直疑问不断：该部署哪些角色？哪些应用是必需的？要回答这些问题，得先想清楚 DC 的本职——它唯一的目的就是控制域，承载 ADDS，其余一切都应围绕这一原则做减法。

近半微软事件响应发现 AD 配置不安全，Mandiant 称十起攻击九起利用 AD。文章从攻击者侦察视角梳理加固重点与账户、域控安全建议。

GPO 登录脚本可自动化登录任务，但庞杂且疏于维护的脚本结构易被滥用。文章解析 scripts.ini 机制及如何加固脚本安全。

Clang 加固速查表：汇总 fortify、strip/debug、ASLR/PIE 等编译与链接选项的用法与细节，弥补现有加固指南大多只覆盖 GCC 的空白。

Semperis 指出 AI 正在加速身份攻击的速度与规模，2025 上半年基于身份的攻击增长 32%，机器身份数量已达人类身份的 10 倍；建议组织重新定义网络弹性，让全团队提前参与混合身份防护、权限治理与恢复演练，而非等危机爆发。