为什么从网络攻击中恢复 Active Directory 是 ITDR 的重要组成部分

解析为何虚拟机快照不能替代规范的 AD 备份：从快照恢复域控制器易产生残留对象、复制不一致甚至 USN 回滚，全林恢复场景尤其如此。

勒索软件让“整个 AD 崩溃”不再是假设，而 15 年来恢复流程几乎一成不变；DXC 首席技术专家 Guido Grillenmeier 与 Semperis 对谈，总结 AD 恢复的“该做与不该做”：制定详细恢复计划、保留离线备份、打好基本功，勿指望网络保险。

Active Directory“变更弹性”：快速回退管理员变更的能力常被忽视；文章对比微软内置手段——Windows Server Backup、AD 回收站与防意外删除保护——并解释对象 SID 语义为何让删除后的恢复并不简单。

什么是 AD 林恢复：文章先区分对象恢复（回收站）、服务器恢复（重新提升域控）、域恢复与属性恢复等层级，再界定林恢复的内涵与适用时机，并指出属性级损坏目前最难完美还原。

CISA 勒索软件指南提醒：恢复计划必须纳入 AD——域控制器被攻陷后常规备份不足，可能需要整林恢复；Maersk 在 NotPetya 中的经历表明，离线、非域加入的备份（或云副本）是保命关键。

Semperis 指出，仅在理想条件下验证备份会制造弹性假象：真正的网络弹性体现在恢复计划失效、前提假设崩塌时的应对能力，例如身份系统、通信渠道与密码库同时不可用的场景。文章以银行劫案作类比，强调弹性应是持续运营能力而非一次性演练。