用 Forest Druid 封堵通往 Tier 0 资产的攻击路径

借《搏击俱乐部》喻网络安全“身份危机”：权限泛滥构成通往 Tier 0 的几乎所有攻击路径。文章推介免费攻击路径分析工具 Forest Druid。

Forest Druid 是面向混合身份环境的免费攻击路径分析工具，优先保护 Tier 0 资产。文章演示事件响应中如何评估被攻陷身份抵达 Tier 0 所需跳数。

Semperis 指出 AI 正在加速身份攻击的速度与规模，2025 上半年基于身份的攻击增长 32%，机器身份数量已达人类身份的 10 倍；建议组织重新定义网络弹性，让全团队提前参与混合身份防护、权限治理与恢复演练，而非等危机爆发。

AD 迁移与整合中常见的 11 类风险：旧管理特权被继承、攻击路径重现、SID History 滥用、服务账户隐患、审计盲区等；作者建议以安全优先思路减少遗留风险被带入新环境。

NTDS.DIT 是 AD 的核心数据库，存储全域密码哈希；攻击者一旦提取即可离线破解或直接用于 Pass the Hash，进而完全控制网络。文章介绍检测方法与 Tier 0 加固等防御措施。

组策略滥用让拥有 GPO 写权限的攻击者可以 SYSTEM 权限投放恶意软件、关闭安全设置或植入后门。文章以 SharpGPOAbuse 为例演示攻击链，并介绍用 Purple Knight 发现可疑计划任务。