现在就要发现并修复的 7 个 Active Directory 错误配置

CISA/NSA 十大网络安全配置错误系列第一篇（AD 视角）：默认配置、权限隔离不当、缺乏内部监控，剖析系统性弱点并给出修复建议。

AD 安全入门：AD 掌管多数本地应用的身份认证，是攻击者首要目标。文章梳理未约束 Kerberos 委派、配置错误、权限过大等主要风险及加固最佳实践。

拥有 DCSync 权限的非默认安全主体可借 DRS 协议冒充域控提取密码哈希，或致全域失陷。文章解析攻击原理、复制权限误配风险与排查方法。

非约束委派为何是 AD 最严重的安全缺口之一：它允许计算机保存用户 Kerberos 票据并冒充其身份，成为攻击者的显眼目标；禁用非约束委派可消除可信认证链上的薄弱环节。

发布 Invoke-DCSync PowerShell 脚本，封装 Mimikatz 的 DCSync 功能：伪装域控制器向真实 DC 发起目录复制同步请求，无需登录域控即可导出域账户哈希，若启用可逆加密 GPO 还能直接获得明文密码。

加固 AD 从摸清攻击者利用的弱点开始：遗留协议、管理员账户泛滥等认证缺陷，以及助长横向移动的权限过度授予；文章梳理常被忽视的配置错误并附安全速查清单。