如何防御不留痕迹的 Active Directory 攻击

为何仅靠 SIEM 不足以监控 AD：攻击者（如 DCShadow）可绕过 AD 日志；SIEM 存在采集局限、配置错误、处理缺口、情报滞后与误报等问题。

防御 DCShadow（下篇）：测试仅限隔离实验环境；通过 PAM 严控并监控特权访问；重点监控 AD Sites and Services——DCShadow 注入的变更不进安全日志，但其在配置分区（CN=Sites,CN=Configuration）注册服务器对象的痕迹可被 SIEM 捕获并及时告警。

NetSPI 结合十年云上攻击模拟经验总结出三点教训：仅靠云平台默认日志不足以支撑检测，SIEM 规则需持续调优，而入侵与攻击模拟（BAS）可有效检验 Azure 环境的检测能力。

Semperis 指出 AI 正在加速身份攻击的速度与规模，2025 上半年基于身份的攻击增长 32%，机器身份数量已达人类身份的 10 倍；建议组织重新定义网络弹性，让全团队提前参与混合身份防护、权限治理与恢复演练，而非等危机爆发。

大型 AD 环境中 GPO 数量众多，关键变更极易被忽视。文章演示如何使用 DSP 简化 GPO 变更审计：以 SharpGPOAbuse 场景为例，展示告警与恢复被篡改策略的能力。

组策略滥用让拥有 GPO 写权限的攻击者可以 SYSTEM 权限投放恶意软件、关闭安全设置或植入后门。文章以 SharpGPOAbuse 为例演示攻击链，并介绍用 Purple Knight 发现可疑计划任务。