加固你的 AD

Semperis 指出 AI 正在加速身份攻击的速度与规模，2025 上半年基于身份的攻击增长 32%，机器身份数量已达人类身份的 10 倍；建议组织重新定义网络弹性，让全团队提前参与混合身份防护、权限治理与恢复演练，而非等危机爆发。

将 Domain Admin 同步进 Entra ID 会让攻击者在攻陷本地 AD 后转向云端，并可通过密码回写反向渗透回本地。CIS 与 Microsoft 均建议特权管理员账号保持纯云（cloud-only）。

保护 Tier Zero 依然关键，但身份风险早已超出核心目录范围：攻击者利用合法凭据与信任关系横向移动，目标直指备份恢复基础设施、受监管数据和关键业务负载。攻击路径管理（APM）可帮助安全团队持续映射身份关系、识别高影响关键节点并在混合环境中压缩攻击路径。

NetSPI 介绍通过 SQL Server 的 OLE DB ADSI 提供程序查询 Active Directory：利用 OPENQUERY/OPENROWSET 执行 LDAP 查询，并新增一组 PowerUpSQL 函数（需 sysadmin 权限）自动化域账户、计算机、组与 OU 等侦察任务。

分析微软 LAPS 方案：将本地管理员口令存入 LDAP 的 ms-MCS-AdmPwd 属性并定期轮换，但若未按建议移除扩展权限，普通域用户即可明文读取这些口令，为横向移动提供便利。

介绍通过 LDAP 查询账户的 ServicePrincipalName 属性，定位 Domain Admin 大概率登录的系统，从而加快从本地管理员到域管的提权路径；同时发布自动化此过程的 PowerShell 模块。