从攻击面分析到加固实战
目录导读
域控权限面临的核心风险
域控制器（Domain Controller, DC）是企业Active Directory（AD）环境中的“王冠明珠”。一旦域控权限被攻陷，攻击者就能获取整个网络的管理员权限，进而窃取数据、植入勒索软件或横向移动。 根据2023年《数据泄露调查报告》（DBIR），超过60%的企业内部攻击路径最终指向域控权限提升。
当前域控权限主要面临以下威胁：
- Pass-the-Hash（PtH）攻击：攻击者提取哈希值后直接冒充管理员登录。
- Kerberos黄金票据与白银票据：伪造票据永不失效。
- ADCS（Active Directory 证书服务）滥用：利用证书模板漏洞提升权限。
- 组策略对象（GPO）滥用：通过恶意GPO分发后门程序。
关键点：域控防护的核心是“最小权限原则”与“分层防御”的结合，而非单一技术堆叠。
攻击者如何突破域控防线？
理解攻击路径才能有效防御,典型攻击链如下：
- 初始访问：通过钓鱼邮件或弱密码攻破普通用户账号。
- 权限枚举：使用工具（如BloodHound）绘制AD权限关系图。
- 漏洞利用：针对未打补丁的域控服务（如ZeroLogon CVE-2020-1472）或SYSVOL文件中的共享密码。
- 横向移动：从被控工作站嗅探域控管理员凭证。
- 票据攻击：劫持Kerberos服务账户，生成永不过期的票据。
- 域控沦陷：完全接管企业IT基础设施。
案例警示：某金融企业因未约束域管员登录行为，攻击者利用一台终端服务器上的会话记录，直接获取域控管理员密码，最终导致全网瘫痪。
域控权限加强防护的六大黄金法则
1 禁用域控管理员直接登录高敏感服务器
操作要点：
- 将域管理员账号设置为仅允许登录域控制器。
- 创建独立的“中间管理员”账号，用于日常运维（通过跳板机连接）。
- 使用受限管理模式（Restricted Admin Mode）：
New-ItemProperty -Path "HKLM:\System\CurrentControlSet\Control\Lsa" -Name "DisableRestrictedAdmin" -Value 0
2 开启高级安全审核与日志监控
- 启用以下关键审核策略：
账户登录事件、Kerberos服务票据操作、特权使用。 - 配置SIEM系统（如Azure Sentinel或Splunk） 实时告警异常活动：
- 单个用户同时大量登录多台主机。
- 非域控主机尝试使用域管理员凭证。
- 设置4335事件ID（Kerberos票据被错误请求）的主动告警。
3 实施基于时间的JIT（即时访问）访问控制
- 使用Privileged Identity Management (PIM) 工具（如Microsoft Identity Manager或第三方One Identity）。
- 域管理员权限只能通过审批流程在指定时间窗口内激活。
- 减少“永久特权”账号，改用临时组：用户加入敏感组后自动在24小时后移除。
4 保护Kerberos票据与密钥
- 定期轮转KRBTGT账户密码（至少每180天一次，手动重置密码两次以确保所有域控同步）。
- 启用Kerberos防御机制：
- 强制执行
“增强型密钥使用”（PKINIT with smart card）。 - 启用
“无效请求阻止”（Block non-signed Kerberos messages）。
- 强制执行
- 使用Gold Ticket Detection脚本监控异常票据有效期。
5 强化组策略对象（GPO）安全
- 限制修改GPO的权限,仅授权给“组策略管理员”组。
- 对每个GPO启用审核：记录“修改GPO”事件（5136、5137）。
- 部署基线GPO：强制所有客户端启用LAPS（本地管理员密码解决方案），防止本地密码复用。
6 网络隔离与身份边界加固
- 将域控制器部署在独立的DMZ管理网络，仅允许跳板机流量。
- 禁止域控主机访问互联网（使用内部WSUS更新）。
- 部署NPS（网络策略服务器） 限制只有符合特定NAC认证的设备才能进行域控访问。
常见问题与专家解答（QA）
Q：我们已使用MFA（多因素认证），是否还需要加强域控防护？
A：需要。 MFA主要防护身份窃取，但域控仍面临PtH、票据伪造等离线攻击，建议结合条件访问策略限制域管登录来源IP。
Q：如何检测内部人员试图获取域控权限？
A： 监控以下异常行为：
- 非域管理员账户频繁查询ADUC（Active Directory 用户和计算机）。
- 域控上出现
ntdsutil工具的执行日志（用于导出NTDS.dit）。 - PowerShell日志中出现
Invoke-Mimikatz等渗透工具函数。
Q：域控是否需要独立补丁管理策略？
A：必须。 域控制器的补丁优先级应为最高等级，建议使用WSUS或组策略，将域控设为“自动安装关键补丁”并禁止延迟更新，重要补丁包括：
- ZeroLogon (CVE-2020-1472)
- SMBGhost (CVE-2020-0796)
- PrintNightmare (CVE-2021-34527)
持续监控与威胁情报联动
域控防护不是一次性的配置工作,而是一个动态对抗过程，建议企业：
- 每季度执行一次攻击路径审计：使用BloodHound结合自家环境数据。
- 订阅威胁情报源：如Microsoft Defender for Identity的异常行为检测规则。
- 建立红色团队演练：每半年模拟一次域控入侵测试。
- 使用攻击面管理工具（如Cortex Xpanse） 扫描外部暴露的管理端口。
最后的核心提醒：即使是最严格的配置，如果域管理员不小心将密码存在桌面上的passwords.txt中，所有防线都将失效。增强人员安全意识，与加强技术控制同等重要。
相关资源推荐：
- Microsoft官方文档：《Securing Domain Controllers Against Attack》
- 开源工具：PingCastle（AD安全评分工具）
- 书籍：《Active Directory Security: A Comprehensive Guide》
