企业官网建设流程全解析

🔒免责声明：本文仅用于网络安全学习、等保测评、红蓝对抗、企业域环境安全加固参考；所有配置修改请先在测试域环境验证，生产域操作务必做好系统备份与快照，不当配置会造成域业务瘫痪。请勿用于未授权的内网渗透攻击行为。

前言

在内网渗透测试、红蓝对抗实战当中，Active Directory（AD 活动目录）几乎是企业内网的核心命脉。绝大多数中大型 Windows 企业全部依赖 AD 域做统一身份管理：域控服务器存储全公司员工账号、计算机对象、组策略、权限关系。一旦域控被攻击者拿下，攻击者就可以接管整个内网，获取全部业务系统权限，窃取核心业务数据。

很多企业域环境多年没有做安全加固，沿用多年前的默认配置，大量高危配置遗留，攻击者只需要拿到一台普通员工工作站权限，就可以通过各种域内攻击手段完成横向移动，最终拿下域控。很多运维人员只关注边界防火墙、WAF，却忽视内网 AD 域安全。边界防护被绕过之后，AD 就成为企业最后一道防线。

本文会从 AD 基础认知出发，梳理当下红队最常用的域攻击手段：Kerberoasting、AS‑REP Roasting、NTLM Relay、Pass‑the‑Hash、Pass‑the‑Ticket、域组策略漏洞、权限过度赋权等攻击方式，结合每一类攻击原理给出对应的加固手段，覆盖域控制器、域成员服务器、员工终端、账号权限、组策略、审计日志、协议限制、日常运维检查，形成一套完整可落地的 AD 加固方案，降低内网横向移动风险。适合运维工程师、等保测评人员、安全工程师、红蓝对抗学习者阅读。

一、AD 域安全现状：为什么域环境容易被攻陷

很多企业部署 AD 之后长期零维护，存在大量共性安全问题：

1. 账号权限泛滥：大量普通员工账号被赋予域管理员、企业管理员等高权限；服务器本地管理员密码统一，所有主机本地管理员账号密码一致，拿到一台机器哈希直接横向全部机器。
2. 老旧协议兼容开启：NTLMv1 协议启用，WDigest 开启，LM 哈希存储，给哈希传递攻击创造条件。
3. SPN 账号配置混乱：大量普通域用户注册服务主体名称 SPN，直接可以 Kerberoasting 导出 TGS 票据爆破。
4. 无预认证账号过多：大量账号关闭 Kerberos 预认证，攻击者直接 AS‑REP Roasting 拿到哈希离线爆破。
5. 组策略权限配置缺陷：普通用户可以修改 GPO 组策略，通过组策略下发脚本拿到域控权限；GPO 保存的密码没有做保护。
6. 域审计日志没有开启：域控制器安全日志不收集，攻击者在域内横向、票据操作没有日志留存，发生入侵无法溯源。
7. 域控制器防护薄弱：域控同时兼任文件服务器、WEB 服务，域控上面跑业务应用，扩大攻击面。
8. 机器账号权限过高，密码长期不轮换；服务账号密码几十年不变。
9. ** 过度信任，跨域信任、外部信任配置随意，信任关系被滥用横向到其他森林。

攻击者拿到普通员工电脑权限之后，不需要爆破域管理员密码，利用上面这些配置缺陷，即可快速提升权限拿下域控。很多时候域沦陷不是密码太弱，而是 AD 配置错误带来的安全风险。

二、域内高频攻击手段原理与对应的加固对策

2.1 Pass‑the‑Hash（哈希传递 PtH）

攻击原理

Windows 系统登录认证的时候，使用 NTLM 哈希进行身份校验。PtH 攻击不需要拿到账号明文密码，只需要拿到用户的 NTLM Hash，攻击者就可以使用这个哈希，在网络内访问其他主机，完成身份认证。

当攻击者攻陷一台员工工作站，可以 dump 内存里面本地账号、域账号 NTLM 哈希。如果企业大量主机本地管理员账号密码相同，拿到一台机器本地管理员哈希，即可横向访问内网全部服务器；如果拿到域用户登录过本机的域账号哈希，直接拿该账号权限访问域内资源。

老版本 Windows 支持 LM 哈希，LM 哈希安全性极差，很容易被破解。WDigest 协议会把账号明文密码保存在内存，攻击者直接抓取明文。

加固方案

1. 禁用 LM 哈希存储
   组策略路径：计算机配置→Windows 设置→安全设置→本地策略→安全选项网络安全：不要存储LAN Manager哈希值→启用。
   该策略禁止系统存储脆弱的 LM 哈希，防止 LM 哈希被导出爆破。
2. 关闭 WDigest 凭证缓存
   WDigest 会将明文密码留存内存，是 PtH 重要帮凶。
   注册表配置：

HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest UseLogonCredential = 0

Windows 10/2016 及以后版本默认关闭，老系统 Windows 2008 R2、Win7 务必手动关闭。

3. 本地管理员密码不要全公司统一
   所有服务器、工作站不要设置完全一致的本地管理员密码。推荐使用LAPS（本地管理员密码解决方案）。
   LAPS 可以为每一台计算机生成随机独立本地管理员密码，密码保存在 AD 计算机对象属性，只有授权人员可以读取，杜绝一台沦陷全网横向。LAPS 是对抗 PtH 横向移动最重要手段之一。

注意：老企业最大坑点：所有服务器 administrator 本地密码一模一样，攻击者拿到一台直接横向整网。LAPS 一定要部署。

4. 开启 Protected Users 受保护用户组
   将域管理员、高权限服务账号加入Protected Users组。加入该组用户：

• 不缓存 NTLM 凭证；
• 不能使用 Digest、CredSSP 协议；
• 凭证不会长久保存在内存，极大限制 PtH 攻击效果。

⚠️注意：加入 Protected Users 会带来兼容性，老业务系统、老应用如果依赖 NTLM 凭证缓存会报错，上线前业务测试。

5. 限制 NTLM 协议，尽量优先 Kerberos 认证，逐步淘汰 NTLMv1，全网强制 NTLMv2。
   组策略：网络安全：LAN 管理器身份验证级别 →仅发送 NTLMv2，拒绝 LM&NTLM。

2.2 Pass‑the‑Ticket（票据传递 PtT）

攻击原理

Kerberos 认证体系，用户访问服务需要 TGS 票据。攻击者攻陷一台主机，可以导出内存里面的 Kerberos 票据（TGT、TGS），把票据拷贝到自己工具中，使用票据冒充该用户访问域资源，不需要账号密码、不需要哈希。
TGT 票据十分关键，拿到域管理员 TGT 票据，攻击者就可以访问域控。

PtT 利用合法票据进行访问，很多安全设备很难识别。票据有生命周期，默认 TGT 票据有效期 10 小时，可以续票。

加固方案

1. 启用 Protected Users 受保护组，高权限账号加入，减少票据在客户端内存留存。
2. 开启 Kerberos 审计日志，监控异常票据导出、票据导入事件。事件 ID 4769 TGS 请求，4768 TGT 请求。
3. 限制域管理员登录普通工作站。域管理员账号禁止登录员工日常办公电脑。

非常重要的运维误区：域管理员用普通员工电脑浏览网页，登录业务系统。此时域管理员 TGT 票据就会保存在普通员工主机内存，攻击者攻陷员工机器直接导出域管 TGT，拿下整个域。
策略：域管理员账号，只允许登录域控制器、运维堡垒机，禁止登录普通工作站。通过 AD 用户账户属性 - 登录到，限制可登录的计算机列表。

4. 缩短高权限账号票据最大生命周期，调整 Kerberos 策略，不要使用过长票据有效期。默认 10 小时，可根据业务调整，不要随意改成几天。
   域组策略：计算机配置 - 安全设置 - 账户策略 - Kerberos 策略。
5. 终端安装 EDR 安全软件，监控内存 Kerberos 票据窃取行为（mimikatz sekurlsa 模块行为）。

2.3 Kerberoasting 攻击

攻击原理

Kerberoasting 是红队高频攻击手段。域内服务账号会注册 SPN（服务主体名称），例如 MSSQL、IIS 服务。攻击者普通域成员权限，就可以向 KDC 请求对应 SPN 的 TGS 票据。TGS 票据使用该服务账号的 NTLM 哈希加密。攻击者拿到 TGS 票据后，把票据导出本地，进行离线哈希爆破，如果服务账号密码强度弱，直接破解得到服务账号明文。

重点：普通域用户默认权限就可以请求域内所有 SPN 的 TGS 票据，不需要管理员权限。
大量企业把 SPN 注册在普通域用户账号，而非机器账号。一旦该账号密码复杂度低，直接被爆破拿下。很多业务服务账号密码常年不变，密码简单，极易中招。

加固对策

1. 尽量使用计算机机器账号注册 SPN，不要使用普通域用户账号运行业务服务。机器账号密码 AD 自动每 30 天轮换，密码随机高强度，很难爆破。业务 MSSQL，Web 服务优先使用机器账号。
2. 如果业务必须使用域用户作为服务账号：设置超长复杂密码，24 位以上混合字符，定期轮换，杜绝弱密码。
3. 定期扫描 AD，排查所有绑定在域用户对象上的 SPN，形成资产清单。
   PowerShell 查询 SPN 命令：

Get‑ADObject -Filter {ServicePrincipalName -ne "$null"} -Properties ServicePrincipalName

4. 开启 Kerberos 审计，监控大量异常 TGS 请求（事件 ID4769）。短时间大量 TGS 票据请求，大概率正在 Kerberoasting 探测。
5. 给关键服务账号设置敏感账号标识Account is sensitive and cannot be delegated（敏感账号，禁止委派），限制票据委派滥用。

2.4 AS‑REP Roasting（无预认证攻击）

攻击原理

如果域账号属性设置为Do not require Kerberos preauthentication（不需要 Kerberos 预身份验证）。攻击者普通域权限，就可以直接向 KDC 发送请求，获取该账号 AS‑REP 响应数据包，数据包包含账号的哈希，攻击者本地离线爆破哈希获取密码。

风险点：该攻击普通域成员即可执行，账号不需要任何高权限，只要关闭预认证就存在风险。很多老应用、遗留业务账号为兼容旧系统关闭预认证。

加固方案

1. 绝大多数账号开启 Kerberos 预认证，关闭不需要预认证的账号。除非业务明确兼容需求，否则禁止开启该选项。
   AD 用户属性→账户→账户选项：取消勾选【不需要 Kerberos 预身份验证】。

PowerShell 查询域内所有关闭预认证账号：

Get‑ADUser -Filter {DoesNotRequirePreAuth -eq $True}

2. 业务确实需要关闭预认证的账号，设置极高强度复杂密码，并且严格限制权限，不能给域内高权限。
3. 审计日志监控 4768 事件，大量 AS‑REQ 请求，重点告警。

2.5 NTLM Relay NTLM 中继攻击

攻击原理

NTLM 中继，攻击者中间人，拦截 NTLM 身份认证请求，把认证中继转发到目标服务器。如果目标开启 NTLM，没有开启签名，攻击者中继认证成功，获取目标主机权限。
经常结合 SMB 协议，中继到 SMB，拿到机器权限。AD 域环境，中继攻击经常用来拿下域控。

SMB 签名没有开启，是 NTLM 中继攻击重要前提。很多老 Windows 服务器默认 SMB 签名关闭。

加固对策

1. 强制启用 SMB 签名（域控制器强制开启，域成员尽量强制开启）
   组策略路径：计算机配置‑安全设置‑本地策略‑安全选项

• Microsoft 网络客户端：对通信进行数字签名 (始终)：启用
• Microsoft 网络服务器：对通信进行数字签名 (始终)：启用

开启 SMB 签名之后，NTLM 中继攻击将失效。老业务系统兼容性测试，部分老旧设备不支持 SMB 签名会访问失败。域控制器务必强制开启 SMB 签名。

2. 禁用 NTLMv1，全网使用 NTLMv2。
3. 尽量业务优先使用 Kerberos，减少 NTLM 协议调用。
4. 域控制器禁止 SMB 对外暴露公网，内网限制访问域控 SMB 端口 445 访问源 IP。
5. 开启 LDAP 签名，LDAP 绑定签名，防御 LDAP 中继攻击。组策略配置 LDAP server signing requirements 设置需要签名。

2.6 委派攻击：约束委派、非约束委派攻击

委派是 Kerberos 一个功能，服务可以模拟用户访问另外一个服务。配置不当的委派是域内提权、横向移动高危点。

• 非约束委派 Unconstrained Delegation：风险最高。用户访问开启非约束委派服务器，该服务器会收到用户完整 TGT 票据，保存在服务器内存。如果服务器被攻陷，攻击者拿到 TGT 票据，可以冒充用户访问域内任意资源。如果域管理员访问这台开启非约束委派服务器，攻击者直接拿到域管理员 TGT，接管域。

很多老服务器遗留开启非约束委派，是高危漏洞。

• 约束委派 Constrained Delegation：限制可以访问的服务，但是配置不当，攻击者可以构造 SPN，获取 TGT 实现提权。
• 基于资源的约束委派 RBCD，修改计算机对象权限，普通账号可以配置 RBCD，实现提权。

加固对策

1. 尽量避免非约束委派，业务上淘汰非约束委派配置。
   PowerShell 查询域内开启非约束委派对象：

Get‑ADObject -Filter {TrustedForDelegation -eq $True} -Properties TrustedForDelegation

除了必要业务，全部清除非约束委派。域控制器本身默认是非约束委派，不要把普通业务服务器设置非约束委派。

2. 高权限账号（域管理员、企业管理员）勾选【该账户是敏感账户，不能被委派】Account is sensitive and cannot be delegated。该账号的票据不会被委派，就算服务器开启委派，也无法模拟该账号。这是最重要防护手段。所有域管理员账号必须勾选该选项。
3. 定期审计约束委派、RBCD 资源型约束委派配置，排查异常新增委派配置。
4. 普通域用户，不授予修改计算机对象属性的权限，防止攻击者利用 RBCD 提权。
5. 审计监控 4769 Kerberos 票据请求，监控异常委派行为。

2.7 组策略 GPO 安全风险

组策略 GPO 是 AD 核心能力，批量下发策略给域内主机。GPO 存在多种安全风险。

1. GPO 权限配置错误，普通域用户拥有 GPO 编辑修改权限。攻击者修改组策略，添加登录脚本，所有域主机执行恶意脚本，包括域控，直接拿下整个域。
2. 旧版本 GPO 里面保存本地账号密码，保存在groups.xml，密码使用 AES 固定密钥加密，网上公开解密工具直接拿到明文密码。

该漏洞非常经典，很多遗留 GPO 还残留 groups.xml 密码。

加固方案

1. 定期扫描 SYSVOL 共享，查找 groups.xml 文件，一旦发现立即删除，里面保存的明文密码是重大风险。
   扫描 SYSVOL 共享路径\\domain\SYSVOL\domain\Policies\，检查是否存在 groups.xml。不要在组策略首选项里面保存账号密码。
2. 严格管控 GPO 的 ACL 权限，普通域用户不授予编辑、修改 GPO 权限。只有域管理员、授权运维组拥有 GPO 修改权限。定期审计 GPO 对象 ACL 访问权限。
3. 不要把高权限脚本、批处理写在组策略登录脚本，防止被滥用。
4. SYSVOL、NETLOGON 共享做好安全审计，监控文件新增修改行为。事件日志监控 SYSVOL 文件变更。
5. 废弃不用的 GPO 及时删除，减少攻击面。

2.8 机器账号风险

域内每一台服务器、工作站在 AD 都有机器账号（COMPUTER$）。机器账号也属于域账号，也可以注册 SPN，也可以被 Kerberoasting；机器账号也可以配置委派。很多企业忽视机器账号安全。
机器账号默认 30 天自动修改密码，但是很多环境机器长期离线，密码不会轮换。

加固：

1. 确保域成员机器可以正常和域控通信，完成机器账号密码自动轮换。
2. 不要给普通机器账号过高 AD 权限。
3. 定期审计机器对象 SPN、委派配置。

三、域控制器专项加固

域控制器是整个 AD 域的核心资产，一旦沦陷全盘失守，域控加固优先级最高。

1. 域控制器不要跑业务应用
   域控禁止部署 IIS 网站、MSSQL 数据库、文件共享、第三方业务系统。域控只做 AD 域、DNS、GC 全局编录。业务应用部署成员服务器。域控上面业务越多攻击面越大。攻击者利用域控上面 web 服务漏洞直接拿下域控。
2. 域控制器操作系统版本升级，停止 Windows Server 2008、2008R2 老旧系统，这类系统很多安全补丁不再支持。升级到 Server2019/2022。安装全部安全月度补丁。
3. 网络层面保护域控
   域控制器关键端口：53 (DNS)，88 (Kerberos)，389 (LDAP)，445 (SMB)，3268 (GC)。
   防火墙策略，限制访问域控端口的来源 IP。只允许堡垒机、运维网段访问域控管理端口。员工办公网段，非运维工作站禁止直接访问域控 SMB、LDAP 管理端口。
4. 域控开启 LDAP 签名，禁用简单 LDAP 绑定（明文 LDAP），防止 LDAP 中继，防止明文账号密码通过 LDAP 传输。
   组策略：LDAP server signing requirements 设置【要求签名】。
5. 域控制器强制开启 SMB 数字签名，前文已经说明。
6. 部署多台域控，至少两台域控制器，做冗余，单台域控故障业务不瘫痪；同时定期备份 AD 活动目录状态备份。AD 备份是重中之重，发生入侵事件，可以用于恢复干净域环境。备份文件严格保管，备份文件泄露等于域账号全部泄露。
7. 域控制器开启完整安全审计，不关闭日志，日志转发 SIEM 日志平台。
8. 域控制器本地尽量少安装第三方软件，最小化软件安装，减少漏洞。

四、账号与权限体系加固

4.1 高权限账号管控

AD 内置高权限组：

• Domain Admins 域管理员
• Enterprise Admins 企业管理员
• Schema Admins 架构管理员
• Account Operators 账号操作员
• Server Operators 服务器操作员

风险：很多企业大量普通业务人员加入 Domain Admins，权限泛滥。
加固：

1. 最小权限原则，Domain Admins 组里面账号数量尽量少。业务人员日常工作不使用域管理员账号。运维人员日常使用普通账号，需要管理员权限的时候，使用专门的域管理员账号。
2. Schema Admins、Enterprise Admins，日常业务几乎不需要，平时保持空，需要修改架构临时加入，操作完立刻移除。
3. Account Operators、Server Operators 权限非常高，不要随便给普通用户加入。Account Operators 成员可以修改大量域账号，不需要域管理员。很多人低估这个组的权限。
4. 所有域管理员账号勾选【该账户是敏感账户，不能被委派】，同时加入 Protected Users 受保护用户组。
5. 域管理员账号禁止登录普通员工工作站，仅允许登录域控和堡垒机。AD 账号属性 - 登录到，限制允许登录计算机列表。

4.2 普通域账号策略

1. 域账户策略：密码策略，强密码，长度至少 12 位，复杂混合大小写数字符号；密码最长使用期限 90 天，强制密码轮换；开启账户锁定策略，多次密码错误锁定账号，防止暴力爆破。

注意：域密码策略需要在域级别组策略设置，本地策略不会生效域账号。

2. 清理僵尸账号：离职员工账号及时禁用，定期扫描 AD 禁用、过期、长期不登录僵尸账号。僵尸账号不清理，攻击者可以利用僵尸账号横向。
   PowerShell 查询长时间未登录账号：

Get‑ADUser -Filter {LastLogonDate -lt (Get‑Date).AddDays(-180)} -Properties LastLogonDate

180 天没有登录的账号，重点核查，离职账号直接禁用。

3. 服务账号管理：业务系统使用的服务账号，设置高强度密码，定期修改；尽量使用托管服务账号 MSA/gMSA 托管服务账号。gMSA 组托管服务账号，AD 自动维护复杂密码，不需要人工记密码，推荐业务大量使用 gMSA 替代传统域用户服务账号。

五、组策略全局加固配置清单

下面整理关键组策略，建议部署到域全局 GPO，作用于域控和域成员。

测试环境验证后上生产。

账户策略

1. 密码策略

• 密码必须符合复杂性要求：启用
• 密码最小长度：12 位
• 密码最长存留期：90 天
• 密码最短存留期：1 天
• 强制密码历史：24 个记住旧密码

2. 账户锁定策略

• 账户锁定阈值：10 次无效登录
• 账户锁定时间：30 分钟
• 复位账户锁定计数器：30 分钟

3. Kerberos 策略

• 票证最长寿命：10 小时
• 票证续订最长寿命：7 天
• 强制用户登录限制：启用

安全选项

1. 网络安全：不要存储 LAN Manager 哈希值 →启用
2. 网络安全：LAN 管理器身份验证级别：仅发送 NTLMv2 响应。拒绝 LM 和 NTLM。
3. Microsoft 网络客户端：对通信进行数字签名 (始终)：启用
4. Microsoft 网络服务器：对通信进行数字签名 (始终)：启用
5. LDAP 服务器签名要求：要求签名
6. 禁用 WDigest UseLogonCredential=0 注册表推送至全部机器。
7. 启用安全审计相关策略。

六、AD 审计日志配置与入侵检测

没有日志，发生域入侵之后完全无法溯源，很多企业域控日志直接关闭或者日志本地留存，被攻击者清除。

6.1 需要开启的关键审计策略（组策略 - 计算机配置 - 安全设置 - 高级审计策略配置）

开启审计：账户管理审计、目录服务访问审计、登录注销审计、对象访问审计、Kerberos 认证全部开启。

6.2 日志运维建议

1. 域控制器安全日志禁止本地存储，实时转发 SIEM / 日志平台。攻击者攻陷域控第一件事情就是清空本地安全日志，转发远端才可以保存证据。
2. 设置日志大小上限，循环覆盖调整为合适大小，不要日志很快被覆盖丢失。
3. 建立告警规则：

• 短时间大量 4769 事件，Kerberoasting 扫描；
• 账号被添加到 Domain Admins 组；
• 异常新增 SPN；
• 异常开启非约束委派；
• 大量 Kerberos 预认证失败（4771）。

七、LAPS 本地管理员密码解决方案详细说明

内网横向移动头号元凶：全网服务器、工作站本地管理员密码统一。LAPS 是微软官方解决方案。

工作原理：
每一台域内计算机对象，扩展两个 AD 属性ms‑mcs‑AdmPwd（存储随机管理员密码），ms‑mcs‑AdmPwdExpirationTime密码过期时间。
域内每台机器 LAPS 客户端，定期生成本地管理员随机强密码，写入自己计算机对象属性；权限做 ACL 控制，只有授权安全组账号才可以读取密码。普通域用户看不到密码。

部署要点：

1. AD 架构需要扩展 LAPS 架构；
2. 域控安装 LAPS 管理组件；成员工作站部署 LAPS 客户端 MSI 包；
3. 设置权限：新建专门安全组，只允许运维人员组读取机器密码；普通域用户没有读取权限；
4. 设置密码轮换周期，密码过期自动重新生成随机密码。

部署 LAPS 之后，就算一台工作站被攻击者攻陷，拿到本机本地管理员密码，这个密码仅此一台机器有效，无法横向其他服务器，极大遏制 PtH 横向移动。强烈所有 AD 企业部署 LAPS。

替代开源方案：OpenLAPS，无微软授权场景可以选用。

八、日常 AD 安全巡检清单（运维定期执行）

建议每月执行一次 AD 安全巡检，下面是巡检清单，可以写成 PowerShell 脚本自动输出报告。

1. 导出全部域用户，排查不需要 Kerberos 预认证账号。
2. 导出全部 SPN，区分哪些 SPN 挂载普通域用户账号，标记风险服务账号。
3. 查询开启非约束委派、约束委派、RBCD 资源委派的对象。
4. 检查 Domain Admins 等高权限组成员列表，清理多余账号。
5. 查询 180 天未登录僵尸账号，清理离职账号。
6. 扫描 SYSVOL 共享查找 groups.xml 遗留密码文件。
7. 审计 GPO 组策略 ACL 权限，确认普通用户没有修改 GPO 权限。
8. 检查 LAPS 部署覆盖率，确认工作站、服务器全部部署 LAPS。
9. 检查 Protected Users 组成员，确认高权限账号加入。
10. 检查域密码策略，确认强密码、账号锁定策略生效。
11. 检查机器账号状态，机器账号是否正常轮换密码。
12. 查看域控制器审计日志是否正常转发 SIEM，无日志丢失。
13. 检查 LDAP 签名、SMB 签名组策略是否下发生效。

九、常见加固误区说明

很多运维做 AD 加固，踩下面误区，加固之后依然存在漏洞。

误区 1：只要密码足够复杂就安全。

错误。PtH、Kerberoasting、委派攻击很多场景，攻击者不需要破解密码，利用票据、哈希直接攻击，单纯强密码不能防御全部域攻击。必须配合协议加固、权限管控。

误区 2：域管理员密码复杂就万事大吉。

域管理员登录普通员工电脑，攻击者攻陷员工机器导出 TGT 票据，不需要破解密码直接拿到域管理员权限。核心管控：域管理员禁止登录普通终端。

误区 3：全部关闭 NTLM 协议。

老旧业务系统、打印机、工控设备大量依赖 NTLM，直接全部关闭会业务瘫痪。企业采取循序渐进策略：域控制器强制严格管控 NTLM，业务逐步迁移 Kerberos，利用组策略 NTLM 阻止列表，对风险主机阻止 NTLM。

误区 4：只加固域控，不加固成员服务器和终端。

攻击者攻击链路：攻陷员工终端→横向成员服务器→最后攻陷域控。如果终端、成员服务器配置漏洞很多，域控防护再强，攻击者层层渗透。AD 加固是整套体系，域控、服务器、终端、账号一起加固。

误区 5：开启敏感账号不能被委派，就万事大吉，忽视非约束委派服务器。

该策略保护账号，但是业务服务器开启非约束委派本身依然是高危，攻击者拿到服务器权限，等待高权限用户访问该机器。优先清除不必要非约束委派。

误区 6：备份 AD 域备份保存在域控制器本地。

域控沦陷攻击者会删除本地备份，备份需要离线异地保存。

十、总结

Active Directory 是企业内网身份的心脏，红蓝对抗中绝大多数内网攻击围绕 AD 展开。攻击者拿到普通工作站权限，依靠 AD 错误配置实现横向移动，一步步提升权限直至控制整个域。

本文梳理 PtH 哈希传递、PtT 票据传递、Kerberoasting、AS‑REP Roasting、NTLM 中继、Kerberos 委派、GPO 组策略漏洞等红队主流域攻击，每一类攻击都给出对应的加固方法。

AD 加固核心思路总结：

1. 最小权限，高权限账号数量尽量精简，禁止权限泛滥；
2. 遏制横向移动，部署 LAPS，每台机器本地管理员密码独立；限制域管理员登录普通终端；敏感账号开启禁止委派；使用 Protected Users 组；
3. 修复 Kerberos 风险配置，清理非必要 SPN，关闭无预认证账号，清除非约束委派；优先使用 gMSA 托管服务账号；
4. 协议加固：开启 SMB 签名、LDAP 签名，淘汰 NTLMv1，逐步迁移 Kerberos 认证；
5. 组策略安全管控，清除 SYSVOL 里面 groups.xml 明文密码，严格管控 GPO 访问权限；
6. 日志审计，完整开启 AD 审计，日志远端转发 SIEM，建立告警，及时发现探测攻击行为；
7. 定期巡检 AD 资产，清理僵尸账号，检查 SPN、委派、高权限组成员变化；
8. 域控制器最小攻击面，域控不跑业务应用，网络层面做访问控制，做好 AD 异地备份。

AD 安全加固不是一次性工作，是长期运维流程。业务系统迭代、人员入职离职，都会不断引入新风险，需要持续巡检调整。AD 安全不是域控单方面的加固，而是账号、服务器、终端、协议、日志整套安全体系协同防护，减少攻击者在内网横向移动的可能性。

最后

关于网络安全技术储备

网络安全是当今信息时代中非常重要的一环。无论是找工作还是感兴趣（黑客），都是未来职业选择中上上之选，为了保护自己的网络安全，学习网络安全知识是必不可少的。

如果你是准备学习网络安全（黑客）或者正在学习，下面这些你应该能用得上：

①网络安全学习路线
②20份渗透测试电子书
③安全攻防357页笔记
④50份安全攻防面试指南
⑤安全红队渗透工具包
⑥网络安全必备书籍
⑦100个漏洞实战案例
⑧安全大厂内部视频资源
⑨历年CTF夺旗赛题解析

一、网络安全（黑客）学习路线

网络安全（黑客）学习路线，形成网络安全领域所有的知识点汇总，它的用处就在于，你可以按照上面的知识点去找对应的学习资源，保证自己学得较为全面。

二、网络安全教程视频

我们在看视频学习的时候，不能光动眼动脑不动手，比较科学的学习方法是在理解之后运用它们，这时候练手项目就很适合了。

三、网络安全CTF实战案例

光学理论是没用的，要学会跟着一起敲，要动手实操，才能将自己的所学运用到实际当中去，这里带来的是CTF&SRC资料&HW资料，毕竟实战是检验真理的唯一标准嘛~

四、网络安全面试题

最后，我们所有的作为都是为就业服务的，所以关键的临门一脚就是咱们的面试题内容，所以面试题板块是咱们不可或缺的部分，这里我给大家准备的就是我在面试期间准备的资料。

网安其实不难，难的是坚持和相信自己，我的经验是既然已经选定网安你就要相信它，相信它能成为你日后进阶的高效渠道，这样自己才会更有信念去学习，才能在碰到困难的时候坚持下去。

机会属于有准备的人，这是一个实力的时代。人和人之间的差距不在于智商，而在于如何利用业余时间，只要你想学习，什么时候开始都不晚，不要担心这担心那，你只需努力，剩下的交给时间！

这份完整版的网络安全学习资料已经上传CSDN，朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】