15、高级Active Directory攻击与防范

高级Active Directory攻击与防范

1. 引言

Active Directory（AD）是Windows域目录服务的实现，用于提供用户和身份管理、认证以及策略管理服务。它是最常见的目录服务实现，广泛应用于Windows生态系统。

在Active Directory中，Windows域的用户和身份管理服务（如用户认证和授权）由运行Active Directory域服务的服务器（即域控制器，DC或AD DC）提供。域控制器原生支持两种主要协议：Kerberos和LDAP。客户端使用这些协议与域控制器以及它所提供的各种用户和账户管理服务进行通信。域控制器的其他功能包括但不限于：包含目录中每个对象信息的全局目录、用户或应用程序可用于搜索（目录）对象及其属性的查询服务，以及在网络中复制目录数据的复制服务。

2. 安全威胁

由于AD DC在Windows生态系统中负责管理用户凭证以及其他认证和授权服务，它成为了每个恶意行为者都想攻破的“皇冠上的宝石”。为了对Windows生态系统发动攻击，威胁行为者通常需要获得对域控制器的特权访问，这通常通过窃取（域）管理凭证、窃取用户或系统凭证，然后提升这些凭证的权限来实现。

除了基本的凭证窃取或在受感染的以太网网络中嗅探凭证外，攻击者和恶意实体还会使用许多其他复杂而精密的漏洞利用和攻击手段。了解这些攻击对于设计和实施适当的保护方案至关重要。以下是一些常见的攻击及其保护选项：

2.1 Pass the Ticket（PTT）

• 攻击原理 ：攻击者从受感染的系统中窃取用户的Kerberos令牌，然后使用该令牌以