什麼是 Active Directory 安全性？AD 安全性說明

針對 Active Directory 的主要威脅與攻擊技術有哪些？

以下是針對 Active Directory 使用的主要威脅與攻擊技術：

以帳戶為基礎的攻擊

以帳戶為基礎的 Active Directory (AD) 攻擊會鎖定您的使用者，並試圖入侵其認證。以下說明主要攻擊的運作方式：

Golden Ticket (T1558.001)

Golden Ticket 攻擊是 Steal or Forge Kerberos Tickets: Golden Ticket (T1558.001) 的子技術。它們可能危及整個網路，並授予對網域資源的未授權存取。

它會使用 Impacket 和 Mimikatz 等工具來規避偵測，並操控 Windows 網路中的 Kerberos 驗證通訊協定。

Silver Ticket

Silver Ticket 攻擊的運作方式不同。它們會入侵您的使用者認證並濫用 Kerberos 通訊協定的設計。Silver Ticket 攻擊可讓攻擊者為目標服務偽造 ticket-granting (TGS) 票證。這些票證會以密碼雜湊加密，而這些 TGS 票證可為這些服務簽發。Silver Ticket 攻擊基本上可提供對資源的隱匿且持續的存取，只需服務帳戶的密碼雜湊即可存取。

權限過高的服務帳戶

擁有過多權限與控制權的非人類帳戶，在 Active Directory 中被稱為權限過高帳戶。它們可能導致資料外洩、認證竊取及營運中斷。無論它們擁有哪些權限，都超出網路中的必要範圍。

認證竊取

Active Directory (AD) 認證竊取攻擊會竊取使用者名稱、密碼及其他驗證資料。以下說明其運作方式：

Pass-the-Hash (T1550.002)

Pass-the-Hash (PtH) (MITRE T1550.002) 是一種橫向移動攻擊，對手會透過遭入侵的系統竊取您的密碼雜湊。他們會利用此雜湊在另一個系統上將自己驗證為合法使用者。

Pass-the-Ticket (T1550.003)

Pass-the-Ticket (PtT) (MITRE T1550.003) 會重複使用遭竊的 Kerberos 票證。以取得對您網路中資源的未授權存取。攻擊者會使用 Mimikatz 從您系統的記憶體中擷取 TGT。他們會將這些遭竊票證注入自己的工作階段，並冒充合法使用者以取得對專屬服務的存取權。

Kerberoasting (T1558.003)

Kerberoasting (MITRE T1558.003) 是一種針對離線帳戶的蒐集與服務帳戶破解技術。任何已驗證的網域使用者都可以執行此操作。這種方式沒有在網路上被偵測到的風險，而且威脅行為者可以避免帳戶鎖定原則，因為這是離線攻擊。只要 SPN 連結到使用者帳戶，您就會處於弱點風險中。

AS-REP Roasting

這是一種認證傾印攻擊，會利用您 Active Directory 中的錯誤設定。攻擊者會先找出已啟用 'Do not require Kerberos preauthentication' 設定的帳戶。他/她會代表易受攻擊的使用者，向網域控制站傳送驗證要求 (AS-REQ)。由於已啟用預先驗證，因此不需要提供密碼，而攻擊者就是藉此取得包含 Ticket-Granting Ticket (TGT) 的有效 Authentication Server Response (AS-REP) 作為回應。

目錄服務利用

以下是攻擊者可利用 Active Directory 服務的一些方式：

DCsync/DCShadow (T1003.006/T1528)

DCSync 攻擊會傾印認證，藉此利用 AD 的複寫程序。攻擊者可以冒充網域控制站，並要求另一個控制站直接為其複寫敏感密碼資料。

DCShadow 攻擊會利用攻擊者取得的較高層級權限來推送惡意變更。這是一種極佳的隱匿持久化技術，並可迫使遭入侵的機器在網路中偽裝成惡意網域控制站。

利用 AD Certificate Services (ESC1–ESC8 attack paths)

ESC1 攻擊路徑涉及使用有弱點的憑證範本來利用錯誤設定。攻擊者可以使用 Certipy 等工具來識別這些範本，並代表使用者要求憑證。他們可以將自己驗證為高權限使用者，並利用這些憑證發動更多攻擊。

ESC8 (NTLM Relay) 會利用設定錯誤的 AD CS Web 註冊服務。它們使用 NTLM 驗證而非 HTTP，並可透過轉送 NTLM 雜湊來強迫高權限帳戶驗證惡意服務。

濫用信任關係與委派

攻擊者可以在多網域環境中濫用信任關係，讓使用者取得對其他資源的存取權。他們可以在受信任網域中提升權限，並入侵具有非受限委派的機器。以資源為基礎的受限委派 (RBCD) 是他們入侵的另一種方式，並透過錯誤設定系統上執行的服務來提升其權限。

複寫攻擊

Active Directory 複寫服務可推送惡意變更，並嘗試透過利用目錄來竊取認證。以下說明複寫攻擊的運作方式：

• 未授權的複寫要求 (DCsync)： 它可讓攻擊者冒充網域控制站 (DC) 並要求敏感資料。
• 影子網域控制站 (DCShadow)： 這是一種高度隱匿的技術，攻擊者會註冊惡意 DC。該惡意 DC 會透過正常複寫將惡意變更推送到目錄中。
• 透過 AdminSDHolder/ACL 濫用實現持久化： 攻擊者會透過遭入侵的高權限帳戶取得持續存取權。他/她會修改 AdminSDHolder 物件上的權限。這也會自動還原對受保護群組權限所做的手動變更。

如何強化 Active Directory：最佳實務與檢查清單

以下是您的 Active Directory 安全性強化檢查清單。它也列出您可以遵循的 Active Directory 安全性最佳實務：

• 應透過特權存取管理來限制系統管理帳戶的存取。移除不必要的權限，並套用最小權限存取權模型。透過定期稽核帳戶，防止認證在您的網域環境中擴散。
• 跳板伺服器可提供受控的存取點，並在潛在入侵期間防止橫向移動。在一般使用者與網域管理工作之間建立網路分段。請務必保護您的管理員工作站並進行分層。
• 請啟用 LDAP 簽署，因為這可防止中間人攻擊，而通道繫結則可阻止針對目錄服務的認證中繼嘗試。
• 為服務帳戶設定強式密碼原則與自動密碼輪替，以降低攻擊面。請經常變更密碼並確保其唯一性，讓威脅行為者更難執行以認證為基礎的攻擊。
• Certificate Services 需要適當的範本與註冊控制來加以強化。您也需要謹慎設定 Federation 信任，以防止跨網域權限提升與未經授權的資源存取嘗試。
• 檢查您的工作站、應用程式、成員伺服器與資料儲存庫，確認您未對使用者帳戶授予任何過多權限。開始使用安全的管理主機，除了系統與網路安全之外，也要檢查其實體安全。
• 您可以為網域控制站設定安全性組態基準，並使用群組原則物件 (GPO) 強制執行。  使用進階稽核原則並對您的 AD 資料進行分類。

如何偵測 Active Directory 攻擊：監控與威脅偵測訊號

在 Active Directory 環境中，有許多值得關注的訊號可協助您監控並及時阻止攻擊。以下是您應注意的事項：

日誌與遙測

從網域控制站收集事件日誌。檢查 Kerberos 票證要求與 DC Diagnostics 報告，以發現異常模式。留意票證授權票證要求的激增，或來自單一主機的重複驗證失敗。關聯各服務的遙測資料，以精確找出偵察或權限濫用行為。

工具/分析

使用攻擊路徑對應工具與異常偵測引擎，將認證如何流經您的網路視覺化。網路監控平台會追蹤東西向流量並識別異常的 SMB 或 RPC 呼叫；它們可揭露隱藏的橫向移動。

入侵指標

尋找出現在非預期主機上的 SPN、在多個帳戶間重複使用的 Kerberos 票證，以及突發的群組變更。您應標記任何存取權限在未經核准流程下發生變更的帳戶，或任何在正常營業時間外簽發的票證。

Active Directory 遭入侵後如何回應與復原

若未加以控制，Active Directory 威脅可能對您的組織造成嚴重破壞。以下說明在 Active Directory 安全性遭入侵後，應如何回應與復原：

您應立即隔離任何遭入侵的帳戶，以防止進一步損害。在鑑識分析期間撤銷您的票證並重設密碼限制。您應保留所發現的任何證據，以供進一步調查與復原規劃使用。

您也需要還原系統。建立乾淨的備份，並專注於 NTDS 資料庫復原。在安全地讓服務重新上線之前，鑑識分析可協助您識別 Active Directory 攻擊技術、向量與遭入侵的系統。

事件後強化應套用從此次入侵中獲得的經驗教訓。變更您的組態並進行額外監控，以防止類似攻擊，同時改善組織的整體安全態勢與偵測能力。

哪些工具與技術可強化 Active Directory 安全性？

以下是一些可強化您的 Active Directory 安全性的工具與技術：

SIEM/EDR/身分威脅偵測技術

安全資訊與事件管理系統會從網域控制站收集驗證記錄，並掃描行為模式，以偵測憑證竊取或權限提升等可疑活動的跡象。端點偵測與回應系統會主動掃描工作站，偵測惡意軟體感染以及橫向移動嘗試，而身分威脅偵測系統則會掃描您混合式環境中的驗證異常。這些系統會交叉關聯來自多個來源的事件，以偵測進階持續性威脅的跡象。

網路攻擊路徑管理軟體 + 身分/權限管理

特權存取管理軟體會將管理員憑證安全地儲存在加密保險庫中，並透過自動化核准工作流程提供即時存取。這些平台會對整個環境中的潛在攻擊面進行建模，同時要求遵循最小權限原則，並對服務帳戶執行自動化密碼輪替。像 SentinelOne Singularity™ Identity Detection & Response 這類產品，也會透過特權帳戶管理與即時工作階段活動監控，提供憑證蔓延防護。

監控、自動化與  威脅狩獵

變更監控控制會監視 Active Directory 物件、群組成員資格與權限變更，並提供即時警示。自動化系統可識別組態漂移、找出非作用中帳戶，並標示可能顯示遭入侵的異常驗證模式。威脅狩獵技術會整合身分訊號與網路及端點資料，以識別逃過傳統安全控制的進階威脅。

常見錯誤與錯誤設定使 Active Directory 面臨風險

頻繁的錯誤與錯誤設定會危及 Active Directory 的安全性。開放的 LDAP、弱密碼、特權群組成員過多、信任設定錯誤、閒置帳戶等。

許多組織讓 LDAP 通道保持未簽署狀態。這會在驗證流程期間造成憑證攔截與中繼攻擊的機會。弱密碼原則加上 Domain Admins 群組中的過度成員資格，會不必要地擴大攻擊面。網域之間設定錯誤的信任關係會導致權限提升，而閒置帳戶則會形成可規避一般監控系統的持續性後門。若未定期進行審查週期，服務帳戶往往可能取得過多權限。

Active Directory 安全性的新興趨勢與風險

以下是需要留意的事項：

混合式 AD + Azure AD 整合風險

組織的混合雲部署會產生新的攻擊面，因為威脅行為者會利用內部部署與雲端身分基礎架構之間的同步落差。Azure AD Connect 與 ADFS Federation 信任若設定不足，會在兩種基礎架構之間造成權限提升機會。攻擊者將身分同步服務視為同時攻擊內部部署與雲端認證的一種手段。

雲端身分威脅、供應鏈威脅、AI 對手戰術

進階網路威脅會使用機器學習演算法掃描遭竊認證清單，從而自動化密碼噴灑與認證填充等複雜攻擊方法。供應鏈入侵日益以身分管理員與憑證授權單位為目標，而威脅勢力則會攻擊權限過高的雲端服務主體與擁有過多權限的應用程式身分。

政策/治理轉變與法規壓力

現今的合規標準要求零常設權限，以及對每項特權活動具備完整稽核軌跡的持續身分監控。企業必須實作即時存取模型、職責分離與自動化存取審查。新法規推動採用身分治理技術，要求以風險為基礎的驗證以及持續的合規驗證。

您應追蹤的 Active Directory 安全性指標與 KPI

以下是需要追蹤的關鍵 Active Directory 安全性指標與 KPI：

• 平均偵測時間： 您需要衡量安全團隊從初始入侵到偵測出潛在威脅的速度，最佳回應目標是於 30 分鐘至 4 小時內完成偵測。
• 平均回應時間： 這會衡量從威脅偵測到完全遏制與修復所需的時間。兩者都有助於衡量您的事件回應流程成熟度，以及您對網域控制站與驗證系統的偵測涵蓋範圍。
• 特權帳戶暴露情況： 透過監控 Domain Admins 與 Enterprise Admins 等高風險群組的成員資格變更，持續掌握您網域內擁有特權管理權限帳戶的總量。  您需要追蹤在特定時間範圍內未被存取的未使用特權帳戶、針對管理員帳戶的登入失敗嘗試，以及特權工作階段持續時間，另外還要留意非工作時間使用特權帳戶的跡象。
• 舊版通訊協定使用情況： 監控使用過時通訊協定（例如 NTLM、未簽署的 LDAP 與較舊版本 TLS）的驗證嘗試，因為這些通訊協定會助長認證中繼攻擊..
• 稽核涵蓋範圍： 追蹤已啟用完整記錄的網域控制站數量，涵蓋驗證事件、權限變更與原則修改。您需要識別整個 AD 基礎架構中日誌收集與保留的缺口，以防止出現盲點。
• 過時帳戶數量： 檢查在定義時間範圍內未進行驗證的使用者與電腦帳戶，通常使用者為 90 天，電腦為 30 天。監控清理活動，以及整個網域環境中作用中與非作用中帳戶的比例。

使用 SentinelOne 強化 Active Directory 安全性

如果您想了解如何保護 Active Directory，以下是一個解決方案：

Singularity™ Identity Detection & Response 可透過針對 Active Directory 以及 Active Directory 和 Entra ID 的即時基礎架構防禦，協助您終結憑證濫用。它可保護網域控制站和已加入網域的資產，防範企圖取得權限並隱密橫向移動的對手。

您可以偵測整個企業中來自任何作業系統上所有受管或非受管系統、任何裝置類型（包括 IoT 與 OT）的 AD 攻擊。您可以引導攻擊者遠離 AD 皇冠上的明珠，改而利用誘餌和假資訊將其誤導至死巷。它可隱藏並拒絕對本機與雲端儲存資料的存取，同時讓攻擊者的橫向移動變得極為困難。

您可以：

• 改善 Active Directory 安全性，並取得對鎖定關鍵網域伺服器之攻擊者活動的可視性與認知
• 掌握服務帳戶遭入侵的情況，因為這可能讓攻擊者在端點上提升權限。
• 識別存取控制清單與委派設定錯誤，這些錯誤會在未具備適當成員資格的情況下賦予帳戶提升後的權限。
• 保護高價值的使用者、服務與系統帳戶，避免遭攻擊者入侵。
• 快速實現價值，並完整涵蓋內部部署 Active Directory、Entra ID 與多雲環境

Singularity™ Identity Detection & Response 可支援您的 Zero Trust Program，並透過受控的存取管理功能，限制對應用程式與資料資源的隱含信任。它將識別端點、AD 與雲端中的身分暴露，以降低您的整體攻擊面。它可偵測來自端點或網域控制站的身分攻擊，並針對身分信任違規發出警示。

您將了解導致入侵的路徑，並透過地形圖的視覺化呈現，查看對手可能如何將攻擊從一個系統推進到另一個系統。透過使用它，您可以發現整個網路中促成橫向移動的隱藏要素，包括暴露面、孤立的憑證資產，以及政策違規。您可以使用我們的 AI-SIEM  進行日誌分析，而 SentinelOne 也提供 Singularity™ Endpoint 以提供端點安全防護。

Reduce Identity Risk Across Your Organization

Detect and respond to attacks in real-time with holistic solutions for Active Directory and Entra ID.

Get a Demo

結論

Active Directory Security 並非一體適用的方法。它是多種措施、工具與技術的組合，再加上您將用來強化 Active Directory 環境的實務做法。請一步一步來，先從基礎開始。檢查您現有的安全基礎架構、使用者帳戶，並進行稽核。然後再從那裡逐步提升。

如果您正在尋找最佳的 Active Directory 安全工具，歡迎聯絡 SentinelOne 團隊。我們的服務可以協助您。