Active Directory 安全性最佳實務：10 種最佳方法
您的 Active Cloud Directory 處於未受管理、脆弱且暴露於威脅行為者的狀態。以下是十個可用來保護您的基礎架構免受當今常見攻擊的建議。不要錯過，並隨時掌握最新資訊。
Active Directory (AD) 是攻擊者高度重視的目標，他們經常試圖入侵它，以提升其權限並擴大存取範圍。不幸的是，由於其在營運上的必要性，AD 必須讓整個企業中的使用者都能輕鬆存取——這也使其出了名地難以防護。Microsoft 表示，每天有超過 9,500 萬個 AD 帳戶遭受攻擊，突顯了此問題的嚴重性。
雖然保護 AD 是一項挑戰，但絕非不可能——它只是需要正確的工具與戰術。以下是企業可用來更有效保護 AD、抵禦當今一些最常見攻擊戰術的十項建議。
1. 防止並偵測特權、委派管理員、服務與網路工作階段的列舉
一旦對手突破周邊防禦並在網路內部建立立足點，他們就會進行偵察，以識別可能有價值的資產——以及如何接觸到這些資產。其中一種最佳方式就是鎖定 AD，因為他們可以將這些行為偽裝成正常的業務活動，而幾乎沒有被偵測到的機會。
偵測並防止權限、委派管理員與服務帳戶列舉的能力，可以讓防禦者在攻擊週期的早期就察覺對手的存在。在端點上部署欺敵網域帳戶與認證，也能讓攻擊者誤入陷阱，並讓防禦者將其重新導向至誘餌以進行互動。
2. 識別並修補特權帳戶暴露
使用者經常會在其工作站上儲存認證。有時這是意外所致，而有時則是出於自願——通常是為了方便。攻擊者知道這一點，並會鎖定這些已儲存的認證以取得對網路環境的存取權。只要有正確的一組認證，就能發揮很大作用，而入侵者總是會尋求進一步提升其權限與存取範圍。
企業可透過識別特權帳戶暴露、修補錯誤設定，以及移除已儲存的認證、共用資料夾與其他弱點，避免讓攻擊者輕易進入網路。
3. 防護並偵測「Golden Ticket」與「Silver Ticket」攻擊
Pass-the-Ticket (PTT) 攻擊是對手用來在整個網路中橫向移動並提升其權限的最強大技術之一。Kerberos 的無狀態設計策略使其容易遭到濫用，這表示攻擊者可以輕易在系統內偽造票證。「Golden Ticket」與「Silver Ticket」是對手用來達成網域入侵與網域持續存取的兩種最嚴重 PTT 攻擊類型。
要處理此問題，需要具備偵測脆弱 Kerberos Ticket Granting Ticket (TGT) 與電腦服務帳戶的能力，並識別與警示可能導致 PTT 攻擊的錯誤設定。此外，像 Singularity Identity 這樣的解決方案可在端點上防止偽造票證的使用。
4. 防護 Kerberoasting、DCSync 與 DCShadow 攻擊
「Kerberoasting」攻擊是對手取得特權存取的簡單方式，而 DCSync 與 DCShadow 攻擊則可在企業內維持網域持續存取。
防禦者需要具備持續評估 AD 的能力，以提供對 AD 攻擊的即時分析，同時對導致這些攻擊的錯誤設定發出警示。此外，能夠利用端點存在性來防止惡意行為者發現可鎖定帳戶的解決方案，也能抑制其執行這些入侵行動的能力。
5. 防止從網域共用中蒐集認證
對手通常會鎖定儲存在指令碼或群組原則檔案中的明文或可逆密碼，而這些檔案通常存放於 Sysvol 或 Netlogon 等網域共用中。
像 Singularity Identity Posture Management 這樣的解決方案可協助偵測這些密碼，讓防禦者能在攻擊者鎖定它們之前修補這些暴露。像 Singularity Identity 解決方案中的機制，也能在正式環境 AD 中部署欺敵 Sysvol 群組原則物件，藉由將攻擊者誤導遠離正式環境資產，進一步干擾其行動。
Singularity™ Identity
Detect and respond to attacks in real-time with holistic solutions for Active Directory and Entra ID.
6. 識別具有隱藏特權 SID 的帳戶
透過使用 Windows Security Identifier (SID) 注入技術，對手可以利用 SID「歷程記錄」屬性，讓他們能在 AD 環境中橫向移動，並進一步提升其權限。
要防止此情況，需要偵測在 SID 歷程記錄屬性與報告中設定為已知特權 SID 值的帳戶。
7. 偵測關鍵物件上的危險存取權限委派
委派是 AD 的一項功能，可讓使用者或電腦帳戶模擬另一個帳戶。 例如，當使用者呼叫託管於 Web 伺服器上的 Web 應用程式時，該應用程式可以模擬使用者的認證，以存取託管於不同伺服器上的資源。任何啟用不受限制委派的網域電腦，都可以將使用者認證模擬至網域上的任何其他服務。不幸的是，攻擊者可以利用此功能來取得網路不同區域的存取權。
持續監控 AD 弱點與委派暴露，可協助防禦者在對手利用這些弱點之前識別並修補它們。
8. 識別已啟用委派的特權帳戶
說到委派，設定為不受限制委派的特權帳戶可能直接導致 Kerberoasting 與 Silver Ticket 攻擊。企業需要具備偵測並報告已啟用委派之特權帳戶的能力。
完整列出特權使用者、委派管理員與服務帳戶，可協助防禦者盤點潛在弱點。在此情況下，委派並非自動就是不好的。基於營運原因，它往往是必要的，但防禦者可以使用像 Singularity Identity 這樣的工具，防止攻擊者發現這些帳戶。
9. 識別 AdminSDHolder ACL 中的非特權使用者
Active Directory Domain Services (AD DSs) 使用 AdminSDHolder 物件與 Security Descriptor propagator (SDProp) 程序來保護特權使用者與群組。AdminSDHolder 物件具有獨特的 Access Control List (ACL)，可控制屬於內建特權 AD 群組成員之安全性主體的權限。為了實現橫向移動，攻擊者可以將帳戶加入 AdminSDHolder，授予它們與其他受保護帳戶相同的特權存取權。
組織可使用像 Singularity Identity Posture Management 這樣的工具來偵測並警示 AdminSDHolder ACL 中是否存在異常帳戶，以防止此類活動。
10. 識別對 Default Domain Policy 或 Default Domain Controllers Policy 的近期變更
在 AD 中，組織使用群組原則來管理多項營運設定，方法是定義特定於環境的安全性設定。這些原則通常會設定管理群組，並包含啟動與關機指令碼。管理員會設定它們，以在各層級套用組織定義的安全需求、安裝軟體，以及設定檔案與登錄權限。不幸的是，攻擊者可以變更這些原則，以在網路內達成網域持續存取。
監控預設群組原則的變更，可協助防禦者快速發現這些攻擊者、降低安全風險，並有助於防止對 AD 的特權存取。
Reduce Identity Risk Across Your Organization
Detect and respond to attacks in real-time with holistic solutions for Active Directory and Entra ID.
部署正確的工具
了解對手用來鎖定 AD 的最常見戰術，可協助企業加以防禦。在開發 Singularity Identity Posture Management 與 Singularity Identity 等工具時，我們考量了許多攻擊向量，並識別出最佳的偵測與阻撓方式。
有了這些工具，現今企業便能有效識別弱點、及早偵測惡意活動，並修補安全事件，避免入侵者提升其權限，並將小規模攻擊演變為重大資料外洩。保護 AD 是一項挑戰，但憑藉當今的 AD 防護工具，這並非無法克服。
Active Directory 安全性最佳實務常見問題
Active Directory 安全性是一套措施與實務，可用來保護您的 Microsoft Active Directory 環境免受網路威脅。它透過從單一集中位置管理使用者帳戶、電腦和權限，來控制誰可以存取您網路中的哪些資源。基本上，它就是守門員，負責驗證使用者是否為其所聲稱的身分，並決定他們進入後可以執行哪些操作。
這包括驗證、授權、存取控制和監控，以防止未經授權的使用者干擾您的系統和資料。
Active Directory 安全性至關重要，因為如果攻擊者入侵您的 AD，他們實際上就掌握了您整個王國的鑰匙。您的 AD 控制整個網路中所有系統、應用程式與敏感資料的存取權限。遭到入侵的 AD 可能導致大規模資料外洩、系統損毀，甚至整個網路完全停擺。
目前每年有 250 億次 Azure AD 攻擊，如果您未能保護這個中央樞紐，威脅行為者就可能提升權限、在您的網路中橫向移動，並部署勒索軟體或竊取認證資訊。這類損害可能使您的業務營運陷入癱瘓，並造成重大的財務損失。
您應維持最少的特權使用者，並使用群組指派存取權，而非個別權限。套用符合現代要求的強式密碼原則，並對所有管理員帳戶強制啟用多重要素驗證。關閉不必要的服務，例如 Print Spooler、停用 SMBv1，並在可行情況下限制 NTLM。定期進行安全性評估，以找出閒置帳戶，並在其成為攻擊媒介之前將其移除。
持續監控您的 AD 是否有可疑活動，特別是特權群組變更與登入失敗嘗試。確保網域控制站的實體安全，並維持適當的備份與復原計畫。
MFA 透過在密碼之外加入額外的驗證步驟，讓您的 AD 安全性大幅提升。即使攻擊者透過網路釣魚或暴力破解攻擊竊取您的認證資料，若沒有第二驗證因素（例如行動應用程式或硬體權杖），他們也無法登入。MFA 可阻擋超過 99.9% 的自動化攻擊，且即使認證資料外洩，也能將資料外洩風險降低 98.56%。
您可以使用各種方法，例如 Microsoft Authenticator、FIDO2 金鑰、生物特徵辨識，以及 SentinelOne 等平台，讓威脅行為者更難入侵帳戶。若發生問題，MFA 也能提供更完善的稽核軌跡，以利鑑識分析。
您的 AD 安全檢查清單應從稽核目前的安全狀態，以及識別需要移除的過時帳戶開始。它將檢視並強化密碼原則，接著實作帳戶鎖定原則以阻止暴力破解嘗試。另一個項目是為所有特權帳戶部署多重要素驗證，並根據最小權限原則建立安全的存取控制原則。設定定期修補程式管理、執行弱點評估，並進行 AD 稽核以找出組態問題。
為關鍵事件啟用適當的記錄與監控，特別是網域管理員群組變更與驗證失敗相關事件。記錄您的安全原則，對員工進行最佳實務訓練，並定期測試您的 AD 復原流程。
您需要監控安全性記錄中的特定事件 ID，尤其是登入失敗 (4625)、帳戶鎖定 (4740) 以及權限提升嘗試 (4672)。請留意對高權限群組（例如 domain admins 和 enterprise admins）的未授權變更，因為這些通常是安全性外洩的訊號。針對異常登入模式設定即時警示，例如來自單一 IP 位址的多次失敗嘗試，或在正常工作時間以外的登入。
監控群組原則變更、管理員帳戶的密碼重設，以及對網域控制站設定的任何修改。SentinelOne 可協助您追蹤這些活動，並協助進行自動化偵測與警示
深入了解 身分安全
準備好徹底革新您的安全營運了嗎？
了解 SentinelOne AI SIEM 如何將您的 SOC 轉型為自主化的強大中樞。立即聯絡我們以取得個人化示範，親眼見證安全防護的未來如何實現。
