勒索軟體能把整間公司的電腦同時加密，關鍵往往在於攻擊者先拿下了 Active Directory（AD）。AD 是多數企業內網的帳號與權限中心；加拿大網路安全中心指出，AD 一旦遭攻破，攻擊者就能取得 AD 所管理的所有系統與使用者的特權存取[1]。CISA 也說，拿下 AD 往往等於拿下整個企業，攻擊者可以藉此提權、橫向移動、長期潛伏，許多情況下還能進一步控制雲端資源[2]。拿到網域管理員權限之後，常見的做法之一是透過群組原則（GPO）把勒索軟體一次推送到所有電腦：MITRE ATT&CK 記錄 LockBit 2.0 會修改群組原則來停用 Windows Defender、自動感染網域內的裝置，Prestige 勒索軟體則是用網域控制站上的預設網域群組原則物件部署，Qilin 也曾透過群組原則推送排程工作來執行惡意程式[3]。整條攻擊鏈見勒索軟體如何入侵企業。

這篇寫給管理地端 AD（很多也同步到 Microsoft Entra ID）、但沒有專職身分管理團隊的中小企業與中型企業 IT 人員：先用多國資安機關的聯合指引認識常見的攻擊手法，再依 Microsoft 官方文件整理強化做法，接著是該監控的事件與評估工具，最後給一份人力有限時的優先順序。

攻擊者怎麼拿下 AD：聯合指引點名的手法

《Detecting and Mitigating Active Directory Compromises》由澳洲訊號局（ASD）旗下的澳洲網路安全中心（ACSC），與美國 CISA、NSA、加拿大網路安全中心、英國與紐西蘭的國家網路安全中心共同發布[1]。這份指引在 2024 年 9 月首次發布，2026 年 9 月 15 日更新，擴充了 DCSync 偵測與 Shadow Credentials 兩節[2]。指引涵蓋的手法包括：Kerberoasting、AS-REP roasting、密碼噴灑、MachineAccountQuota、非限制委派（unconstrained delegation）、寫在群組原則裡的密碼、AD 憑證服務（AD CS）、Golden Certificate、DCSync、傾印 ntds.dit、Golden Ticket、Silver Ticket、Golden SAML、Microsoft Entra Connect、單向網域信任繞過、SID History、Skeleton Key 與 Shadow Credentials[1]。以下挑出其中幾種，說明原理與主要對策：

  • Kerberoasting：任何持有有效票證授權票證（TGT）的帳號，都能向網域控制站要求任一服務帳號（設有 SPN 的帳號）的服務票證；如果票證以 RC4 加密，其中一部分是用服務帳號的密碼雜湊加密，攻擊者可以帶回去離線暴力破解[4]。對策：盡量改用 AES 而不是 RC4；服務帳號密碼最好在 25 個字元以上並定期更換，或改用群組受管理服務帳號（gMSA）；服務帳號只給最小權限，不要放進 Domain Admins 這類特權群組[4]。
  • AS-REP roasting：Kerberos 預先驗證（preauthentication）預設是啟用的；若某個帳號被設成「不需要 Kerberos 預先驗證」，攻擊者不必知道密碼就能要到一段可能以 RC4 等弱演算法加密的資料，再離線破解[5]。對策是所有帳號盡可能保持預先驗證啟用、稽核這個設定的變更，並同樣改用 AES 與長密碼[5]。
  • 密碼噴灑：用一個或少數幾個常見密碼，對大量帳號各試一次，藉此避開單一帳號連續失敗會觸發的鎖定[6]。對策是 MFA、設定登入失敗的鎖定門檻，並依 NIST 指引訂定密碼政策[6]。密碼規則見密碼政策怎麼訂，MFA 的選擇見多因素驗證導入指南。
  • DCSync：攻擊者假冒一台網域控制站，透過網域控制站的複寫 API 要求「同步」帳號資料，取得的密碼資料可能包括 KRBTGT 與管理員帳號的現有及歷史雜湊；Administrators、Domain Admins、Enterprise Admins 群組成員與網域控制站的電腦帳號都能執行[7]。對策是管好「Replicating Directory Changes」等複寫權限的存取控制清單，確認只有該有的對象擁有這些權限[7]。
  • Golden Ticket：攻擊者只要拿到 KRBTGT 帳號的密碼雜湊（通常是取得網域控制站的特權存取後傾印出來），就能替 AD 裡任何帳號偽造 TGT[8]。對策是把網域管理員帳號的權限限制在網域控制站與少數伺服器，其他管理工作交給另外的帳號；若懷疑雜湊外洩，要把 KRBTGT 密碼重設兩次，讓既有的偽造票證失效[8]。
  • AD 憑證服務（AD CS）：AD CS 核發的憑證可以當作登入憑據；憑證的主體別名（SAN）記錄了擁有者的其他身分名稱，而範本或註冊權限設定不當，可能讓攻擊者藉此提升權限[9]。MITRE 建議把 CA 伺服器視為 Tier 0 資產、稽核過度寬鬆的範本與註冊權限、停用 SAN 用於驗證以強制嚴格的使用者對應，或對含 SAN 的範本要求 CA 憑證管理員核准，並妥善保護憑證與私鑰[9]。

先把特權分開：管理模型、專用帳號與管理工作站

企業存取模型：不讓低層級控制高層級

Microsoft 用「企業存取模型」（enterprise access model）說明特權存取在整體存取控制中的位置，它由過去只針對地端 AD 的分層模型（Tier 0／1／2）演進而來：原本的 Tier 0 擴大為「控制平面」，涵蓋所有存取控制；Tier 1 拆成全企業 IT 管理的「管理平面」與個別系統的「資料／工作負載平面」；Tier 2 拆成「使用者存取」與「應用程式存取」[10]。核心原則是強制層級，避免較低的平面能控制較高的平面[10]。對中小企業來說，最實際的一步是先畫出自己的控制平面：網域控制站、AD CS、Entra Connect 伺服器，以及能管理它們的帳號與電腦，都要用最高標準保護。

管理帳號與日常帳號分開

每位管理者至少要有兩個帳號：一般帳號用來收信、上網、處理日常工作；另一個專用帳號只做管理，而且不收信、不上網。Microsoft 在 Entra Connect 的強化建議中寫得很直接：所有具特權存取的人員都要有專用帳號，管理者不應該用高權限帳號瀏覽網頁、收發郵件或處理日常工作[11]。網域管理員帳號的權限也應限制在網域控制站與少數伺服器，不拿去登入一般工作站[8]。

特權存取工作站（PAW）

攻擊者控制一台電腦，就能冒用在上面登入的帳號或竊取它的憑證，所以用來管理特權系統的電腦本身必須夠乾淨[12]。Microsoft 把裝置分成企業、專用與特權三個安全等級；特權存取工作站限制本機管理權限與可執行的程式、網頁預設全部封鎖只放行少數管理網站，並封鎖電子郵件與一般網頁瀏覽這兩個最常見的釣魚途徑，因此必須另外提供帳號與電腦處理日常工作[12]。預算有限時，至少準備一台只用來管理 AD、不收信也不上網的專用電腦。

Protected Users 群組

把網域管理員等高權限的「人」的帳號加入 Protected Users 群組後，系統會自動套用無法更改的保護：裝置端不快取明文憑證或 NTLM 雜湊、Kerberos 不再產生 DES 或 RC4 金鑰、不支援離線登入；網域控制站端則禁止這些帳號使用 NTLM 驗證、預先驗證不能用 DES 或 RC4、不能被委派，TGT 效期固定為 4 小時[13]。前提是網域功能等級至少為 Windows Server 2012 R2；服務帳號與電腦帳號不要加入；高權限帳號加入前要先測試，以免把自己鎖在外面[13]。

補上預設的弱點：LAPS、gMSA、krbtgt、NTLM 與 Entra Connect

Windows LAPS：每台電腦的本機管理員密碼都不同

本機管理員密碼常在多台裝置上重複使用，攻擊者拿到一台就能橫向移動到其他電腦；Windows LAPS 會定期輪換每台裝置的本機管理員密碼，備份到 AD 或 Microsoft Entra ID，也能管理網域控制站的 DSRM 帳號密碼[14]。它是 Windows 內建功能，不需要另外下載安裝，在所有支援的 Windows 平台上也不另外收費：Windows 11 23H2 與 Windows Server 2025 以後的版本都有；較早的 Windows 10、Windows 11 與 Windows Server 2019、2022 則從 2023 年 4 月 11 日的 Windows 更新開始提供（Windows 10 已在 2025 年 10 月 14 日終止支援，只有仍在接收更新的裝置可用）[14]。舊版 Microsoft LAPS 自 Windows 11 23H2 起已列為淘汰，新版系統會擋下它的安裝程式；改用 Windows LAPS 並把密碼備份到 AD 時，還能啟用密碼加密與密碼歷程[14]。

gMSA：服務帳號的密碼交給 Windows

Kerberoasting 破解的是服務帳號的密碼，所以服務帳號的密碼怎麼產生、多久更換最關鍵。gMSA 由 Windows 管理密碼：網域控制站依金鑰發佈服務提供的金鑰計算密碼，金鑰會定期更換，管理者不必經手；同一個 gMSA 可以讓多台伺服器上的同一服務共用，適用於 Windows Server 2012 以後的版本，Microsoft 建議一律設定使用 AES[15]。實在無法改用 gMSA 的服務帳號，至少改成 25 個字元以上的長密碼，並移出特權群組[4]。

krbtgt 密碼：重設兩次，中間至少等 10 小時

Microsoft 說明，krbtgt 帳號的密碼歷程值是 2，會保留最近兩組密碼，所以必須重設兩次才能把舊密碼完全清掉[16]。兩次之間至少要等 10 小時，這是使用者票證與服務票證最長效期的預設值；若改過這兩個設定，等待時間要大於設定值[16]。重設時輸入什麼密碼並不重要，系統會自動產生強密碼[16]。MITRE 也建議考慮每 180 天輪換一次 KRBTGT 密碼[8]。事件應變時何時重設、和其他帳號的重設順序，見疑似遭入侵的前 24 小時。

減少 NTLM 與 LLMNR

Microsoft 目前把 NTLM 列為已淘汰的協定，並在 2026 年 1 月公布分階段停用計畫：第一階段在 Windows Server 2025 與 Windows 11 24H2 以後提供強化的 NTLM 稽核，找出 NTLM 還用在哪裡、為什麼；第二階段補上減少退回 NTLM 的功能；到下一個主要 Windows Server 版本與對應的用戶端版本，網路 NTLM 才會預設停用，但仍保留在系統中，可以用原則重新啟用[17]。預設停用排在下一個主要版本，現在該做的是開啟稽核、盤點依賴 NTLM 的應用程式、把重要服務遷移到 Kerberos，並在非正式環境測試關閉 NTLM[17]。LLMNR 的風險則是攻擊者在內網回應 LLMNR、NBT-NS 或 mDNS 的名稱查詢，冒充被查詢的主機，騙電腦把驗證資料送過來再收集或轉送；MITRE 建議環境不需要時用群組原則停用 LLMNR、mDNS 與 NetBIOS，並啟用 SMB 簽章來擋 NTLMv2 轉送攻擊[18]。

Entra Connect 伺服器屬於控制平面

負責同步地端 AD 與 Entra ID 的 Entra Connect 伺服器存有關鍵的身分資料，Microsoft 要求把它當作 Tier 0 元件、以控制平面資產的標準強化[11]。原因是攻擊者控制這台伺服器後，就能操作 Entra ID 裡的使用者，例如重設密碼[11]。Microsoft 列出的強化項目包括：只讓網域管理員或嚴格控管的群組擁有這台伺服器的管理權限、禁止它使用 NTLM 驗證、所有特權使用者啟用 MFA、不需要時停用 soft match 與 hard match 接管，以及使用 Windows LAPS 與專用的特權存取工作站[11]。另外，Microsoft 要求在 2027 年 4 月 7 日前把 Entra Connect Sync 升級到 2.6.84.0 以上並設定應用程式型驗證，否則同步服務將停止運作[11]。雲端管理帳號的設定見 Microsoft 365 與 Google Workspace 安全基準設定。

監控與定期檢查

網域控制站上該盯的事件

  • 4769（Kerberos 服務票證要求）：出現 RC4 加密（加密類型 0x17）的服務票證，或同一個帳號在短時間內要求大量服務票證，是 Kerberoasting 的訊號[4]。
  • 4768（Kerberos TGT 要求）：預先驗證類型為 0 的請求，代表有帳號沒有啟用預先驗證，可能是 AS-REP roasting；大量列舉「不需要 Kerberos 預先驗證」帳號的行為也要注意[5]。
  • 登入失敗的分布：短時間內許多不同帳號用同一個或少數幾個密碼登入失敗，是密碼噴灑的典型樣態[6]。攻擊者也會改用 LDAP 與 Kerberos 嘗試，因為它們比較不會觸發 SMB 登入失敗常見的 4625 事件，只盯 4625 會漏掉[6]。
  • 4662（對目錄物件執行操作）：用來偵測 DCSync。正常的目錄複寫只會來自已知的網域控制站，從其他電腦發出的複寫操作都要調查[19]。
  • 特權群組成員異動、新建或重新啟用帳號：尤其是 Domain Admins、Enterprise Admins 與 Administrators，任何沒有對應變更單的異動都值得當天查清楚。

這些事件要先確認網域控制站的稽核原則有開啟，並轉送到攻擊者拿到網域管理員也刪不掉的集中位置；收哪些日誌、保存多久，見日誌該記什麼、要保存多久。

評估工具：先看清楚自己的 AD

  • Microsoft Defender for Identity：在身分基礎架構上安裝感應器，在本機擷取並解析網路流量與 Windows 事件，再送到雲端分析；提供透過 Microsoft Secure Score 呈現的身分安全態勢評估與橫向移動路徑分析，並偵測偵察、暴力破解等竊取憑證的嘗試、橫向移動，以及惡意的網域控制站複寫、Golden Ticket 等接管網域的行為[20]。
  • PingCastle：評估 AD 與 Entra ID 安全狀態的工具，產出風險指標報告與 AD 對應圖，並以成熟度評估讓主管與維運人員有共同語言；2024 年由 Netwrix 收購，有免費的 Community Edition 與付費版本[21]。
  • BloodHound Community Edition：由 SpecterOps 維護、以 Apache 2.0 授權釋出，用圖論找出身分與存取管理系統中隱藏、往往非預期的關係，支援 AD 與 Azure 環境，資料來自 SharpHound 與 AzureHound 收集器[22]。

三者定位不同：Defender for Identity 是持續監控與偵測的服務，PingCastle 與 BloodHound CE 適合定期執行、找出設定弱點與攻擊路徑。在自家環境執行前，先取得書面授權並通知負責監控的人員，以免觸發告警或被誤判為攻擊。報告裡的高風險項目若內部人力處理不完，可以考慮資安健診服務。

行動清單

人力有限時，照這個順序做；前四項多半不需要額外預算：

  1. 列出 Domain Admins、Enterprise Admins、Administrators 等特權群組的成員，移除不需要的帳號，確認沒有服務帳號在裡面。
  2. 為每位管理者建立專用管理帳號，日常帳號移出特權群組；網域管理員帳號只登入網域控制站與專用的管理電腦。
  3. 部署 Windows 內建的 LAPS，讓每台電腦的本機管理員密碼都不同。
  4. 跑一次 PingCastle 或 BloodHound CE，優先處理：未啟用預先驗證的帳號、多年沒換密碼的服務帳號、過度寬鬆的 AD CS 範本與複寫權限。
  5. 開啟並集中保存 4768、4769、4662 與登入失敗事件，為特權群組異動設定即時告警。
  6. 服務帳號逐步改用 gMSA；暫時不能改的，換成 25 個字元以上的長密碼並改用 AES。
  7. 先拿一個網域管理員帳號測試 Protected Users，沒問題再把所有管理者的人員帳號加入。
  8. 開啟 NTLM 稽核找出依賴的系統；確認沒有影響後，用群組原則停用 LLMNR 與 NetBIOS，並啟用 SMB 簽章。
  9. 把 Entra Connect 伺服器、AD CS 與網域控制站列為控制平面，只能從專用管理電腦管理；確認 Entra Connect Sync 在 2027 年 4 月 7 日前完成升級。
  10. 寫好 krbtgt 重設兩次的程序（中間至少等 10 小時），並排進定期維護；遇到疑似入侵，依前 24 小時指引的順序執行。