Active Directory权限滥用的威胁与防御策略
事件背景：Change Healthcare勒索攻击
2024年初，BlackCat勒索软件对Change Healthcare的攻击导致美国医疗行业大规模瘫痪。调查发现，这起重大国家安全事件的根源是攻击者通过被盗凭证远程访问了未启用多因素认证（MFA）的Citrix门户。入侵后，攻击者在系统内横向移动，最终部署勒索软件，影响持续波及数百万美国人。
Active Directory的安全漏洞现状
作为大多数组织身份管理的核心，Windows Active Directory（AD）已成为攻击者的高价值目标。Change Healthcare事件仅是众多利用AD漏洞的案例之一。AD平台的复杂性和规模使得安全防护变得困难，尤其是本地部署的AD账户需要企业自行构建安全体系。
攻击者通常先攻破非特权AD账户进入网络，随后利用内部工具和技术进一步操纵AD。用户账户和凭证安全成为最薄弱的环节，因此账户的管理、监控和保护是AD防御的基础。有效的AD防御不仅需要阻断初始入侵，还需增加攻击者在网络内横向移动的难度。
AD权限提升的攻击手法
AD中的权限概念常被误解。除了系统管理员账户外，AD还包含多种特权账户类型（如企业管理员、域管理员、架构管理员等），各自具有不同的访问权限。最小权限原则要求每个账户仅拥有必要权限，但所有AD账户（包括普通用户账户）都具备一定特权，这为攻击者提供了权限提升的空间。
攻击者常通过利用软件漏洞、配置错误或劫持AD内部流程来提升权限。现代攻击者更倾向于使用网络工具直接定位特权账户凭证，通过冒充这些账户扩大访问范围。
防御策略与最佳实践
-
多层安全防护
- 防范钓鱼攻击、强制使用强密码、为所有账户启用MFA
- 监控特权账户访问和管理员操作，设置策略修改警报
-
精细化权限管理
- 根据需求为特权账户分配"只读"或"读写"权限
- 在用户账户控制（UAC）提示中启用MFA，替代默认的密码验证
-
超越登录阶段的防护
- 建立内部行为监控机制，及时检测异常活动
- 避免仅为了合规而部署安全方案，应确保其能有效应对凭证泄露、横向移动等威胁
关键结论
即使已通过MFA强化登录安全，组织仍需持续监控用户登录后的行为。现实攻击案例表明，内部行为防护与初始访问控制同等重要，企业应投入更多资源防御AD内部威胁。
作者简介：François Amigorena是IS Decisions创始人兼CEO，专注于Microsoft Windows和Active Directory环境的访问管理与MFA解决方案。