在Windows环境中，某个不满或粗心的特权用户很容易便可造成灾难，因为一切都依赖于Active Directory (AD)。如果Active Directory中断，则整个网络就会中断，即使您的任何服务器和应用程序都没有问题也是如此。

有多么容易？ 本电子书介绍了特权用户（或窃取了特权凭据的攻击者）可用来使AD中断继而使网络其余部分中断的许多方式中的3种，包括：

• 拒绝登录权限
• 使DNS中断
• 利用操作系统中的漏洞

然后，我们介绍了8种重要的AD安全妥善做法，可帮助您降低该风险并提高您在遇到灾难情况时的恢复能力。

当今许多企业花费数以百万美元计的资金来加强网络边界，将攻击者拒之网络之外，但是未能充分关注已在内部的恶意用户。实际上，内部威胁占所有网络安全攻击的60 %，因此绝不可被忽略。但是发现内部威胁说起了容易做起来难，尤其是您依靠基于规则的检测方法时。在第一周结束时，您可能仅仅因追踪误报便筋疲力竭。幸运的是，我们可以提供帮助。

在本电子书中，我们将介绍为何使用基于用户行为的检测方法的解决方案（如Change Auditor Threat Detection,）可以大大提高您捕获内部威胁的几率，避免它们对您的企业造成灾难。您不仅能够使用各种策略来捕获内部威胁，还可消除与基于规则的检测方法相关联的大量误报。

本文档将Quest 的Active Directory 迁移解决方 案与Microsoft Active Directory Migration Tool (ADMT) 版本3.2 进行了比较。在执行复杂的AD 迁移项目时，Quest 产品组合可以提供许多优势， 包括许多重要的竞争优势。 

本文档反映了2022 年9 月执行的比较研究。

检测恶意用户进行的可疑活动是一个巨大的难题。基于规则的传统用户威胁检测方法会生成很多警报，以至您无法完全对它们进行调查；您最终会浪费时间来找出误报问题并面临忽略所有真正威胁的风险，从而使您的企业面临数据安全违规的风险。但是，如果您拥有成熟的模式识别技术，可以仅在用户异常行为足以表明其危害凭据或滥用权限时才发出警报，这会怎么样？

Quest® Change Auditor威胁检测使用高级机器学习、用户和实体行为分析(UEBA)以及SMART关联技术，在您的环境中准确发现异常活动并识别风险很高的用户，以便您可以有效保护数据和业务。本技术简介对此解决方案的工作方式进行了说明。

如今，组织敏锐地意识到增强网络安全势在必行。然 而，往往很难找到一个有效可行的战略来实现这一 目标。攻击者不断发明新的战术和技术，让 IT 部 门疲于应对一次次攻击。 不过，有一种切实可行的方法来先发制人地应对网 络攻击：像攻击者一样思考。多年来，黑客一直在 使用一个名为 BloodHound 的免费开源工具，用于 在他们入侵普通用户帐户后找到最快的路径来接管 整个环境。为了跟上他们的步伐，IT 团队需要主动 规划出黑客可能利用的所有攻击路径，并且至关重 要的是，找出关键的补救措施，从而一次关闭数百 乃至数千条攻击路径。 可喜的是，现在他们可使用一个工具来轻松有效 地进行攻击路径管理：SpecterOps BloodHound Enterprise。本白皮书阐释了攻击路径管理如何运 作，以及为什么说它是保障现代网络安全的可行方 法。此外，它还解释了如何运用其他关键策略来完善 攻击路径管理工作，从而不仅保障网络安全性，同时 还提供网络抗风险能力。

Active Directory (AD) 体系结构在保护组织免受威胁方面发挥着重要作用。AD 合规性和安全性要求不时发生变更，您必须跟上其步伐，这一点至关重要。如果您有多个 AD 环境或老化的环境，则控制风险更是难上加难。不妨考虑执行 AD 迁移和整合，以实现现代化并增强安全性。

由于Active Directory (AD)为超过90 %的全球企业提供主要身份验证和授权目录服务，因此它已成为网络攻击的共同目标。据Microsoft统计，事实上每天有超过9500万AD帐户遭到网络攻击。

虽然没有一种完全保险的方法能阻止外部人员或内部人员泄露数据，但是，您可以通过多层安全在物理、逻辑、管理和数据层共同发挥作用来加强AD的安全，从而显著降低发生安全事件和未经授权访问的风险。不过，构建这些安全层需要补充AD的本机安全机制（含额外功能）。

本白皮书详细介绍了您应该实施以改善AD安全态势的逻辑安全层和管理安全层，并阐述了您应在第三方解决方案（如Quest Software提供的Active Directory安全套件）中寻找的一些功能，以补充本机安全机制。

组策略对象(GPO)的设计目的是为了简化IT操作和跨Active Directory环境提供集中式安全策略。与任何其他强大的系统一样，GPO也会遭到滥用或侵入，以规避安全控制并获得敏感数据的访问权限。一些大中型企业跨大范围分布式环境部署了数百甚至数千个GPO，这不仅会产生巨大的内部威胁，还会暴露大量表面攻击区域（在未提供适当补偿安全控制的情况下）。

本白皮书介绍了在未提供适当安全控制的情况下GPO如何遭到滥用或侵入，并解释了如何实施分层安全基础架构，便于您检测和阻止对GPO的未经授权访问并发出相应警报。

Microsoft Active Directory 是许多企业IT基础架构的基石。它扮演着 非常重要的角色，因为用户的 Active Directory 身份决定了他们对 IT 资源的访问和使用权。在管理单台计算机（工作站）和其他注册 设备上的软件部署方面，Active Directory 也发挥着重要作用。 事实上，Active Directory 是组织应用程序基础架构的纽带；鲜少有 其他IT目录具有如此高的可见性和用户影响力。 考虑到这一重要作用，将 Active Directory 迁移到新环境必定是一 项复杂的任务，必须仔细规划和管理，这一点不言而喻。创建 Active Directory 迁移计划的第一步是了解所涉及的驱动因素和 挑战。

对Active Directory安全的内部威胁真实存在、范围广泛且成本颇高。AD在全球企业中的优势使其成为敌人的首要目标，用于利用技术限制和人为错误来从内部实施数据泄露。

AD事件的监控日志仅仅是起点，但许多内部威胁都利用未记录的AD事件。除此之外，需要注意的可疑攻击点非常之多，并且没有自动化方法来防止所有方面。

本白皮书重点介绍Microsoft Active Directory (AD)因在面向所有用户的身份验证和授权中至关重要而成为攻击者的首要目标。读者将看到典型的内部威胁如何展开并了解有关Active Directory安全的最佳做法，这些最佳做法能够最大限度地降低对AD可用性、机密性和完整性的内部威胁风险。

如需详细了解Active Directory安全，请按需观看我们的网络广播：

剖析内部攻击 - 保护Active Directory至关重要。