Active Directory 正遭受攻擊：保護與防禦企業的最佳實務方法

Active Directory（AD）仍是全球絕大多數企業的身分識別與存取管理核心系統，因此也成為網路犯罪分子的首要攻擊目標。AD 幾乎時時刻刻都處於攻擊風險之中，而威脅行為者往往不需要仰賴複雜的零時差漏洞（zero-day）來入侵系統。相反地，他們多半利用一個普遍且持續存在的弱點：日常設定錯誤（misconfigurations）。這些錯誤通常在多年營運變更與舊系統整合過程中逐漸累積，使組織暴露於高度風險之下，讓攻擊者能夠悄悄外洩敏感資料，或在網路中橫向移動而不被察覺。

理解現代威脅情勢，必須認知到攻擊者並非總是從神秘據點「駭入」系統；更多時候，他們只是像一般使用者一樣「登入」，利用保護不足的帳密與過度開放的存取權限進行滲透。在本文中，我們將探討這些常見的設定錯誤是什麼、為何它們讓 Active Directory 成為主要攻擊途徑，以及最重要的——您可以採取哪些具體行動來避免這些風險。

攻擊者不是闖入，而是登入

正如近期在即時研討會「Active Directory Under Attack: Best Practices to Defend and Protect」中所討論的，Active Directory（AD）的安全性至關重要。來自 One Identity、專精於 AD 管理與安全的解決方案架構師 AJ Lindner，以及來自 TrustedSec、長期模擬這類攻擊的 Brandon Colley，深入解析了 AD 環境如何被入侵，以及更重要的——如何進行防禦。

一旦威脅行為者成功入侵 AD，等同於掌控整個 IT 環境，瞬間從外部攻擊者升級為擁有合法憑證的內部人員。

在當今的威脅環境中，一句老話比以往更加貼切：「攻擊者不是闖入，而是登入」。

保護 Active Directory 的持續攻防戰

AD 是 IT 基礎架構的核心，負責將使用者連接到其終端設備、應用程式、資料庫與檔案資源。由於它掌握著「王國的鑰匙」，防護 AD 並非選擇，而是企業資安的基本要求。

然而，隨著時間推移，AD 環境不斷擴展與演變，變得極為複雜。在確保業務持續運作與使用者順利存取的壓力下，資安最佳實務往往被忽略。

本篇將深入探討 AD 攻擊的真實樣貌，檢視那些讓系統門戶大開的設定錯誤，並說明如何有效補強這些漏洞。

為什麼 Active Directory 是主要攻擊途徑

當攻擊者初次入侵網路時——例如透過釣魚郵件取得一名低權限使用者的工作站存取權——他們的目標通常不會停留在該台電腦上。這個初始據點只是起點，接下來他們會進行環境偵察（reconnaissance）、繪製 Active Directory（AD）架構、提升權限，並最終取得合法憑證，成為「內部人員」。一旦達成這一步，他們幾乎等同掌控整個 IT 環境。

而 AD 中的各種「設定錯誤」，正是讓這一切得以發生的關鍵踏板。當權限設計過於寬鬆，或仍保留舊版協定時，攻擊者便能利用這些弱點，從單一受感染的工作站橫向移動到更高價值的伺服器。

更棘手的是，這些攻擊行為使用的往往是合法帳號，並透過標準 AD 功能來執行，因此在流量上看起來與一般管理操作無異，難以被察覺。攻擊者可以在不被傳統邊界型資安工具發現的情況下，逐步提升權限、取得網域管理員權限，最終外洩企業敏感資料，甚至部署破壞力極高的勒索軟體。

這就像 IT 世界中的一個經典比喻——門已經上鎖了，但鑰匙卻還插在門上。

基於設定錯誤的攻擊途徑（以及如何防範）

我們在實務演練中展示的攻擊手法，並非仰賴什麼高深莫測的技術，而是利用設定隨時間偏移（configuration drift）與管理疏忽所產生的漏洞。

以下將帶您了解攻擊者最常鎖定的幾種「設定錯誤型攻擊途徑」，以及企業可以採取哪些具體措施來有效封堵這些風險。

過度權限與管理權限膨脹

最常見的問題之一，就是過多使用者被賦予高權限角色。隨著時間推移，IT 人員可能因為臨時除錯或專案需求，被加入 Domain Admins、Enterprise Admins，或其他高權限自訂群組，但之後卻未被移除。

風險：擁有網域管理員權限的使用者越多，攻擊面就越大。一旦攻擊者透過釣魚等方式成功入侵其中一個帳號，整個環境幾乎就會瞬間失守。

解決方式：

• 落實最小權限原則（Principle of Least Privilege）
• 定期稽核高權限群組，移除不再需要該權限的帳號
• 導入 Just-In-Time（JIT）即時授權機制，僅在需要時、短時間內提升權限
• 建立分層管理架構（Tiered Administration Model），確保網域管理員僅在高安全性的域控制器上操作，避免登入一般工作站，防止憑證被竊取（credential scraping）

未妥善保護的服務帳號（Kerberoasting 風險）

服務帳號通常是 Active Directory 環境中的「阿基里斯腱」。這類帳號用於執行應用程式與各種服務，但往往管理不善，例如密碼長期不更換，甚至被賦予過高權限。

風險：攻擊者會利用一種稱為 Kerberoasting 的技術，向 AD 請求這些服務帳號的票證（service ticket）。由於該票證是使用服務帳號的密碼雜湊進行加密，攻擊者可以將票證離線保存並進行暴力破解。如果密碼強度不足，就有機會被成功破解，進而取得該服務帳號所擁有的所有權限。

解決方式：

• 盤點並審查所有服務帳號的使用情況
• 優先改用 Group Managed Service Accounts（gMSA），由系統自動產生並定期輪換高強度密碼，可有效消除 Kerberoasting 風險
• 對於無法遷移至 gMSA 的舊系統帳號，強制使用至少 25 字元以上的高強度密碼，使離線破解在實務上幾乎不可行（計算成本過高）

過期與未使用的帳號（Stale and Inactive Accounts）

當員工離職或轉調職位時，其原本的帳號往往仍留存在 Active Directory 中，未被即時停用或刪除。

風險：這些「幽靈帳號（ghost accounts）」對攻擊者來說是極具吸引力的目標。由於這些帳號已不再被實際使用，也缺乏持續監控，攻擊者一旦取得存取權限，就能低調地在網路中活動，而不容易觸發異常警示。

解決方式：

• 建立帳號生命週期自動化管理機制（Identity Lifecycle Management）
• 將 HR 系統與 AD 直接整合，確保員工離職或異動時，帳號能自動停用或刪除
• 建立自動化規則或腳本，針對 30～60 天未登入的帳號自動停用
• 定期進行帳號清查與盤點，降低長期閒置帳號風險

缺乏多重驗證（MFA）與弱密碼

在現今的資安環境中，只依賴密碼保護已經是一種嚴重的設定疏失。攻擊者可透過密碼噴灑（password spraying）、憑證填充（credential stuffing），甚至直接從暗網購買外洩帳密，逐步取得使用者登入資訊。

風險：若缺乏第二層驗證機制，一旦密碼遭到破解或外洩，攻擊者即可立即存取企業系統，毫無阻礙。

解決方式：

• 全面導入多重驗證（MFA），涵蓋所有與 AD 相關的端點與服務
• 優先針對管理員帳號與遠端存取入口強制啟用 MFA
• 在 AD 中導入密碼過濾機制（password filtering），避免使用弱密碼或已出現在資料外洩事件中的密碼

啟用預設與舊版設定（Default and Legacy Settings）

Active Directory 是一項歷史悠久的技術，設計上需兼顧向下相容性，因此許多環境仍預設啟用舊版通訊協定，例如 NTLMv1 或 Pre-Windows 2000 相容模式。

風險：這些舊有協定使用較弱的加密機制，容易被攔截或破解，現代攻擊工具（如 Responder）可輕易利用這些弱點進行攻擊。

解決方式：

• 持續進行環境強化（hardening）與安全稽核
• 盤點並檢查網路中 NTLM 的使用情況，逐步停用並改用 Kerberos
• 關閉不再需要的舊版相容功能與遺留設定
• 定期更新安全基準，避免舊設定長期殘留在生產環境中

透過主動式資安防護保護企業

保護 Active Directory（AD）免於因設定錯誤所引發的攻擊，不僅僅是 IT 部門的責任，更是避免企業面臨重大營運風險的關鍵策略。

當攻擊者成功利用過度權限、閒置帳號或未妥善設定的服務帳號時，他們就能在網路中自由移動且不易被察覺——實質上等同於全面掌控企業環境。一旦發生這種情況，企業將高度暴露於資料外洩與勒索軟體攻擊之下，進而造成嚴重的財務損失與品牌信任危機。

因此，保護 AD 是資安投資中最重要的一環之一。

透過嚴格落實最小權限原則（Principle of Least Privilege）、持續稽核環境中的設定偏移（configuration drift），並逐步淘汰舊有與不安全的協定，可以大幅縮小攻擊面，強化整體防護能力，避免企業遭受重大資安事件衝擊。

防禦 AD 需要持續的警覺與管理，但只要理解攻擊者的思維與手法，這些風險是完全可以被有效控制與預防的。

資料來源: One Identity Blogs