我们正在准备一个场景,其中一个域中的一个帐户遭到入侵 – 下一步该做什么？
禁用该帐户将是我的第一个回答,但几周前我们在这里有一个问卷,他们可以使用几个月前离开的管理员用户的哈希登录.
到目前为止我们的两个答案是：
>删除帐户并重新创建(创建新的SID,但也为用户创建更多的戏剧并为我们工作)
>至少更改密码3次并禁用该帐户
你的方法是什么,或者你会推荐什么？
如果只有标准用户帐户遭到入侵,那么更改密码一次并启用帐户应该没问题.密码更改后,哈希将不起作用.如果帐户被禁用,它也将无效.作为一名笔测试员,我想知道笔测试者是否使用了Kerberos门票.在某些情况下,如果更改密码,或者帐户被禁用或甚至删除,这些都可以继续工作(请参阅缓解链接).
如果域管理员帐户遭到入侵,那么它实际上是游戏结束.您需要使您的域脱机,并更改每个密码.此外,krbtgt帐户密码需要更改两次,否则攻击者仍然可以使用他们窃取的信息发出有效的Kerberos票证.完成所有操作后,您可以将域名重新联机.
实施帐户锁定策略,以便无法猜出更改的密码.不要重命名您的帐户.攻击者可以轻松找到登录名.
另一个重点是培训您的用户.他们可能做了一些不明智的事情,这意味着帐户受到了损害.攻击者可能甚至不知道密码,他们可能只是以该帐户运行进程.例如,如果您打开的恶意软件附件可让攻击者访问您的计算机,则它们将作为您的帐户运行.他们不知道您的密码.除非您是管理员,否则他们无法获取您的密码哈希值.不要让用户在其工作站上以本地管理员身份运行.不要让域管理员登录到具有域管理员权限的工作站 – 永远！
进一步信息/缓解的链接：
https://mva.microsoft.com/en-us/training-courses/how-to-avoid-golden-ticket-attacks-12134
