active-directory – Windows域帐户遭到入侵后的下一步是什么？

我们正在准备一个场景,其中一个域中的一个帐户遭到入侵 – 下一步该做什么？

禁用该帐户将是我的第一个回答,但几周前我们在这里有一个问卷,他们可以使用几个月前离开的管理员用户的哈希登录.

到目前为止我们的两个答案是：

>删除帐户并重新创建(创建新的SID,但也为用户创建更多的戏剧并为我们工作)
>至少更改密码3次并禁用该帐户

你的方法是什么,或者你会推荐什么？

如果域管理员帐户遭到入侵,那么它实际上是游戏结束.您需要使您的域脱机,并更改每个密码.此外,krbtgt帐户密码需要更改两次,否则攻击者仍然可以使用他们窃取的信息发出有效的Kerberos票证.完成所有操作后,您可以将域名重新联机.

实施帐户锁定策略,以便无法猜出更改的密码.不要重命名您的帐户.攻击者可以轻松找到登录名.

另一个重点是培训您的用户.他们可能做了一些不明智的事情,这意味着帐户受到了损害.攻击者可能甚至不知道密码,他们可能只是以该帐户运行进程.例如,如果您打开的恶意软件附件可让攻击者访问您的计算机,则它们将作为您的帐户运行.他们不知道您的密码.除非您是管理员,否则他们无法获取您的密码哈希值.不要让用户在其工作站上以本地管理员身份运行.不要让域管理员登录到具有域管理员权限的工作站 – 永远！

进一步信息/缓解的链接：

https://blogs.microsoft.com/microsoftsecure/2015/02/11/krbtgt-account-password-reset-scripts-now-available-for-customers/

http://www.infosecisland.com/blogview/23758-A-Windows-Authentication-Flaw-Allows-DeletedDisabled-Accounts-to-Access-Corporate-Data.html

https://mva.microsoft.com/en-us/training-courses/how-to-avoid-golden-ticket-attacks-12134

（编辑：唐山站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!