Question

2018 年上半年，出现了某保险公司企业内网 AD 和 Exchange 服务器被入侵的事件，从目前披露的信息来看，全网数量接近 30 台的域控制器均被入侵，而且木马通过 AD 疯狂传播，全网中绝大部分 Windows 服务器和客户端均中招。木马自带挖矿功能并反向连接国外 C&C 服务器，使用多个 Windows Update 相似域名来规避监测，基本过程总结如图 17-1 所示。

图 17-1　某企业 AD 被入侵过程

未知攻，焉知防。针对活动目录安全，下面先对常见的攻击方式进行讲解，然后再讲如何针对性地防御。