การโจมตี Active Directory: ทุกสิ่งที่คุณจำเป็นต้องรู้

การทำความเข้าใจการโจมตี Active Directory มีความสำคัญด้วยเหตุผลง่ายๆ ข้อเดียว: Active Directory ให้บริการตรวจสอบสิทธิ์และการอนุญาตที่จำเป็น ซึ่งจะทำให้ระบบนิเวศด้านไอทีของคุณทำงานต่อไป ศัตรูใดๆ ที่เข้าควบคุม Active Directory ของคุณสามารถขโมยข้อมูลที่ละเอียดอ่อนของคุณ เปิดตัวแรนซัมแวร์ หรือทำให้ธุรกิจของคุณหยุดชะงักได้

แต่การโจมตี Active Directory จะเปิดเผยออกมาได้อย่างไร? การโจมตี Active Directory ที่พบบ่อยที่สุดคืออะไร และองค์กรสามารถดำเนินการตามขั้นตอนใดเพื่อลดความเสี่ยง การอ่านเพื่อหา.

ห้าขั้นตอนของการโจมตีทางไซเบอร์

การโจมตี Active Directory จะเป็นไปตามห้าขั้นตอนเดียวกันของการโจมตีทางไซเบอร์: การลาดตระเวน การวางแผน การบุกรุก การเคลื่อนไหวด้านข้างและการเพิ่มระดับสิทธิ์ และการกรองข้อมูลและการล้างข้อมูล

1. การลาดตระเวน

ผู้ไม่หวังดีเริ่มต้นด้วยการระบุองค์กรเป้าหมายและรวบรวมข้อมูลเกี่ยวกับพวกเขา เช่น ข้อมูลอันมีค่าที่พวกเขาอาจขโมยได้ ผลตอบแทนที่พวกเขาจะได้รับจากการโจมตีด้วยแรนซัมแวร์มากเพียงใด ระดับความปลอดภัยทางไซเบอร์ขององค์กรนั้นแข็งแกร่งเพียงใด และอื่นๆ การลาดตระเวนอาจเกี่ยวข้องกับการใช้แหล่งข้อมูลสาธารณะ เช่น บันทึกภาษี ประกาศรับสมัครงาน และโซเชียลมีเดีย เพื่อค้นหาว่าองค์กรใช้ระบบและแอปพลิเคชันใดบ้าง ชื่อของพนักงาน และอื่นๆ และยังอาจเกี่ยวข้องกับเทคนิคที่ใช้งานอยู่ เช่น การสแกนเครือข่ายและพอร์ต เพื่อทำความเข้าใจสถาปัตยกรรมเครือข่าย ไฟร์วอลล์ โปรแกรมตรวจจับการบุกรุก ระบบปฏิบัติการ แอปพลิเคชันและบริการขององค์กรเป้าหมาย ตลอดจนการเข้าถึงที่มอบให้กับผู้ขาย ผู้รับเหมา และอื่นๆ ที่เป็นบุคคลที่สาม

2. การวางแผน

ถัดไป ฝ่ายตรงข้ามจะกำหนดเวกเตอร์การโจมตีที่จะใช้สำหรับการแทรกซึม ตัวอย่าง ได้แก่ การใช้ประโยชน์จากช่องโหว่แบบ Zero-day การเปิดตัวแคมเปญฟิชชิ่ง เช่น การโจมตีทางอีเมลธุรกิจ (BEC) หรือแม้แต่การติดสินบนพนักงานเพื่อให้ข้อมูลประจำตัวหรือปรับใช้มัลแวร์

3. การบุกรุก

จากนั้นฝ่ายตรงข้ามจะใช้เวกเตอร์การโจมตีที่เลือกเพื่อพยายามเจาะขอบเขตเครือข่ายขององค์กร ตัวอย่างเช่น ฝ่ายตรงข้ามอาจประสบความสำเร็จในการคาดเดาข้อมูลประจำตัวของพนักงานในการพ่นรหัสผ่าน การยัดข้อมูลประจำตัว หรือการโจมตีโดยใช้กำลังดุร้าย เข้าผ่านระบบที่ไม่ได้รับการติดตั้งหรือกำหนดค่าไม่ถูกต้อง หรือหลอกให้พนักงานปล่อยมัลแวร์ที่ซ่อนอยู่ในไฟล์แนบที่เป็นอันตรายไปยังอีเมลฟิชชิ่ง

4. การเคลื่อนไหวด้านข้างและการยกระดับสิทธิพิเศษ

เมื่อฝ่ายตรงข้ามได้ตั้งหลักในเครือข่ายแล้ว พวกเขาจะพยายามขยายสิทธิ์และประนีประนอมระบบเพิ่มเติมเพื่อค้นหาข้อมูลที่ละเอียดอ่อนและทรัพยากรที่สำคัญอื่นๆ

พวกเขายังต้องการรักษาการเข้าถึงไว้ด้วย นั่นหมายถึงการหลบเลี่ยงการตรวจจับโดยใช้กลยุทธ์ เช่น การทำให้ระบบรายงานเท็จว่าทุกอย่างทำงานได้ตามปกติ นอกจากนี้ยังมักเกี่ยวข้องกับการตรวจสอบให้แน่ใจว่าพวกเขาสามารถกลับเข้ามาได้หากพบเห็นและถูกบูทออกโดยใช้เทคนิคการคงอยู่ เช่น การสร้างบัญชีผู้ใช้ใหม่ การแก้ไขการตั้งค่ารีจิสทรี การตั้งค่าสคริปต์ PowerShell และการติดตั้งแบ็คดอร์

5. การกรองและการล้างข้อมูล

สุดท้าย ฝ่ายตรงข้ามจะลักลอบหรือเข้ารหัสข้อมูลขององค์กร หรืออาจทำให้ระบบเสียหายเพื่อขัดขวางการดำเนินธุรกิจ นอกจากนี้ พวกเขามักจะใช้การเข้าถึงแบบมีสิทธิพิเศษเพื่อปิดใช้งานการสำรองข้อมูลและปกปิดเส้นทางของพวกเขา เพื่อที่จะขัดขวางการสอบสวน และป้องกันไม่ให้องค์กรปรับปรุงการป้องกันจากการโจมตีในอนาคต เทคนิคต่างๆ ได้แก่ การถอนการติดตั้งโปรแกรมหรือสคริปต์ที่ใช้ในการโจมตี การลบโฟลเดอร์หรือบัญชีใดๆ ที่พวกเขาสร้างขึ้น และการแก้ไข ทำลายหรือลบบันทึกการตรวจสอบ

การโจมตี Active Directory และกลยุทธ์การป้องกันทั่วไป

ขั้นตอนเหล่านี้บางขั้นตอนไม่ได้เฉพาะระบบ ตัวอย่างเช่น แฮกเกอร์สามารถใช้การโจมตีแบบฟิชชิ่งเพื่อรวบรวมข้อมูลประจำตัวสำหรับเครือข่ายองค์กรใดก็ได้ แต่บางขั้นตอน โดยเฉพาะอย่างยิ่งการเคลื่อนไหวด้านข้างและการเพิ่มสิทธิพิเศษ ใช้ประโยชน์จากคุณลักษณะเฉพาะของระบบนิเวศไอทีที่ถูกเจาะเข้าไป ต่อไปนี้เป็นเทคนิคยอดนิยมบางส่วนที่ใช้เฉพาะในการโจมตี Active Directory

การทำแผนที่เส้นทางการโจมตี

เป้าหมายหลักสำหรับฝ่ายตรงข้ามคือการได้รับความเป็นสมาชิกในกลุ่มความปลอดภัย Active Directory ที่มีสิทธิพิเศษสูง โดยเฉพาะอย่างยิ่ง ผู้โจมตีที่ควบคุมบัญชีที่เป็นสมาชิกของกลุ่มผู้ดูแลระบบโดเมนจะมีอำนาจไม่จำกัดในโดเมน

น่าเสียดายที่บ่อยครั้งที่การเป็นผู้ดูแลระบบโดเมนนั้นง่ายกว่าที่ควรจะเป็น ฝ่ายตรงข้ามสามารถใช้เครื่องมือโอเพ่นซอร์สที่เรียกว่า BloodHound เพื่อระบุเส้นทางการโจมตี Active Directory ซึ่งเป็นสายโซ่ของสิทธิ์การใช้งานที่ไม่เหมาะสมและการดำเนินการที่อาจทำให้ผู้โจมตีที่บุกรุกบัญชีผู้ใช้ได้รับสิทธิ์ผู้ดูแลระบบ เส้นทางการโจมตีมักเกี่ยวข้องกับการผสมผสานระหว่างสิทธิ์ที่ปกปิด การมอบหมายที่ไม่จำกัด สมาชิกกลุ่มที่ซ้อนกัน และช่องว่างด้านความปลอดภัยโดยธรรมชาติในสถาปัตยกรรม AD

BloodHound ช่วยให้แฮกเกอร์มองเห็นเส้นทางการโจมตี Active Directory แบบกราฟิกที่ชัดเจน และเป็นแนวทางในการควบคุมโดเมนทั้งหมด ในหลายองค์กร บัญชีผู้ใช้ทั่วไปในสัดส่วนที่สูงมากเสนอเส้นทางการโจมตีที่นำไปสู่สิทธิ์ผู้ดูแลระบบโดเมนในเวลาเพียงไม่กี่ขั้นตอน

กลยุทธ์การป้องกัน

กลยุทธ์ในการป้องกันการโจมตี Active Directory ประเภทนี้มีสองประการ:

• ลดเส้นทางการโจมตีในเชิงรุกให้แฮกเกอร์ค้นหาและใช้ประโยชน์โดยการระบุและบรรเทาปัญหาเหล่านั้นผ่านการจัดการเส้นทางการโจมตีโดยใช้ซอฟต์แวร์การจัดการเส้นทางการโจมตี Active Directory
• ติดตามเส้นทางการโจมตี Active Directory อย่างกระตือรือร้นที่คุณยังไม่สามารถบรรเทาได้ รวมถึงเฝ้าดูกิจกรรมที่น่าสงสัยอื่นๆ ในสภาพแวดล้อมของคุณ โดยใช้โซลูชันการตรวจสอบภัยคุกคามและการจัดการการเปลี่ยนแปลงแบบเรียลไทม์

การใช้ประโยชน์จากนโยบายกลุ่ม

นโยบายกลุ่มเป็นคุณลักษณะที่มีประสิทธิภาพอย่างยิ่งของ Active Directory ช่วยให้สามารถจัดการผู้ใช้และคอมพิวเตอร์แบบรวมศูนย์ผ่านกลุ่มการตั้งค่าที่เกี่ยวข้องที่เรียกว่าวัตถุนโยบายกลุ่ม (GPO) ผู้ดูแลระบบสามารถใช้ GPO เพื่อบรรลุเป้าหมายสำคัญนับพันอย่างแท้จริง: ล็อกบัญชีหลังจากใช้รหัสผ่านไม่ถูกต้องจำนวนหนึ่ง บล็อกผู้ใช้ที่ไม่ระบุชื่อบนคอมพิวเตอร์ระยะไกลไม่ให้เชื่อมต่อกับการแชร์เครือข่าย ปิดใช้งานพรอมต์คำสั่งบนเครื่องของผู้ใช้ และอื่นๆ

แต่เช่นเดียวกับเครื่องมือที่ทรงพลังที่สุด Microsoft Windows Group Policy ก็เป็นดาบสองคม โดยการสร้างหรือลบ GPO หรือเปลี่ยนแปลงการตั้งค่า GPO แฮกเกอร์สามารถบ่อนทำลายการป้องกันในวงกว้างของคุณต่อการเคลื่อนไหวด้านข้าง การเพิ่มสิทธิพิเศษ และการขโมยข้อมูล

กระบวนการละเมิดนโยบายกลุ่มนั้นค่อนข้างตรงไปตรงมา เมื่อผู้โจมตีโจมตีบัญชีผู้ใช้ในสภาพแวดล้อมไอทีของคุณ พวกเขาสามารถใช้เครื่องมือโอเพ่นซอร์สเช่น BloodHound, PowerSploit หรือ Mimikatz เพื่อตรวจสอบ GPO ของคุณและค้นหาว่าบัญชีผู้ใช้ใดที่จะให้พวกเขาสามารถเข้าถึงบัญชีที่พวกเขาต้องการเพื่อทำให้เสร็จสมบูรณ์ได้ การโจมตีไดเรกทอรีที่ใช้งานอยู่ (แท้จริงแล้ว การเข้าถึงที่ได้รับมอบหมายเพื่อแก้ไข GPO เป็นองค์ประกอบทั่วไปในเส้นทางการโจมตี) ฝ่ายตรงข้ามสามารถใช้การโจมตีเพื่อเก็บเกี่ยวข้อมูลประจำตัวที่กล่าวถึงก่อนหน้านี้เพื่อประนีประนอมบัญชีที่จำเป็น จากนั้นเริ่มปรับรูปร่างนโยบายกลุ่มใหม่เพื่อให้เหมาะสมกับวัตถุประสงค์ที่เป็นอันตราย

กลยุทธ์การป้องกัน

เพื่อป้องกันการโจมตี Active Directory ประเภทนี้ คุณต้องมีการจัดการนโยบายกลุ่มที่มีประสิทธิภาพ สองกลยุทธ์นั้นมีค่าอย่างยิ่ง: ลดจำนวนบัญชีที่มีสิทธิ์การเข้าถึง GPO ให้เหลือน้อยที่สุด และบล็อกการเปลี่ยนแปลงการตั้งค่า GPO ที่สำคัญของคุณ

การโจมตีตามการจำลอง

ดีซีซิงค์

การโจมตี DCSync ละเมิดบริการ Microsoft Directory Replication ซึ่งเป็นบริการ Active Directory ที่ถูกต้องตามกฎหมายซึ่งไม่สามารถปิดใช้งานได้ ผู้โจมตีที่โจมตีบัญชีที่มีสิทธิ์การจำลองแบบโดเมนสามารถใช้เครื่องมือโอเพ่นซอร์ส Mimikatz เพื่อเรียกใช้คำสั่ง DCSync คำสั่งนี้ช่วยให้สามารถเลียนแบบตัวควบคุมโดเมน AD (DC) และทำการร้องขอการจำลองแบบ ในการตอบสนอง พวกเขาได้รับการแฮชรหัสผ่านจาก DC จริง ซึ่งแฮกเกอร์สามารถใช้ในการโจมตี Active Directory เช่น Pass the Hash, Golden Ticket และ Silver Ticket (อธิบายไว้ด้านล่าง)

ดีซีชาโดว์

DCShadow เป็นอีกหนึ่งคำสั่ง Mimikatz ที่ช่วยให้ผู้โจมตีที่มีสิทธิ์พิเศษสามารถปลอมตัวเป็นตัวควบคุมโดเมนได้ แต่แทนที่จะได้รับข้อมูลจากคำขอการจำลองแบบเช่น DCSync DCShadow จะใช้การจำลองแบบเพื่อผลักดันการเปลี่ยนแปลงไปยังโดเมน เนื่องจากการเปลี่ยนแปลงเกิดขึ้นผ่านการจำลองแบบมากกว่าการกระทำของผู้ใช้โดยตรง การโจมตี Active Directory เหล่านี้จึงตรวจพบได้ยาก

ตัวอย่างเช่น ฝ่ายตรงข้ามสามารถสร้างบัญชีที่พวกเขาได้โจมตีสมาชิกของ Domain Admins แล้วจำลองการเปลี่ยนแปลงนั้นไปยัง DC อื่นๆ ดังนั้นจึงได้รับสิทธิ์ที่ยกระดับทั่วทั้งโดเมน ยิ่งไปกว่านั้น พวกเขายังสามารถลบผู้ใช้รายอื่นทั้งหมดออกจากกลุ่มผู้ดูแลระบบโดเมนเพื่อรับการควบคุมโดเมนแต่เพียงผู้เดียว

กลยุทธ์การป้องกัน

เพื่อลดความเสี่ยงจากการโจมตี Active Directory องค์กรควรลดจำนวนบัญชีที่มีสิทธิ์การจำลองแบบโดเมนและกิจกรรมการตรวจสอบทั่วทั้งสภาพแวดล้อม AD

การใช้ประโยชน์จากการรับรองความถูกต้องของ NTLM

ผ่านการโจมตีแฮช

Pass the Hash คือการโจมตี Active Directory ที่ใช้ประโยชน์จากโปรโตคอลการตรวจสอบสิทธิ์ NTLM โดยสรุป การโจมตี Active Directory นี้ช่วยให้ฝ่ายตรงข้ามสามารถโจมตีบัญชี AD ได้โดยไม่ต้องรู้รหัสผ่านข้อความที่ชัดเจน (สตริงอักขระจริงที่แต่ละประเภทใช้ในการเข้าสู่ระบบ) สิ่งที่แฮ็กเกอร์ต้องการทั้งหมดคือการแฮชของรหัสผ่าน ซึ่งเป็นรหัสผ่านเวอร์ชันเข้ารหัสที่ NTLM ใช้ในการตรวจสอบสิทธิ์ผู้ใช้ การใช้เครื่องมือแฮ็กเช่น Mimikatz พวกเขาสามารถใช้แฮชรหัสผ่านเพื่อส่งคำขอเข้าสู่ระบบและตอบสนองต่อคำถามในการเข้าสู่ระบบของตัวควบคุมโดเมนได้อย่างถูกต้อง

Pass the Hass เป็นอันตรายอย่างยิ่ง เนื่องจากผู้โจมตีสามารถดึงแฮชรหัสผ่านจากหน่วยความจำ LSASS ของระบบที่พวกเขาเข้าสู่ระบบได้อย่างง่ายดาย ซึ่งอาจรวมถึงแฮชรหัสผ่านของบัญชีพิเศษที่ทิ้งไว้เมื่อผู้เชี่ยวชาญด้าน IT เข้าสู่ระบบเครื่องของผู้ใช้ในเครื่องหรือใช้ RDP เพื่อทำงานจากระยะไกลในประเด็นหนึ่งๆ การใช้แฮชเหล่านั้น พวกเขาสามารถขโมยข้อมูลที่ละเอียดอ่อน ติดตั้งเครื่องมือการเข้าถึงระยะไกล (RAT) และอื่นๆ อีกมากมาย

กลยุทธ์การป้องกัน

วิธีที่ชัดเจนที่สุดในการป้องกัน Pass the Hash คือการกำจัด NTLM ท้ายที่สุดแล้ว NTLM ก็ถูกแทนที่ด้วยโปรโตคอลการตรวจสอบความถูกต้องเริ่มต้นโดย Kerberos ใน Windows 2000 อย่างไรก็ตาม แอปพลิเคชันขององค์กรจำนวนมากยังคงต้องใช้ NTLM ดังนั้นองค์กรต่างๆ มักจะไม่สามารถปิดการใช้งานมันโดยสิ้นเชิงได้ (แม้ว่าจะเป็นการฉลาดที่จะพยายามทุกวิถีทางเพื่อปิดการใช้งานอย่างน้อยที่สุดที่อ่อนแอกว่า NTLMv1)

โชคดีที่มีกลยุทธ์อื่นๆ มากมายสำหรับการป้องกันการโจมตี Pass the Hash รวมถึงการตรวจสอบกิจกรรมการเข้าสู่ระบบ การจำกัดการเคลื่อนไหวด้านข้างด้วยการจัดการเส้นทางการโจมตี การใช้บัญชีบริการที่ได้รับการจัดการ (MSA) และไม่อนุญาตให้ผู้ดูแลระบบโดเมนใช้บัญชีพิเศษของตนเพื่อเข้าสู่ระบบเวิร์กสเตชัน (ไม่ใช่แม้แต่เครื่องส่วนตัว!)

การใช้ประโยชน์จากการรับรองความถูกต้องของ Kerberos

Kerberos เป็นโปรโตคอลการตรวจสอบความถูกต้องที่แข็งแกร่งกว่า NTLM มาก แต่ลองเดาดูสิ — ผู้โจมตีได้คิดค้นวิธีที่จะใช้มันในทางที่ผิดเช่นกัน เมื่อใช้ Kerberos ผู้ใช้จะไม่ตรวจสอบสิทธิ์ตนเองโดยตรงต่อบริการต่างๆ ที่จำเป็นต้องใช้ เช่น ไฟล์เซิร์ฟเวอร์ แต่ Kerberos Key Distribution Center (KDC) ซึ่งทำงานใน DC ทุกแห่งจะออก Ticket Granting Ticket (TGT) ซึ่งประกอบด้วยคีย์เซสชันที่ไม่ซ้ำกันและการประทับเวลาที่ระบุระยะเวลาที่เซสชันนั้นใช้ได้ (ปกติ 8 หรือ 10 ชั่วโมง) . เมื่อผู้ใช้ต้องการเข้าถึงทรัพยากร ก็ไม่จำเป็นต้องตรวจสอบสิทธิ์อีกครั้ง เครื่องไคลเอนต์เพียงส่ง TGT ไปเพื่อพิสูจน์ว่าผู้ใช้ได้รับการรับรองความถูกต้องแล้วเมื่อเร็ว ๆ นี้

ตั๋วทองคำ

สิ่งสำคัญ ก่อนที่จะส่ง TGT นั้น KDC จะเข้ารหัสโดยใช้แฮชรหัสผ่านสำหรับบัญชีพิเศษ ซึ่งก็คือบัญชี KRBTGT แฮชรหัสผ่านนั้นจะถูกแชร์ระหว่าง DC ทั้งหมดในโดเมน Active Directory เพื่อให้สามารถอ่านได้ TGT ที่พวกเขาได้รับเมื่อผู้ใช้ร้องขอการเข้าถึงทรัพยากรต่างๆ

ในการโจมตี Golden Ticket ฝ่ายตรงข้ามขโมยรหัสผ่านของบัญชี KRBTGT ซึ่งช่วยให้พวกเขาสามารถข้าม KDC และสร้าง TGT (Golden Tickets) ได้ด้วยตนเอง กล่าวอีกนัยหนึ่ง พวกเขาสามารถทำหน้าที่เสมือนเป็น DC ซึ่งช่วยให้พวกเขาสามารถเข้าถึงทุกสิ่งบนเครือข่ายได้

ตั๋วเงิน

Silver Tickets มีจำนวนจำกัดมากกว่า Golden Tickets เนื่องจากให้สิทธิ์ในการเข้าถึงบัญชีบริการเฉพาะเท่านั้น อย่างไรก็ตาม พวกมันยังสามารถทำลายล้างได้ค่อนข้างมาก และยิ่งไปกว่านั้น พวกมันยังตรวจจับได้ยากอีกด้วย ต่อไปนี้คือวิธีการทำงานของการโจมตี Silver Ticket: ฝ่ายตรงข้ามที่ทำลายข้อมูลประจำตัวของผู้ใช้โดเมนที่ถูกต้องสามารถขอ TGS สำหรับบริการ เช่น SharePoint หรือ SQL Server จากนั้นพวกเขาสามารถแยกแฮชของรหัสผ่านของบัญชีบริการ และใช้มันเพื่อปลอมตั๋ว TGS เพิ่มเติม (ตั๋วเงิน) สำหรับบริการนั้น

การคั่วแบบเคอร์เบอโรสต์

ในการโจมตี Kerberoasting ฝ่ายตรงข้ามที่ทำลายข้อมูลประจำตัวของผู้ใช้โดเมนที่ถูกต้องสามารถขอ TGS สำหรับบริการ (เช่น SharePoint) จากนั้นพยายามถอดรหัสรหัสผ่านของบัญชีบริการแบบออฟไลน์โดยใช้เครื่องมือถอดรหัสรหัสผ่านที่พร้อมใช้งานเช่น Hashcat หรือจอห์นเดอะริปเปอร์

กลยุทธ์การป้องกัน

กลยุทธ์ในการป้องกันการโจมตีเหล่านี้มีดังต่อไปนี้:

• เปลี่ยนรหัสผ่าน KRBTGT ตามกำหนดเวลาปกติและเมื่อใดก็ตามที่บุคคลที่สามารถสร้าง Golden Tickets ออกจากองค์กรของคุณ
• ลดจำนวนบัญชีที่สามารถเข้าถึงแฮชรหัสผ่าน KRBTGT ให้เหลือน้อยที่สุด
• อย่าให้สิทธิ์ผู้ดูแลระบบแก่ผู้ใช้บนเวิร์กสเตชันของตน และอย่าให้ผู้ดูแลระบบเข้าสู่ระบบคอมพิวเตอร์ของผู้ใช้ปลายทาง
• ใช้ MSA เพื่อให้แน่ใจว่ารหัสผ่านของบัญชีบริการจะมีการหมุนเวียนเป็นประจำ
• ลงทุนในโซลูชันการตรวจสอบและการป้องกัน Active Directory ที่สามารถตรวจจับกิจกรรมที่บ่งบอกถึงการโจมตีเหล่านี้ และแจ้งเตือนคุณทันที

บทสรุป

แม้ว่าโพสต์ในบล็อกนี้จะให้รายละเอียดเกี่ยวกับการโจมตี Active Directory อันดับต้นๆ และเสนอกลยุทธ์ในการป้องกันการโจมตีเหล่านั้น แต่ก็เป็นการดีที่สุดที่จะไม่ใช้วิธีการทีละน้อยในการรักษาความปลอดภัย Active Directory เนื่องจากภูมิทัศน์ภัยคุกคามมีการพัฒนาอย่างต่อเนื่องและระบบนิเวศด้านไอทีมีความซับซ้อนมากขึ้น การใช้กลยุทธ์การป้องกันเชิงลึกที่รอบคอบจึงฉลาดกว่าที่เคย วิธีที่ดีในการเริ่มต้นคือการใช้หลักปฏิบัติที่ดีที่สุดซึ่งระบุไว้ในโพสต์บล็อก “8 วิธีในการรักษาความปลอดภัยสภาพแวดล้อม Active Directory ของคุณ ”