组策略安全加固实施
sentinel, Lab
v3.0
STABLE
ActiveDirectory
组策略
域安全
凭据保护
横向移动
场景 3 — 阶段二：组策略安全加固实施
加固控制域
| 控制域 |
GPO 设置项数 |
说明 |
| 密码策略 |
8 |
长度/复杂度/历史/锁定 |
| Kerberos 加固 |
10 |
加密类型/委派限制/PAC |
| NTLM 限制 |
6 |
版本限制/中继防护/审计 |
| 凭据保护 |
8 |
Credential Guard/LSA 保护 |
| 特权账户隔离 |
6 |
域管登录限制/AdminSDHolder |
| 审计策略 |
12 |
关键事件全覆盖审计 |
| 远程访问控制 |
6 |
RDP/WMI/WinRM 限制 |
| 服务账户管理 |
4 |
gMSA/Silver Ticket 防护 |
密码策略加固
| 策略项 |
默认值 |
加固值 |
说明 |
| 最小密码长度 |
7 |
14 |
企业级标准 |
| 密码复杂度要求 |
启用 |
启用 + 字典检查 |
配合 Azure AD 密码保护 |
| 最长使用期限 |
42 天 |
90 天 |
平衡安全与可用 |
| 最短使用期限 |
1 天 |
1 天 |
防止快速轮换绕过历史 |
| 强制密码历史 |
24 |
24 |
保持最大值 |
| 账户锁定阈值 |
0(不锁定) |
5 次 |
防暴力破解 |
| 锁定持续时间 |
— |
15 分钟 |
自动解锁 |
| 锁定计数器 |
— |
15 分钟 |
重置失败计数 |
Kerberos 安全加固
| 策略项 |
配置 |
说明 |
| 支持的加密类型 |
AES256 优先 |
禁用 RC4/DES |
| Kerberos 票据有效期 |
10 小时 |
默认 10 小时，续期 7 天 |
| 强制 Kerberos 要求 |
是 |
禁止 NTLM 回退 |
| 限制 Kerberos 委派 |
仅约束委派 |
禁止非约束委派 |
| PAC 验证 |
启用 |
验证 PAC 签名完整性 |
| 用户票证加密类型 |
AES256-CTS |
禁用 RC4-HMAC |
NTLM 限制配置
| 策略项 |
配置 |
说明 |
| 限制 NTLM：域内认证 |
全部拒绝 |
仅域内禁止 NTLM |
| 限制 NTLM：传出认证 |
全部拒绝 |
禁止向其他域发送 NTLM |
| NTLMv1 禁用 |
是 |
仅允许 NTLMv2 |
| NTLM 中继防护 |
EPA + SPN 验证 |
防止 NTLM Relay |
| NTLM 审计 |
全部启用 |
记录所有 NTLM 使用 |
凭据保护配置
| 策略项 |
配置 |
说明 |
| Credential Guard |
启用 |
基于 VSM 的凭据隔离 |
| LSA 保护 (RunAsPPL) |
启用 |
防止 LSA 进程内存读取 |
| 受保护用户安全组 |
加入域管账户 |
强制 Kerberos + 禁止委派 |
| 凭据委派限制 |
拒绝保存凭据 |
防止凭据缓存泄露 |
| 远程凭据限制 |
Restricted Admin |
RDP 不传递域凭据 |
特权账户隔离
| 策略项 |
配置 |
说明 |
| 域管登录限制 |
仅 DC |
禁止域管登录普通服务器 |
| 服务器本地管理员 |
非域管 |
使用独立的服务器管理账户 |
| AdminSDHolder 权限 |
审计 + 最小化 |
监控权限传播 |
| AdminCount 账户审计 |
定期检查 |
清理不必要的特权标记 |
| 特权访问工作站 (PAW) |
专用管理机 |
域管仅从 PAW 操作 |
| 账户分离 |
独立管理账户 |
admin_john ≠ john |
审计策略配置
| 审计类别 |
子类别 |
配置 |
| 账户登录 |
凭据验证 |
成功+失败 |
| 账户登录 |
Kerberos 认证 |
成功+失败 |
| 账户管理 |
安全组管理 |
成功+失败 |
| 账户管理 |
用户账户管理 |
成功+失败 |
| 目录服务访问 |
目录服务更改 |
成功+失败 |
| 登录/注销 |
特殊登录 |
成功 |
| 特权使用 |
敏感特权使用 |
成功 |
| 对象访问 |
文件共享 |
成功+失败 |
LAPS 部署
| 配置项 |
说明 |
| 密码长度 |
≥ 20 字符 |
| 密码有效期 |
30 天 |
| 管理员账户 |
启用自定义管理员账户名称 |
| 加密传输 |
AD 属性加密传输 |
| 审计 |
记录密码读取和重置操作 |