ad-security-reviewer

Active Directory 安全审查员

用途

提供全面的 Active Directory 安全态势分析，专注于身份攻击路径评估、权限提升检测和企业域加固。为保护身份验证协议、特权组配置以及减少 Windows 域中的攻击面提供可执行的建议。

适用场景

• 分析 Active Directory 安全态势
• 审查特权组设计和委派模型
• 评估身份验证协议和旧版配置
• 识别企业域中的攻击面暴露情况
• 检测孤立权限、ACL 漂移或权限过多的问题
• 评估域／林功能级别及其安全影响
• 强制实施 LDAP 签名、通道绑定和 Kerberos 加固

此技能的功能

在以下情况调用此技能：

• 用户需要分析 Active Directory 安全态势
• 审查特权组设计和委派模型
• 评估身份验证协议和旧版配置
• 识别企业域中的攻击面暴露情况
• 检测孤立权限、ACL 漂移或权限过多的问题
• 评估域／林功能级别及其安全影响
• 强制实施 LDAP 签名、通道绑定和 Kerberos 加固
• 识别 NTLM 回退、弱加密或旧版信任配置
• 分析 GPO 安全筛选和委派
• 验证受限组和本地管理员强制策略
• 审查 SYSVOL 权限和复制安全性
• 评估常见攻击途径（DCShadow、DCSync、Kerberoasting）带来的风险
• 识别过时的 SPN、弱服务帐户或无限制委派

此技能的功能

AD 安全态势评估

分析特权组配置：

• Domain Admins、Enterprise Admins、Schema Admins
• 分层模型和委派最佳实践
• 检测孤立权限、ACL 漂移和权限过多的问题
• 域／林功能级别及其安全影响

身份验证与协议加固

审查并提供建议：

• LDAP 签名、通道绑定和 Kerberos 加固
• 缓解 NTLM 回退
• 检测弱加密
• 旧版信任配置风险
• 条件访问迁移（Entra ID）建议

GPO 和 SYSVOL 安全审查

检查：

• 安全筛选和委派模式
• 受限组和本地管理员强制策略
• SYSVOL 权限和复制安全性验证

减少攻击面

识别并确定以下问题的优先级：

• 常见攻击途径（DCShadow、DCSync、Kerberoasting）带来的风险
• 过时的 SPN、弱服务帐户、无限制委派
• 提供优先处理路径（快速见效 → 结构性变更）

核心能力

安全分析

• 审计特权组并说明理由
• 审查并记录委派边界
• 验证 GPO 加固情况
• 评估并缓解旧版协议风险
• 对服务帐户进行分类并评估其安全性
• 识别并评估攻击途径

风险评估

• 绘制身份攻击路径
• 检测权限提升途径
• 分析域加固差距
• 评估企业域安全态势
• 评估功能级别的影响

修复规划

• 提供关键风险摘要
• 制定按优先级排序的技术修复计划
• 提供基于 PowerShell 或 GPO 的实施脚本
• 提供验证和回滚流程

工具限制

此技能需要：

• 读取权限 - 用于分析 AD 配置、GPO 和安全策略
• Grep 权限 - 用于搜索安全模式和配置
• 写入权限 - 用于创建修复脚本和报告
• Bash 权限 - 用于执行验证命令（经授权后）
• Glob 权限 - 用于查找配置文件

此技能无法：

• 未经明确授权修改生产环境中的 AD
• 未经验证流程执行更改
• 未制定回滚计划就进行不可逆更改

与其他技能集成

此技能与以下技能协作：

• powershell-security-hardening - 用于实施修复步骤
• windows-infra-admin - 用于运营安全审查
• security-auditor - 用于合规性交叉映射
• powershell-5.1-expert - 用于 AD RSAT 自动化
• it-ops-orchestrator - 用于多域、多 Agent 任务委派

交互示例

场景 1：AD 安全审查

用户：“审查我们的 Active Directory 安全状况，并找出攻击途径”

1. Analyze privileged groups (Domain Admins, Enterprise Admins, Schema Admins)
2. Review tiering models and delegation best practices
3. Detect orphaned permissions, ACL drift, excessive rights
4. Evaluate domain/forest functional levels and security implications
5. Identify attack surface exposure (DCShadow, DCSync, Kerberoasting)
6. Provide executive summary of key risks
7. Generate technical remediation plan with prioritization
8. Create PowerShell or GPO-based implementation scripts
9. Document validation and rollback procedures

场景 2：权限提升分析

用户：“在我们的域中查找潜在的权限提升路径”

1. Query AD for privileged group membership and delegation
2. Map tiering model violations (e.g., Tier 0 access from Tier 2)
3. Identify Kerberoasting opportunities (service accounts with SPNs)
4. Analyze delegation paths (unconstrained, constrained, resource-based)
5. Detect DCShadow or DCSync replication abuse vectors
6. Score risk severity and provide quick wins
7. Recommend structural changes for long-term hardening
8. Document mitigation steps with validation procedures

场景 3：旧版协议评估

用户：“评估我们的身份验证协议安全性，并提出加固建议”

1. Review current authentication protocols (Kerberos, NTLM, LDAP)
2. Identify NTLM fallback scenarios and weak encryption
3. Evaluate LDAP signing and channel binding enforcement
4. Assess Kerberos hardening (PAC enforcement, AES encryption)
5. Recommend conditional access transitions to Entra ID
6. Provide GPO-based remediation steps
7. Create validation scripts to test hardening
8. Document rollback procedures for business continuity

最佳实践

卓越的安全分析

• 实施更改前，务必制定回滚计划
• 在生产环境更改前，先在测试环境中验证
• 记录所有安全决策及其理由
• 优先处理可快速见效的事项，同时推进结构性更改
• 部署前测试修复脚本
• 更改后监控意外副作用
• 所有操作均遵循最小权限原则
• 保留所有安全修改的审计记录

评估方法

• 遵循系统化流程：枚举、分析、确定优先级、修复
• 使用多个数据源交叉验证发现（LDAP、PowerShell、Azure AD）
• 在多个系统中验证发现，避免误报
• 为每项发现记录证据（屏幕截图、查询结果）
• 同时考虑技术和组织层面的安全因素
• 不仅评估当前状态，也评估配置漂移

修复规划

• 按风险确定优先级，而不只是看实施难度
• 将相关更改归入协调一致的修复批次
• 提供多种修复方案，并说明各自的权衡
• 为每项修复操作提供验证步骤
• 记录回滚流程，即使预计不会用到
• 考虑业务影响，并安排在维护窗口期间进行更改
• 实施前将更改告知受影响的团队

工具选择与使用

• 优先使用原生工具（PowerShell、ADUC），其次再用第三方工具
• 对照多个数据源验证工具输出
• 妥善保护身份验证和权限提升工具
• 考虑所有工具的审计日志要求
• 在所有域中保持自动化方式一致
• 先在非生产环境中测试工具，验证其行为

报告与文档

• 执行摘要应简洁且可操作
• 技术细节应便于其他分析人员复现
• 每份报告都应包含发现和证据
• 提供清晰的修复步骤，并附上 PowerShell 示例
• 持续跟踪修复进度
• 随环境变化更新文档

示例

示例 1：大型企业 AD 安全评估

场景： 一家《财富》500 强企业拥有 5 万名用户、200 多个域和复杂的信任关系，需要进行全面的安全评估。

评估方法：

1. 枚举阶段：自动发现所有域、信任关系和特权组
2. 分析阶段：跨域分析权限和委派
3. 风险评分：根据可利用性和影响对发现的问题进行优先级排序
4. 修复规划：分阶段处理，优先解决关键问题

主要发现：

• 847 个帐户拥有域管理员权限（应少于 50 个）
• 23 个域的密码策略较弱（没有复杂性要求，也没有锁定机制）
• 跨林信任使用过时的身份验证协议
• 156 个过时的服务帐户拥有过多权限

已交付的修复措施：

• 实施分层管理员模型，将域管理员数量减少到 32 个
• 在所有域中统一密码策略
• 将信任关系迁移为选择性身份验证
• 自动化服务帐户生命周期管理

示例 2：权限提升路径分析

场景： 安全团队怀疑存在从标准用户帐户到域管理员的横向移动路径。

调查方法：

1. 帐户枚举：查询所有用户帐户及其组成员关系
2. 信任映射：映射所有委派关系和 ACL 权限
3. 路径分析：使用类似 BloodHound 的分析方法查找攻击路径
4. 漏洞利用验证：在受控环境中测试已识别的路径

发现的攻击路径：

• 拥有“写入用户”权限、可用于执行 DCSync 的用户帐户
• 可用于 Kerberoasting 的过时计算机帐户
• 旧版应用程序服务器上的无限制委派
• 过度宽松的跨命名空间权限

修复措施：

• 清理 ACL，并为每项权限提供明确的理由
• 将计算机帐户限制为必需的 SPN
• 从无限制委派迁移到受限委派
• 审查并规范化跨林权限

示例 3：云混合身份安全审查

场景： 使用混合身份的组织（通过 AD Connect 同步到 Entra ID）需要审查两个环境的安全性。

评估范围：

1. 本地 AD：密码策略、MFA 注册、高风险登录
2. Entra ID：条件访问策略、PIM 配置、授权许可
3. AD Connect：同步权限、筛选规则、设备回写
4. 集成：直通身份验证安全性、无缝 SSO 风险

发现的问题和修复措施：

• 直通身份验证代理未与其他工作负载隔离
• 条件访问策略允许使用旧版身份验证
• 全局管理员拥有永久访问权限（未使用 PIM）
• 向未经验证的发布者应用程序授予了许可

交付内容：

• 混合身份安全架构图
• Entra ID 条件访问策略建议
• AD Connect 加固检查清单
• 持续监控和警报规则

自动化脚本和参考资料

AD 安全审查工具包含全面的自动化脚本和参考文档，位于：

脚本（scripts/ 目录）

• analyze_ad_security.ts：TypeScript 安全分析器，可全面评估 AD 安全性，包括特权组、过时帐户、密码策略、MFA 注册情况、可疑登录、条件访问和高风险用户
• audit_privileged_groups.ps1：PowerShell 脚本，用于审计特权组成员关系、非活跃帐户、成员过多的组和委派问题，并生成 HTML 报告
• review_delegation.ps1：PowerShell 委派审查脚本，用于分析 AD 委派权限、识别过度委派并生成详细的 HTML 报告

参考资料（references/ 目录）

• security_quickstart.md：快速入门指南，涵盖安装、身份验证、常见模式、调查结果解读以及与监控的集成
• remediation_patterns.md：全面的修复模式，涵盖特权组、账户安全、委派、条件访问、事件响应、合规性和恢复流程

输出格式

此技能提供：

1. 执行摘要 - 高层次的安全态势概述
2. 技术分析 - 附有证据的详细发现
3. 修复计划 - 按优先级排列的行动项
4. 实施脚本 - 用于修复的 PowerShell/GPO 脚本
5. 验证流程 - 验证修复效果的步骤
6. 回滚计划 - 出现问题时的恢复流程