如何防範域控制器哈希導出攻擊：偵測與防禦實戰指南

域控制器儲存著整個 Active Directory 森林的認證金鑰，是攻擊者窺覬的核心目標。攻擊者若能導出 NTDS.dit 中的 NTLM 雜湊，即可發起 Pass-the-Hash、Golden Ticket 等橫向移動攻擊。本文從防禦視角出發，分析常見哈希導出手法，提供偵測規則與緩解策略，助您構建纵深防禦體系。

常見攻擊手法分析

1. 利用 NTDS.dit 離線提取

攻擊者取得 NTDS.dit（AD 資料庫）與 SYSTEM 配置單元後，可使用 secretsdump.py、NTDSXtract 或 dsinternals 等工具離線解析 NTLM 雜湊。常見獲取途徑：

• 域控制器備份檔案洩露
• 虛擬機快照/備份被竊取
• 利用 vssadmin create shadow 建立影子複製並複製資料庫

2. 利用 DCSync 攻擊

模擬域控制器複製行為，向目標 DC 發送 DRSUAPI_DRSGetNCChanges 請求，直接線上拉取雜湊。需具備 DS-Replication-Get-Changes、DS-Replication-Get-Changes-All、DS-Replication-Get-Changes-In-Filtered-Set 三項擴展權限（預設 Domain Admins、Enterprise Admins、Administrators 擁有）。

3. 利用 LSASS 記憶體傾印

在已獲取域控制器系統權限前提下，使用 comsvcs.dll、procdump、mimikatz、lsassy 等工具導出 LSASS 進程記憶體，解析緩存的認證。

4. 利用註冊表備份

讀取 C:\Windows\System32\config\SAM、SYSTEM、SECURITY 配置單元，或註冊表備份 C:\Windows\Repair\ 目錄，離線解析本地帳號雜湊（僅限本地帳號，域帳號雜湊不在本地 SAM）。

偵測與監控策略

事件日誌監控

Sysmon 進階規則

<RuleGroup name="Domain Controller Hash Dumping">
  <ProcessCreate onmatch="include">
    <Image condition="is">C:\Windows\System32\wbem\WmiPrvSE.exe</Image>
    <TargetImage condition="is">C:\Windows\System32\lsass.exe</TargetImage>
  </ProcessCreate>
  <CreateRemoteThread onmatch="include">
    <TargetImage condition="is">C:\Windows\System32\lsass.exe</TargetImage>
  </CreateRemoteThread>
  <FileCreate onmatch="include">
    <TargetFilename condition="ends with">.dmp</TargetFilename>
    <Image condition="contains">procdump</Image>
  </FileCreate>
  <RegistryEvent onmatch="include">
    <TargetObject condition="contains">HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest</TargetObject>
  </RegistryEvent>
</RuleGroup>

網路流量分析

• 監控異常的 RPC/DCE-RPC 流量（端口 135、49152-65535），特別是針對 DRSUAPI 介面的 DRSGetNCChanges 請求
• 異常的 LDAP 查詢量激增（大量屬性讀取）
• SMB 協議大量讀取 C$、ADMIN$ 共享下的 NTDS.dit、SYSTEM 檔案

緩解與加固措施

最小權限原則

• 嚴格控制 DS-Replication-Get-Changes-All 權限，僅授予必要的複製夥伴帳號
• 移除非必要帳號的 SeBackupPrivilege、SeRestorePrivilege、SeDebugPrivilege
• 實施 Tiered Administration（紅/黃/綠林模型），隔離高權限帳號操作環境

啟用保護機制

• Windows Defender Credential Guard：基於虛擬化隔離 LSASS，防止記憶體讀取（需 Windows 10/11 Enterprise、Server 2016+、VBS/HVCI 支援）
• Protected Users 群組：成員無法使用 NTLM、Kerberos 預認證、委派，強制使用 AES 加密
• LSASS 保護：RunAsPPL 註冊表鍵值設為 1，將 LSASS 設為 Protected Process Light
• 禁用 WDigest：HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest\UseLogonCredential = 0

備份與快照防護

• 域控制器備份加密儲存，離線存放，嚴格存取控制
• 虛擬機快照權限最小化，定期審核快照建立/刪除日誌
• 禁用不必要的 vssadmin、wbadmin 執行權限

網路分段與監控

• 域控制器置於獨立 VLAN，僅開放必要埠（53, 88, 135, 389, 445, 636, 3268, 3269, 49152-65535）
• 部署 NDR（網路偵測與回應）解決方案，識別 DCSync、Kerberoasting、SMB 暴力破解等流量特徵
• 啟用 RPC 過濾，限制非必要介面暴露

事件響應清單

1. 確認告警：關聯 SIEM 警報、Sysmon 事件、網路流量異常
2. 隔離受影響系統：網路隔離受疑域控制器，保留記憶體映像
3. 識別入侵途徑：審核近期登入日誌、權限變更、計劃任務、服務安裝
4. 評估影響範圍：確認是否有雜湊被導出、是否有 Golden Ticket 風險
5. 修復動作：重置所有可能洩露帳號密碼（含 krbtgt 兩次重置）、吊銷可疑 Kerberos 票證、部署補丁
6. 事後複盤：更新偵測規則、修補防禦缺口、演練紅藍對抗

總結

域控制器雜湊導出是進階持續性威脅（APT）與勒索軟體攻擊鏈中的關鍵環節。單一防禦措施無法提供絕對安全，必須構建「預防-偵測-響應」纵深防禦體系：從最小權限、憑證保護、網路分段著手預防；部署多源日誌關聯與行為分析偵測異常；建立標準化事件響應流程。持續紅藍對抗演練，驗證防禦有效性，才能在攻防博弈中保持主動。

免責聲明：本文僅供防禦安全研究與教學用途，嚴禁用於未授權系統測試或惡意攻擊。所有技術細節均基於公開文獻與公開工具原理分析，旨在協助防禦者理解攻擊面、建立有效防禦。