網域控制站 (Domain Controller, DC) 掌握整個 Active Directory 權限，是攻擊者最終目標。防護必須建立纵深防御：
第一層：物理安全（常被忽略）
- DC 放置於專屬鎖控機房，非授權人員不可入內，出入記錄留存 ≥ 1 年。
- 機櫃加鎖、側板固定、UPS/配電箱同鎖控，防止拔電/硬碟偷取。
- 移除/停用所有可攜式儲存介面：光碟機、USB、IEEE 1394、eSATA、SD 卡槽（BIOS 關閉或物理拔線）。
- 機箱機殼鎖扣、機櫃門磁感應器、紅外線/震動偵測器連接警示系統。
- 無顯示器/鍵盤/滑鼠常駐，透過 KVM over IP 或管理卡 (iDRAC/iLO/iRMC) 遠端管理。
第二層：帳號與認證強化
- 重新命名內建 Administrator（非單純改顯示名稱，需同步修改描述欄位），並建立誘餌帳號「Administrator」啟用稽核鎖定。
- 強制長度 ≥ 15 字元、複雜度、定期變更（細微密碼原則 PSO 針對管理員帳號更嚴格）。
- 啟用Windows Hello for Business / 智慧卡 / FIDO2 金鑰 多因子驗證 (MFA) 登入 DC。
- 服務帳號採用群組受管理服務帳號 (gMSA)，自動輪換密碼、不可互動登入。
- 停用 NTLMv1、LM 雜湊，強制 Kerberos AES 256 / NTLMv2。
第三層：網路與主機防護
- DC 不直接對外網，僅允許管理子網 (Jump Server / PAW) 透過 RDP/WinRM/SSH 連入。
- Windows Defender 防火牆啟用「網域」設定檔，僅開放必要埠：
TCP 53/88/135/389/445/464/636/3268/3269/5985/5986/9389 (AD、Kerberos、LDAP、RPC、WinRM)。
- 安裝 Microsoft Defender for Identity (ATP) 偵測偵察、權限提升、橫向移動、黃金/白銀票據攻擊。
- 啟用受保護的使用者群組：成員帳號自動套用嚴格限制（不緩存憑證、不允許委派、強制 Kerberos ARMOR）。
- 定期執行
sfc /scannow、DISM /RestoreHealth、Windows Update（WSUS/SCCM 推送測試後部署）。
第四層：稽核與監控
- 群組原則 → 進階稽核原則設定 → 全開啟：
帳號登入/管理、目錄服務存取、物件存取、原則變更、特權使用、系統事件。
- Sysmon (System Monitor) 部署：事件 ID 1(程序建立)、3(網路連線)、7(映像載入)、8(建立遠端執行緒)、10(程序存取)、11(檔案建立)、13/14(登錄異動) 全記錄。
- 日誌轉送至 SIEM (Splunk/ELK/Azure Sentinel) 設定告警規則：
• 事件 ID 4720/4722/4724/4725/4726/4738/4756/4757 (帳號建立/啟用/密碼重設/群組異動)
• 事件 ID 4624 Type 10 (RDP 登入)、4625 (登入失敗) 異常暴增
• 事件 ID 5136/5137/5138/5139/5141 (AD 物件異動)
- 備份策略：每日系統狀態備份 + 每週完整裸機備份，離線保存 ≥ 3 代，每季演練還原。
緊急應變：DC 疑似被入侵
- 立即隔離網路（保留管理連線）。
- 檢查 KRBTGT 帳號密碼上次變更時間，若異常 → 雙重重設 KRBTGT 密碼（間隔 10 小時以上）。
- 檢視 DCSync 攻擊跡象（事件 ID 4662 控制存取權限「DS-Replication-Get-Changes-All」）。
- 啟動事件 ID 4769 (Kerberos 服務票據請求) 分析異常 SPN。
- 依事件回應手冊決定：重建林 vs. 權威還原 vs. 重灌 DC。
DC 安全非一次設定完成，需持續營運、稽核、演練，方能守住企業身分識別核心。
