横向移动的检测与阻断：从Pass-the-Hash到Golden Ticket

横向移动的检测与阻断：从Pass-the-Hash到Golden Ticket

攻击者在获得第一台机器的立足点后，横向移动是通往域控和核心数据的必经之路。Pass-the-Hash（PtH）是最经典的横向移动技术——攻击者不需要破解密码，只需窃取NTLM Hash即可在网络上冒充该用户。防御点：限制本地管理员账户的使用——每台机器使用不同的本地管理员密码，用Microsoft LAPS自动轮换。Credential Guard虚拟化隔离lsass进程，即使获得SYSTEM权限也无法提取哈希。

Golden Ticket攻击更危险——攻击者获取krbtgt账户的哈希后可以伪造任意权限的TGT票据，理论上拥有域内无限访问权限且有效期可长达10年。检测关键：监控TGT票据的生存时间异常——正常票据的生存时间与域策略一致（通常10小时），Golden Ticket的攻击者可以自定义任意时长。防御：krbtgt账户密码必须每年至少轮换两次——一次轮换清除所有旧票据，两次轮换确保彻底安全。