Microsoft|微软新指导允许域控制器限量接入互联网
【Microsoft|微软新指导允许域控制器限量接入互联网】很多企业都开始过渡到 Azure Active Directory（AAD）等云端身份平台，利用无密码登录和有条件访问等新认证机制来逐步淘汰 Active Directory（AD）基础设施 。然而，依然有一些组织在混合或内部环境中使用域控制器（DC） 。
访问:
微软中国官方商城 - 首页
文章图片
DC 有活动目录域服务（AD DS）的能力，这意味着如果一个 DC 被恶意行为者感染，基本上你的所有账户和系统都会受到影响 。就在几个月前，微软发布了一个关于 AD 特权升级攻击的警告 。
此前微软已经提供了关于如何设置和保护 DC 的详细指导，近期微软再次对该指导进行了优化和更新 。
此前，这家总部位于雷德蒙的科技巨头曾强调，DC 在任何情况下都不应该与互联网连接 。考虑到不断变化的网络安全形势，微软已经修改了这一指导意见，表示 DC 不应该有不受监控的互联网接入，也不应该有启动网络浏览器的能力 。基本上，只要严格控制访问，并建立适当的防御机制，让 DC 连接到互联网是可以的 。
对于目前在混合环境下运行的组织，微软建议你至少通过身份保护器来保护企业内部的AD 。其指导意见指出：
微软建议使用 Microsoft Defender for Identity 对这些企业内部的身份进行云端保护 。在 DC 和 AD FS 服务器上配置 Defender for Identity 传感器，可以通过代理和特定的端点与云服务进行高度安全的单向连接 。关于如何配置这种代理连接的完整解释，可以在身份保护器的技术文档中找到 。这种严格控制的配置确保了将这些服务器连接到云服务的风险得到缓解，并且企业可以从身份保护器提供的保护能力的提高中受益 。微软还建议这些服务器用云端驱动的端点检测来保护，如 Azure Defender for Servers 。
推荐阅读
- Microsoft|Windows 365用户迎来新门户 可轻松向微软提交反馈
- Windows|微软发布Windows 11可选更新：修复启动延迟40分钟罕见问题
- Microsoft|微软扩大漏洞悬赏力度 额外再奖励30%赏金
- Windows|微软准备让Windows 11用户从应用商店安装第三方小工具
- Microsoft|微软捣毁ZLoader犯罪僵尸网络
- Microsoft|微软总裁史密斯：科技监管即将到来 行业应该参与塑造它
- 游戏主机|英国结束对索尼任天堂微软的调查：已承诺提高续费透明度
- Microsoft|更新Windows 10/11后 Chrome、Edge浏览器发生0xc0000022报错与崩溃
- Microsoft|微软启用Windows服务器的自动.NET月度更新
- Microsoft|微软云被指效仿当年的Windows捆绑 或将遭反垄断调查