78%的勒索攻击都涉及同一个环节，你的企业“总开关”正在被黑客盯上

安全预算有限时，企业最该先投的是“身份”。

一个真实发生的场景

某企业凌晨遭遇勒索攻击。全公司电脑同时黑屏，屏幕上弹出一封勒索信：48小时内支付比特币，否则核心数据全部公开。

事后复盘时，IT负责人说了一句话：

“黑客不是一台一台攻进来的。他们先拿下了域控制器，然后像群发邮件一样，把勒索软件‘推送’到了每一台电脑。”

这不是个例。

微软安全团队在2025年4月发布的一份威胁报告中给出了两个数字：

在人工操作型勒索攻击中，超过78%涉及域控制器失陷（数据详情点击“阅读原文”）；

其中，约35%的案例，域控制器被用作大规模分发勒索软件的主要渠道。

这两个数字说明了一件事：域控制器已经成为勒索攻击的核心目标，而且一旦失守，影响范围是全网级的。

什么是域控制器？为什么它一倒，全网危险？

很多企业管理者听到“域控制器”会觉得这是IT部门的事。

但可以这样理解：

域控制器，就是企业网络的“总门禁 + 总调度中心”。

在采用微软Active Directory（活动目录，简称AD）的企业网络中，域控制器是负责身份认证和权限管理的核心服务器。它主要做三件事：

验证身份：员工登录电脑、访问共享文件、连接内部系统，账号密码都由它来核对。

下发策略：公司规定“所有电脑必须开防火墙”“U盘禁用”“密码90天更换”，这些规则由它统一推送到每台终端。

管理权限：谁可以访问财务数据，谁可以进研发系统，权限关系存在它这里。

AD是“制度”，域控制器是“执行制度的服务器”。

制度再完善，如果执行制度的服务器被攻破，很多防线就会失效。

所以攻击者的思路很清晰：

与其逐台突破终端，不如直接拿下“管理所有终端的大脑”。

一旦域控制器失陷，攻击者通常可能获得：

更高权限：接近域管理员级别的访问能力；

横向移动通道：更容易访问其他服务器和终端；

批量操作能力：推送策略、修改密码、删除日志、干扰备份恢复。

这也是为什么域控制器失陷往往不只是“一台服务器出问题”，而可能意味着整个内网面临更大风险。

这不是微软一家在提醒

这也不是微软一家在提醒。

美国国家安全局、美国网络安全和基础设施安全局、澳大利亚网络安全中心曾在2024年联合发布Active Directory安全指南，明确指出AD环境被攻陷后，攻击者可能获得特权访问、绕过其他安全控制并建立持久访问。

据专注于身份安全的美国网络安全公司Semperis统计显示，83%的勒索攻击涉及身份基础设施失陷，82%的网络事件涉及AD/EntraID，与微软数据相互印证。

另外，综合Verizon DBIR、Mandiant M-Trends、360勒索态势报告、CrowdStrike、Sophos等多方安全报告的分析，在企业级勒索攻击成功案例中，AD域被攻破（或被用作关键横向移动/权限提升跳板）的比例约为70%~90%，且这一比例在近三年呈持续上升趋势。

虽然不同报告统计口径存在差异，但结论一致：身份系统和域控制器已成为勒索攻击中的高价值目标。

CEO该算的那笔账：安全预算该先投哪？

很多企业的网络安全预算，往往先花在边界防护上：防火墙、杀毒软件、邮件网关、入侵检测、终端防护。

这些当然重要。但攻击者并不总是正面突破边界。更常见的路径是：

先拿到合法账号，再进入内网，再提升权限，最后控制关键系统。

如果攻击者已经拿到了“总门禁钥匙”，再厚的围墙也可能挡不住。

所以，在预算有限的情况下，一个更务实的思路是：

优先加固身份系统，尤其是域控制器和特权账号。

这并不是说可以拆掉防火墙、不再做终端防护，而是提醒管理者：在资源有限时，应优先保护那些“一旦失陷，影响最大”的节点。

身份安全之所以值得优先投入，是因为它同时覆盖多个攻击环节：

守住域控制器，就减少了勒索软件在内网批量分发的通道；

管好特权账号，就限制了攻击者横向移动的空间；

监控异常登录和权限变更，就有机会在攻击早期发现风险。

企业现在可以做什么？

不需要立刻推翻现有安全体系，但可以尽快推动三件事。

1. 把域控制器列为“最高级别资产”

不只是口头重视，而要在预算、监控、变更管理和应急响应中体现优先级。域控制器不应被当作普通服务器管理。

2. 搞清楚谁有权访问域控制器

很多风险并非来自技术漏洞，而是来自权限失控。要重点梳理：

谁是域管理员；

谁拥有高权限账号；

第三方运维是否使用独立账号；

离职人员权限是否及时回收；

是否存在多人共用管理员账号的情况。

3. 为“最坏情况”准备预案

如果域控制器被攻破，企业能否快速恢复？是否有经过验证的AD备份？是否有隔离恢复流程？是否有应急账号和恢复演练？

这类问题不能只交给IT部门自行决定，通常需要管理层推动资源投入，并为之寻找合适的域控安全防护方案。

写在最后

勒索攻击看起来是技术问题，本质上更是商业风险问题。

78%这个数字，不是用来制造恐慌，而是用来提醒决策：如果安全预算只能优先投一个方向，身份系统和域控制器值得排在前面。

不要等到勒索信出现在CEO邮箱里，才第一次认真问：我们的域控制器，到底谁在管？谁在访问？出了事，能不能恢复？

希望把这些问题从“知道要管”变成“真正管住”，欢迎联系我们，了解“联软安基UniXIAM统一身份治理方案”——一个涵盖安域XCAD系统身份管理、XIAM应用身份管理、PAM特权身份管理、数字员工身份管理、身份威胁检测与响应的综合解决方案，让身份安全真正落地，守住企业底线风险。