受保护用户组是防pth核心机制：加入该组的账户在win8.1/server2012r2+上禁用ntlm、不缓存哈希、tgt 4小时失效、禁用弱加密套件及默认委派，且须配合laps、credential guard、lsa保护等纵深防御措施。
要真正防住 Pass-the-Hash（PtH）攻击，核心不是堵单个漏洞，而是打破“凭据复用+高权限横向移动”这个链条。重点在于隔离、限制和降权——让哈希即使被拿到，也难以用、用不久、用不广。
受保护用户组（Protected Users）必须启用
这是 Windows Server 2012 R2 及之后版本中最直接有效的内置机制。加入该组的账户会自动触发多项硬性限制：
- 登录时不会缓存 NTLM 哈希，LSASS 内存中不保留可提取的凭证
- 禁用 NTLM 认证（强制 Kerberos），且 Kerberos TGT 票据无法自动续期，4 小时后即失效
- 禁止使用 DES/RC4 加密套件进行 Kerberos 预认证，杜绝弱加密通道
- 关闭默认凭据委派（CredSSP）、Windows 摘要认证等易泄露明文或哈希的协议
注意：该策略仅在 Windows 8.1 / Server 2012 R2 及更高系统上生效；旧客户端登录时无防护。建议将域管理员、服务账户、高权限业务账户全部纳入此组。
本地管理员账户必须去重与隔离
攻击者常通过一台失陷工作站，用本地管理员哈希横向打穿整个办公网。关键动作包括：
- 禁用所有终端上的 Administrator 内置账户，改用命名唯一、密码强随机的本地账户
- 使用 LAPS（Local Administrator Password Solution）自动为每台设备生成并轮换唯一本地管理员密码
- 确保同一本地管理员账户名不能在多台设备上拥有相同密码（避免哈希复用）
- 通过组策略禁止本地管理员远程登录非管理主机（如普通办公机）
凭证存储与访问环境必须加固
哈希大多从 LSASS 进程内存或 SAM/NTDS 数据库中被提取。防御需覆盖静态与动态两个层面：
- 在支持的系统（Win10 1511+/Server 2016+）上启用 Credential Guard，将 Kerberos 密钥和 NTLM 哈希隔离到基于虚拟化的安全子系统（VBS）中，Mimikatz 无法读取
- 启用 LSA 保护（RunAsPPL），阻止未签名进程注入 LSASS，大幅提高凭证提取门槛
- 禁用 NTLMv1，限制 NTLM 使用范围（如仅限特定旧应用），并通过域策略强制 Kerberos 优先
- 对域控制器启用 SMB 签名和 LDAP 签名/通道绑定，防止中继攻击滥用 NTLM 流量
监控与响应要聚焦异常行为模式
PtH 攻击本身不产生“错误日志”，但行为有迹可循。应重点采集并分析以下信号：
- 同一用户账号在短时间内从多个不同 IP 或非典型设备发起 NTLM 认证（尤其来自工作站登录服务器）
- 非特权主机使用域管理员账户执行 WMI、PowerShell 远程命令或 SMB 文件操作
- Kerberos TGT 请求频率突增、票据生命周期异常延长（如超过 10 小时）、PAC 属性被篡改
- LSASS 进程被可疑工具（如 mimikatz.exe、sekurlsa.dll）注入或内存转储
推荐结合 Windows Event Log（4624、4776、4672 等事件 ID）、Microsoft Defender for Identity 或 Azure AD Identity Protection 实现自动化检测。
