域控制器安全须聚焦物理隔离、权限配置、服务暴露和补丁状态四硬指标：机房门禁+bitlocker加密+raid冗余；用accesschk严查服务/注册表/目录权限；禁外网访问、关非必要服务、打2026年5月kb500xxxxx补丁；监控4625/4720/4697等关键事件id。
域控制器一旦失守，整个内网就等于敞开大门。排查不能靠猜，得用准、快、可验证的方法——重点抓物理隔离、权限配置、服务暴露和补丁状态这四个硬指标。
物理与存储安全必须兜底
再强的软件防护，也挡不住物理接触。域控制器服务器必须部署在受控机房，带门禁或生物识别；若条件受限，至少加装防盗笼并锁死机箱。硬盘必须启用BitLocker全盘加密，操作路径：服务器管理器 → 添加角色和功能 → 勾选“BitLocker驱动器加密” → 完成安装后右键系统盘启用。RAID配置建议至少为1+0或更高，避免单盘故障导致域服务中断。
权限配置要盯住三类高危对象
90%的横向渗透始于错误授权。用微软官方AccessChk工具快速扫描：
-
服务权限：检查IIS、SQL等服务账户是否被授予SCM（服务控制管理器）修改权限，命令示例：
accesschk.exe -ucqv "NT AUTHORITY\SYSTEM" * /accepteula -
注册表项：重点扫描
HKLM\System\CurrentControlSet是否对Authenticated Users开放写入 -
文件目录：核查
C:\Windows\Temp、%SystemRoot%\System32\GroupPolicy等路径的NTFS权限继承是否被破坏
网络与服务暴露面必须收紧
域控制器原则上不许访问互联网，也不接受来自外网的任何连接。出口防火墙策略应仅放行DNS（如114.114.114.114）出向请求，其余全部阻断。本地需关闭非必要服务：禁用Telnet、FTP、SMBv1；通过services.msc确认Netlogon、KDC、DNS Server处于启动状态，其余如Print Spooler、Remote Registry等一律设为“禁用”。特别注意CVE-2026-41089漏洞，所有Windows Server 2012及以上版本必须安装2026年5月补丁KB500XXXXX。
账号与日志异常要即时捕获
打开eventvwr.msc，聚焦三类事件ID：
- 登录异常：4625（失败登录）、4672（特权登录）
- 账号变更：4720（新建用户）、4732（加入管理员组）
- 服务操作：4697（新建计划任务）、7045（安装服务）
发现时间集中、来源IP非常规、账户名含$符号（如admin$）的情况，立即禁用并溯源。隐藏账号可用net user配合注册表HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names\交叉比对。
