為什麼管理員帳戶安全是重中之重？
管理員帳戶掌握著域控制器、證書頒發機構 (CA)、核心服務器、遠程管理工作站的「萬能鑰匙」。一旦失陷，攻擊者可：
- 橫向移動控制整個域/林；
- 竊取/偽造加密文件系統 (EFS) 恢復代理、註冊代理、密鑰恢復代理證書，實現身份冒充；
- 部署持久化後門、勒索軟件、供應鏈投毒。
跨林/域信任環境下，弱域管理員帳戶會危及強域（如 TestB.com 管理員被授權管理 TestA.com，若 TestB 失陷，TestA 亦落）。
鐵律：絕不以管理員身份日常登錄
日常辦公（郵件、瀏覽、文檔）使用普通域用戶帳戶（僅屬 Users 組）。需執行管理任務時，使用「運行方式」(Run as / Secondary Logon)以管理憑證啟動特定程序（MMC、ADUC、PowerShell ISE 等）。此舉將惡意代碼破壞範圍從「整個域/林」壓縮至「本地用戶會話」。
管理員帳戶分類與保護重點
| 類別 | 典型帳戶 | 權限範圍 | 保護等級 |
|---|
| 本地管理員 | 內置 Administrator、後續加入本地 Administrators 組的用戶 | 單台計算機完全控制 | 高 |
| 域管理員 | 內置 Domain Admin、Domain Admins 組成員 | 整個域完全控制（若未保護好可擴展至林） | 最高 |
| 林管理員 | 林根域 Administrator、Enterprise Admins 組成員 | 整個林完全控制，可安裝 CA、偽造智能卡 | 最高+ |
十二條最佳實踐指導原則
- 區分角色：嚴格分離域管理員與企業管理員，避免權限過度集中。
- 帳戶分離：每位管理員擁有一個普通帳戶 + 一個專用管理帳戶，嚴禁混用。
- 善用 Secondary Logon：
runas /user:domain\admin "mmc %windir%\system32\dsa.msc"，或啟用「以管理員身份運行」右鍵菜單。
- 獨立 Terminal Services 會話：遠程管理使用專用跳板機/堡垒機，錄像審計，禁止直接 RDP 到域控。
- 重命名內置管理員：GPO 統一重命名 Administrator → 複雜中文名，並設置 20+ 字符強密碼。
- 創建蜜罐管理員：保留原名 Administrator 但禁用/設置極強密碼/無權限，作為誘餌觸發告警。
- 次級管理員 + 禁用內置：創建具體職責的管理帳戶（如 DBAdmin、WebAdmin），禁用默認 Administrator。
- 遠程登錄帳戶鎖定：GPO 配置「帳戶鎖定閾值/時間」，防暴力破解遠程桌面/VPN。
- 強制強密碼策略：長度≥15、複雜度、歷史記憶 24 次、最長壽命 90 天、可逆加密禁用。
- 自動掃描弱密碼：定期運行密碼審計工具（如 L0phtCrack、Pipal）檢測弱口令。
- 僅受信任設備使用管理憑證：PAW (Privileged Access Workstation) / 特權訪問工作站，隔離管理平面。
- 定期審核：帳戶成員、密碼年齡、委派設置、登錄日志 (4624/4625/4672/4720/4722/4728/4732/4756) 自動化分析。
禁用帳戶委派與控制登錄過程
- 禁止非必要的非受限委派/受限委派，防 Kerberos 委派攻擊 (Unconstrained Delegation / RBCD)。
- 部署 Windows Hello for Business / 智能卡 / FIDO2 金鑰實現無密碼多因子認證 (MFA)。
- 啟用「安全登錄」 (Ctrl+Alt+Del) 防鍵盤記錄器竊取憑證。
總結
管理員帳戶安全不是單一產品能解決的，而是身份治理 (IGA)、特權訪問管理 (PAM)、零信任架構、持續審計的系統工程。從「最小權限」原則出發，層層設防，假設失陷，將損失控制在可接受範圍內。