使用 Protected Users Group 应对威胁

Microsoft 在 Protected Users 中引入了 Windows Server 2012 R2 和 Windows 8.1 的组，并针对作为该组成员的帐户进行加固，尤其用于防护 pass-the-hash 攻击 ：通过禁用 NT LAN Manager（NTLM）的使用。NTLM 是一种仍存在于 Windows 中、用于向后兼容的旧式身份验证协议。

只有当用户登录到 Windows Server 2012 R2 或 Windows 8.1 时，才会提供额外的保护；而要启用完整的防御项目清单，则需要将域功能级别设置为 Windows Server 2012 R2（或更高）。

Protected Users 主要用于域和企业管理员帐户。这些帐户特别容易受到攻击，因为一旦被攻破，就会对系统提供“畅通无阻”的广泛访问。需要说明的是，这并不意味着可能被视为目标的其他用户帐户不能添加到 Protected Users 中。但由于对 Protected Users 成员设置了严格的限制，因此在启用之前必须进行充分的测试。

这些限制没有任何变通办法。因此，如果你打算将高权限帐户（例如域管理员和企业管理员）添加到 Protected Users，明智的做法是确保至少保留一个不用于常规管理任务的帐户在组外。

当从受支持的设备登录时，为 Protected Users 组的成员启用以下保护：

• 阻止使用缓存的凭据。必须能访问域控制器以对用户进行身份验证
• 不能使用长期 Kerberos 密钥进行登录
• 即使启用了相关策略，纯文本密码也不会为 Windows Digest 身份验证或默认凭据委派（CredSSP）进行缓存。
• 阻止 NTLM 单向函数（NTOWF）

如果将域功能级别设置为 Windows Server 2012 R2 或更高版本，将启用额外的保护：

• Kerberos 票据授予票据（TGT）无法在超过 4 小时的生存时间（TTL）期间内进行续订
• 阻止 NTLM
• Data Encryption Standard (DES) 和 RC4 不能用于 Kerberos 预身份验证
• 已阻止受约束和不受约束的委派

当阻止使用 DES 和 RC4 时，所有域控制器 (DC) 必须运行 Windows Server 2008（或更高版本）。并且在将用户添加到 Protected Users 之前，应在 Windows Server 2008 DC 上更改他们的密码，以便 AES 密钥存储在 Active Directory。

在我的域中看不到 Protected Users 组

如果你的域中没有 Protected Users 组，你需要确保至少有一台 Windows Server 2012 R2 DC，并将 Primary Domain Controller (PDC) Emulator Flexible Single Master Operation (FSMO) 角色转移到 Windows Server 2012 R2 DC。如有必要，可以将 PDC 角色再转回到其原始位置。

要检查你的域中是否存在 Protected Users 组，请以域管理员身份登录 Windows Server 2012 R2：

• 从 Start 屏幕打开 Server Manager
• 选择 Active Directory Users and Computers（从 Tools
• 在左侧窗格中展开你的域，然后单击 Users.

如果域中存在 Protected Users，你应该在右侧看到它。可以像添加到任何 AD 组一样，将用户添加到 Protected Users。例如使用 PowerShell，将 admin1 用户帐户添加：

Add-ADGroupMember –Identity ‘Protected Users’ –Members admin1

要将 PDC emulator FSMO 角色转移到一台 Windows Server 2012 R2 DC，请使用域管理员帐户登录该 DC，并通过桌面任务栏上的图标打开 PowerShell 提示符。现在输入下面的命令并按 ENTER，将 DC6 替换为 Windows Server 2012 R2 DC 的名称：

Move-AdDirectoryServerOperationMasterRole -Identity DC6 –OperationMasterRole pdcemulator

如果你想确认 PDC emulator FSMO 角色的新位置或原始位置，请运行下面的命令，将 ad.contoso.com 替换为你的 AD domain：

Get-AdDomain ad.contoso.com | Format-List pdcemulator