本文提出并研究了一种针对 Active Directory 的新型攻击技术，命名为 Onelogon，该技术利用 Netlogon 协议中的安全缺陷来接管 Active Directory 账户。Netlogon 是 Windows 域环境中用于身份验证和账户管理的关键协议，传统上针对 Netlogon 的攻击（如 CVE-2020-1472 的 Zerologon）已被广泛关注和修补。然而，Onelogon 声称能够绕过多项现有缓解措施，实现账户接管。论文详细分析了 Netlogon 协议的认证流程、密码套件协商以及会话密钥派生机制，发现其中存在可利用的逻辑漏洞。通过精心构造的 Netlogon 消息序列，攻击者可以在不需要验证的情况下与域控制器建立安全通道，进而重置账户密码或提升权限。作者在实验环境中验证了该攻击的有效性，并对比了 Zerologon 等已知攻击，展示了 Onelogon 在规避检测方面的改进。论文还讨论了攻击的检测难点和潜在的防御策略，包括强化 Netlogon 安全策略、实施更严格的 RPC 过滤以及监控异常的 Netlogon 流量。该项研究属于安全研究范畴，旨在揭示协议层面的根本性弱点，推动厂商和社区采取更全面的缓解措施。适合安全研究员、Active Directory 管理员以及蓝队防御者阅读，以了解攻击面并提前做好防范。

本文研究了Microsoft Active Directory (AD) 安全加固中的实践挑战。AD作为企业核心管理服务，常成为攻击目标。现有攻击图谱加固方案存在三大局限：1）假设图谱静态，而实际AD环境高度动态；2）仅关注撤销漏洞（边移除），缺乏主动防御机制，如蜜罐部署；3）未考虑系统管理员反馈，导致修复方案不可实施。为此，论文提出一系列基于博弈论和优化的决策模型。首先，提出一种蜜罐/诱饵部署模型，通过最小化最短路径数和域管理员可达节点数来优化部署位置。其次，引入动态/时变AD图谱下的防御策略，目标是在最坏情况下最大化事件响应时间。第三，设计自适应优先级模型，向IT管理员查询每个高风险攻击路径以进行调解。最后，提出端到端自适应优先级模型，通过寻找泛化管理员决策的边移除策略，最小化管理员的审批工作量。论文证明了所有模型背后的计算问题均难以处理。该研究为AD安全提供了实用方法，适合安全工程师和研究人员阅读。