LDAP 安全加固实战指南基于 Anthropic-Cybersecurity-Skills 的 ldap3 审计与 GPO 加固配置【免费下载链接】Anthropic-Cybersecurity-Skills817 structured cybersecurity skills for AI agents · Mapped to 6 frameworks: MITRE ATTCK, NIST CSF 2.0, MITRE ATLAS, D3FEND, NIST AI RMF MITRE F3 (Fight Fraud) · agentskills.io standard · Works with Claude Code, GitHub Copilot, Codex CLI, Cursor, Gemini CLI 20 platforms · 29 security domains · Apache 2.0项目地址: https://gitcode.com/GitHub_Trending/an/Anthropic-Cybersecurity-Skills本文是一份面向安全工程师与身份与访问管理IAM团队的 LDAP 目录服务安全加固技术指南。它以Anthropic-Cybersecurity-Skills仓库中的configuring-ldap-security-hardening技能为核心系统讲解如何通过LDAPSLDAP over TLS强制、LDAP 签名LDAP Signing、通道绑定Channel Binding、匿名绑定防护等手段抵御凭据窃取、LDAP 注入、匿名枚举与 NTLM 中继等攻击并配套提供基于ldap3的自动化审计脚本。读完本文你将掌握 LDAP 加固的完整技术模型、可复制的 Python 审计代码、Windows GPO/注册表加固配置项以及对应的 MITRE ATTCK 与 NIST CSF 2.0 框架映射。LDAP 加固面对的攻击面LDAPLightweight Directory Access Protocol是身份目录服务的核心协议一旦暴露攻击者可以利用以下攻击类别突破目录服务凭据收割Credential Harvesting通过明文 LDAP 通信截获用户凭据LDAP 注入LDAP Injection篡改搜索过滤器绕过访问控制或枚举数据匿名绑定Anonymous Binding未认证即枚举用户、组与目录结构通道绑定绕过Channel Binding Bypass剥离 TLS 层验证实施 NTLM 中继攻击。本技能定义于 skills/configuring-ldap-security-hardening/SKILL.md的定位是在部署或审计一个 LDAP/Active Directory 环境时通过强制 LDAPS、通道绑定与 LDAP 签名来消除上述攻击路径并持续监控 LDAP 攻击行为。其安全控制集对齐了 NIST 800-53 的访问控制要求包括账户管理AC-2、访问强制AC-3、最小权限AC-6、审计日志AU-3与身份识别IA-2。依赖库ldap3库安装方式用途ldap3pip install ldap3LDAP 协议客户端用于目录服务安全审计在 skills/configuring-ldap-security-hardening/scripts/agent.py 中审计脚本通过以下导入完成对 ldap3 的初始化若依赖缺失会提示安装并退出try: import ldap3 from ldap3 import Server, Connection, ALL, NTLM, Tls import ssl except ImportError: print(Install: pip install ldap3) sys.exit(1)脚本运行时要求 Python 3.8且仅在获得授权的测试/实验环境中执行审计。核心 ldap3 API 方法API 参考文档skills/configuring-ldap-security-hardening/references/api-reference.md归纳了 ldap3 在 LDAP 加固场景中的四个关键方法下面结合源码中的实际调用方式逐一展开。Server创建带 TLS 配置的 LDAP 服务器Server(ip, port, use_ssl, tls, get_infoALL)use_sslTrue表示启用 TLS 通道走 636 端口tls接受一个Tls实例用于证书校验配置get_infoALL会拉取服务器 rootDSE 信息供后续基址 DN 推断使用。在审计脚本中LDAPS 可用性检查使用Tls(validatessl.CERT_NONE)关闭证书校验以探测端口可达性审计场景而非生产连接配置tls Tls(validatessl.CERT_NONE) server Server(server_ip, port636, use_sslTrue, tlstls, get_infoALL) conn Connection(server, auto_bindTrue)Connection认证绑定Connection(server, user, password, authenticationNTLM)指定用户与密码、使用 NTLM 认证方式建立绑定用于检测服务器是否接受简单绑定/通道绑定相关的认证行为。审计脚本中通道绑定检查即采用此形式server Server(server_ip, get_infoALL) conn Connection(server, userf{domain}\\{username}, passwordpassword, authenticationNTLM, auto_bindTrue)注意用户名使用domain\username格式这是对 Active Directory 域内账户进行 NTLM 认证的标准写法。Connection匿名绑定测试Connection(server, auto_bindTrue)不提供任何凭据的匿名绑定用于验证目录服务是否允许未认证访问。这是判断“匿名枚举”风险的关键探测手段。conn.search目录对象搜索conn.search(base, filter, attributes)在指定基址上执行 LDAP 过滤器查询并获取指定属性。脚本中使用两种典型检索# 读取 rootDSE 基本信息 conn.search(, (objectClass*), search_scopeldap3.BASE, attributes[*]) # 枚举用户对象 conn.search(base_dn, (objectClassuser), attributes[sAMAccountName])若匿名连接下(objectClassuser)能返回用户条目即确认服务器存在可被未认证用户枚举的严重缺陷。自动化的四项安全检查实现agent.py把上述 API 封装为四个独立检查函数构成一次完整的 LDAP 加固审计流水线。核心逻辑如下函数检查内容判定方式check_ldap_signing匿名绑定是否可用389 端口匿名 bind 成功后默认判定为高风险check_ldapsLDAPS 是否可用636 端口 TLS bind 失败即判定为高风险check_channel_binding简单绑定是否被允许NTLM bind 成功后结合加固配置人工复核audit_anonymous_accessrootDSE 与用户枚举匿名搜索(objectClassuser)返回条目即告警LDAP 签名检查check_ldap_signingdef check_ldap_signing(server_ip): try: server Server(server_ip, port389, get_infoALL) conn Connection(server, auto_bindTrue) info server.info conn.unbind() return { check: LDAP signing, port: 389, anonymous_bind: True, severity: HIGH, recommendation: Enforce LDAP signing via GPO: Domain controller: LDAP server signing requirements Require signing, } except Exception as e: return {check: LDAP signing, error: str(e), anonymous_bind: False}从源码结构看该检查通过是否成功匿名绑定来判断服务器未强制 LDAP 签名的暴露程度并直接给出 GPO 修复建议。LDAPS 可用性检查check_ldapsdef check_ldaps(server_ip): try: tls Tls(validatessl.CERT_NONE) server Server(server_ip, port636, use_sslTrue, tlstls, get_infoALL) conn Connection(server, auto_bindTrue) conn.unbind() return {check: LDAPS, port: 636, available: True, severity: INFO} except Exception as e: return {check: LDAPS, available: False, severity: HIGH, recommendation: Enable LDAPS by installing a certificate on the domain controller}LDAPS 不可用时凭据将以明文在网络上传输属于高危风险修复方式是在域控制器上安装证书并启用 LDAPS。通道绑定检查check_channel_bindingdef check_channel_binding(server_ip, domain, username, password): try: server Server(server_ip, get_infoALL) conn Connection(server, userf{domain}\\{username}, passwordpassword, authenticationNTLM, auto_bindTrue) conn.unbind() return { check: Channel binding, simple_bind_allowed: True, severity: MEDIUM, recommendation: Enable LDAP channel binding via registry: LdapEnforceChannelBinding2, } except Exception as e: return {check: Channel binding, error: str(e)}该检查需要域账号凭据作为输入在run_audit中只有当domain/username/password三者齐备时才执行用于确认服务器是否仍接受未经通道绑定的简单绑定。匿名访问审计audit_anonymous_accessdef audit_anonymous_access(server_ip): findings [] try: server Server(server_ip, get_infoALL) conn Connection(server, auto_bindTrue) conn.search(, (objectClass*), search_scopeldap3.BASE, attributes[*]) if conn.entries: findings.append({issue: Anonymous rootDSE access, severity: MEDIUM, ...}) base_dn server.info.other.get(defaultNamingContext, [])[0] if server.info else if base_dn: conn.search(base_dn, (objectClassuser), attributes[sAMAccountName]) if conn.entries: findings.append({issue: Anonymous user enumeration, severity: CRITICAL, detail: fAnonymous bind can enumerate {len(conn.entries)} user objects}) conn.unbind() except Exception as e: findings.append({issue: Anonymous access test, error: str(e)}) return findings这段代码先探测 rootDSE 是否泄露给未认证客户端中危再从defaultNamingContext推断域基址 DN随后尝试匿名枚举用户对象若成功则为 CRITICAL。它体现了从信息泄露到实际枚举的两级风险判定思路。运行审计并输出报告agent.py提供命令行入口run_audit汇总所有检查结果并打印分节报告python3 scripts/agent.py --server 10.0.0.5 python3 scripts/agent.py --server 10.0.0.5 --domain CORP --username admin --password Pssw0rd python3 scripts/agent.py --server 10.0.0.5 --domain CORP --username admin --password Pssw0rd --output report.json参数说明参数必填说明--server是目标 LDAP 服务器 IP--domain否AD 域名提供后才会执行通道绑定检查--username否LDAP 用户名--password否LDAP 密码--output否将报告以 JSON 格式落盘输出报告结构包含signing、ldaps、anonymous三大部分指定--output时通过json.dump(report, f, indent2, defaultstr)生成结构化 JSON便于后续接入 SIEM 或合规证据归档对应 SKILL.md 中“审计日志启用并转发至 SIEM”的验证项。Windows 侧加固GPO 与注册表设置API 参考文档给出了 LDAP 加固的权威配置项这些设置在 Windows Server / Active Directory 环境中生效设置注册表路径推荐值LDAP 签名HKLM\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\LDAPServerIntegrity2Require通道绑定HKLM\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\LdapEnforceChannelBinding2Always简单绑定GPONetwork security: LDAP client signing requirementsRequire signing各取值语义说明LDAP 签名LDAPServerIntegrity值 2 表示强制要求 LDAP 签名服务器将拒绝所有未签名的 LDAP 简单绑定与 NTLM 认证请求有效阻断 NTLM 中继攻击通道绑定LdapEnforceChannelBinding值 2 表示始终执行通道绑定强制客户端在 LDAPS 会话中绑定 TLS 通道防止攻击者剥离 TLS 通道复用凭据LDAP 客户端签名要求通过组策略统一要求所有域内客户端对 LDAP 请求签名形成“服务器端强制 客户端要求”的双向约束。这三项配置的组合是消除凭据中继、明文传输与匿名访问的关键闭环也是 CIS Active Directory 基准的核心加固项。安全检查与风险定级检查项风险严重级别允许匿名绑定用户/组枚举CRITICALLDAPS 不可用明文凭据传输HIGH未强制 LDAP 签名通过 LDAP 进行 NTLM 中继HIGH通道绑定被禁用凭据中继攻击MEDIUM风险定级逻辑匿名绑定直接导致目录数据泄露定为 CRITICAL明文传输与可中继都允许攻击者直接获取或复用凭据定为 HIGH通道绑定缺失在已启用 LDAPS 的前提下风险有所收敛定为 MEDIUM。审计脚本中的严重级别与推荐修复建议与上表一一对应可直接作为整改依据。框架映射与合规对齐该技能在元数据中显式声明了多框架映射见 skills/configuring-ldap-security-hardening/SKILL.md 的 frontmatterMITRE ATTCK覆盖T1087.002账户发现域账户、T1110.003暴力破解密码喷洒、T1557.001中间人LLMNR/NBT-NS 投毒与 SMB 中继、T1040网络嗅探、T1078.002有效账户域账户NIST CSF 2.0对齐PR.AA-01、PR.AA-02、PR.AA-05、PR.AA-06身份管理、认证与访问控制MITRE F3 v1.1关联T1110.003密码喷洒、T1110暴力破解、F1006账户接管、T1557中间人分别落在initial-access与positioning战术。从仓库整体看该技能归属于identity-access-management子域。mappings/nist-csf/csf-alignment.md将 IAM 子域主映射到 ProtectPR与 GovernGV功能核心覆盖PR.AA访问限于授权用户、服务与硬件与GV.RR网络安全角色与职责。因此 LDAP 加固不仅是技术配置更是 NIST CSF 2.0 访问控制支柱PR.AA的直接落地可用于生成合规就绪文档与审计证据。验证清单部署完成后对照 skills/configuring-ldap-security-hardening/SKILL.md 的 Verification 清单逐项确认已在非生产环境完成实现测试安全策略已配置并强制生效审计日志已启用并转发至 SIEM文档与操作手册Runbook完整已生成合规证据建议将上述清单与agent.py的 JSON 报告结合把每次审计报告作为合规证据留存并把匿名绑定CRITICAL、LDAPS 缺失HIGH等发现纳入 SIEM 告警与整改工单形成“检测 → 加固 → 复核”的闭环流程。【免费下载链接】Anthropic-Cybersecurity-Skills817 structured cybersecurity skills for AI agents · Mapped to 6 frameworks: MITRE ATTCK, NIST CSF 2.0, MITRE ATLAS, D3FEND, NIST AI RMF MITRE F3 (Fight Fraud) · agentskills.io standard · Works with Claude Code, GitHub Copilot, Codex CLI, Cursor, Gemini CLI 20 platforms · 29 security domains · Apache 2.0项目地址: https://gitcode.com/GitHub_Trending/an/Anthropic-Cybersecurity-Skills创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
