必看！父域子域蓝队检测实战心得，别再踩坑了！
大家好呀,今天这篇文章真的是必看级别的，尤其是做蓝队防守的兄弟姐妹们，父域子域这块儿的检测坑，我踩过太多次了，今天必须好好唠唠。
先说结论吧：父域子域蓝队检测这件事，很多人以为搞个DNS日志监控就完事了，结果真出事的时候一脸懵，我自己就经历过一次，子域被人悄悄接管了，父域那边日志干干净净，啥也没看出来——你说气不气？
为啥父域子域这么容易出问题？
说实话啊,域环境这东西，天生就是"信任泛滥"的重灾区，父域信任子域，子域又信任父域，双向信任一开，攻击者只要拿下任意一个子域，就能顺着信任关系往上爬，而我们蓝队呢？往往只盯着父域的核心资产，子域那边觉得"反正边缘业务，问题不大"——哎，这就是最大的误区！
我见过太多案例了,攻击者先拿下一个不起眼的子域，比如什么测试环境、老业务系统，然后利用域信任关系做黄金票据、做SID History注入，一路摸到父域，等你发现的时候，人家已经在父域里安家了。
蓝队检测到底该盯什么？
第一，盯信任关系的变化。 父域子域之间的信任关系，正常情况下是稳定的，一旦有人新建信任或者修改信任属性，这就是高危信号，我们当时就是靠监控目录服务里的信任对象变更，抓到了一次异常。
第二，盯跨域的认证流量。 子域账号往父域做认证，父域账号往子域跑，这些跨域Kerberos流量要重点看，特别是那种非工作时间、来源IP奇怪的跨域TGT请求，八成有问题。
第三，盯子域的DC。 很多人只保护父域的域控，子域DC基本裸奔，兄弟，子域DC被拿下，父域也就危险了呀！子域DC上的日志、复制行为、账号变更，都得纳入检测范围。
第四，盯SID History和ACL。 这个是老生常谈了，但真的有用，攻击者做跨域提权，经常往ACL里塞后门，或者滥用SID History，定期扫一遍父域子域之间的ACL异常，能挖出不少东西。
说点掏心窝子的话
做父域子域蓝队检测，最怕的就是"我以为"，我以为子域不重要，我以为信任关系不会被动，我以为日志都收全了……结果呢？全是坑。
我现在的心得就一条：把父域和子域当成一个整体来看，别分家，检测规则要覆盖跨域的每一个环节，日志要统一收，告警要联动看，别等到人家从子域摸到父域了，你还在子域里找线索。
好了,今天这篇必看的父域子域蓝队检测心得就聊到这儿，如果你也在做域安全防守，欢迎在评论区交流，咱们一起把坑填平！觉得有用的话，记得关注本站，后续还有更多实战干货，别错过啦～
相关阅读推荐：域信任关系攻防实战、蓝队日志检测体系搭建