微软安全团队 2025 年官方报告披露：78% 的人工操作型勒索攻击，最终都会突破域控；35% 的事件中，域控本身就是勒索软件向全网分发的核心节点。第三方机构 Semperis 的全球数据同样印证：83% 的勒索攻击涉及身份基础设施失陷。

但更反常识的是 ——域控作为企业 IT 体系最核心的系统，恰恰不能靠 "围起来、加防火墙" 的传统思路防护。它承担着全产线终端认证、组策略下发、文件资源共享等核心职能，445、389 等业务必需端口必须全域开放 —— 强行隔离的那一刻，生产业务会先于攻击中断。 

一、为什么域控是车企的 "命门"

AD 域控绝非单纯的账号管理工具，而是串联车企办公、生产、研发、供应链、经销商五大业务场景的数字身份枢纽，统一掌管终端认证、组策略下发、MES/PLM 系统鉴权、文件共享、打印机管理、DNS 解析一整套基础能力。域控一旦失守，等于把全企业的数字钥匙交到了攻击者手中。

1、车企勒索的标准攻击链路

几乎所有车企域控攻击都遵循同一路径：门店 / 供应商入口→办公网横向渗透→生产网突破→拿下总部域控→全网分发勒索。

而第二个反常识的真相是：整条攻击链路全程使用合法账号、走标准协议，传统安全设备检出率不足 20%（CrowdStrike 数据），从终端失陷到完成全域横向移动平均仅需 62 分钟。下班时间发起攻击，一夜之间即可完成从门店入口到总部域控的全线突破，次日员工上班时全公司已陷入加密状态。

更关键的是，攻击者一旦拿到域管理员权限，几乎就能为所欲为—— 创建恶意组策略、导出全域账号哈希、关闭安全策略、批量下发程序，全程没有任何二次校验和阻断机制，这也是域控被攻破后损失会迅速扩大的核心原因。

2、典型事件印证

案例 01某国有控股整车集团（2026年2月）：遭受Beast（MoneyIsTime）勒索攻击，根据该攻击组织已公开的工具链、战术特征与披露的信息，攻击者在内网渗透阶段执行了AD域信息枚举、窃取域账号凭据，并依托域身份完成域内横向移动，最终实现多业务服务器加密与数据窃取。

案例 02北京某港股上市车企（2026年7月）：被 DragonForce勒索软件组织宣称列为受害者。根据该攻击组织已公开的工具链与战术特征，基于AD 的横向渗透已实际发生，并窃取源代码、财务文件及员工数据库等数据。

案例 03某国外知名车企（2025 年）：攻击者通过边缘系统突破边界，利用 AD 协议层漏洞横向渗透并攻陷总部域控，随后通过恶意组策略（GPO）向全球 17 个国家的生产基地批量推送勒索软件，整车工厂停产超 5 周，直接损失超 19 亿英镑，新车型上市节奏被迫延后。

案例 04国内某汽车制造集团（2024 年）：分支机构服务器暴露公网且存在弱口令，攻击者暴力破解获取低权限后，通过目录同步（DCSync）窃取域控哈希、伪造黄金票据拿下总部域控，进而控制核心生产系统，总装、焊装车间全线停摆。

案例 05某国外汽车分公司（2023 年）：攻击者窃取经销商 VPN 凭证后，通过哈希传递（PTH）攻击横向渗透至总部，最终获取域管理员权限，加密数千台办公终端、生产服务器与经销商系统，生产线、零部件订单、门店销售全面中断。

除了以上披露的成功入侵信息外，还有大量国内大型汽车企业都被勒索过，但未披露，中招的企业大部分都和AD有关系，大型勒索，黑客偏好去攻击AD，这个已经成为勒索的典型攻击手法。

二、为什么传统防护防不住域控攻击

多数车企已部署防火墙、EDR、零信任等安全产品，但依然挡不住 AD 被攻破。根源在于 AD 存在五大结构性风险，叠加汽车行业场景特性，形成了靠 "打补丁" 解不开的安全死结。

 所有风险最终指向同一个核心矛盾：域控 "必须全域可达" 的属性，和传统 "边界隔离" 的防护思路天然矛盾。补丁、防火墙、EDR 都是边界思维，对域控这种 "必须对内开放" 的核心系统天然失效；更关键的是，域内高危操作同样处于无管控状态，一旦账号失守，攻击者便可 "拿到权限就为所欲为"—— 这不是安全投入不够，而是防护逻辑从根上就不匹配。

三、联软 XCAD：从架构根源解决域控安全困境

面对 AD 的结构性风险，靠打补丁、加 MFA 的 "补丁式防御" 已无力回天。联软 XCAD 采用"暴露面收敛 + 原生国产 AD 平替 + 高危操作阻断"三层驱动思路，不是在旧架构上修修补补，而是按安全逻辑重新设计域控体系，每个方案都精准对应一个核心痛点。

1. 三层分布式架构：破解 "域控无法隔离" 的核心矛盾

打破传统 AD "终端直连域控服务器" 的暴露式架构，采用终端层→身份安全网关→核心控制层三层分布式设计。所有认证请求、协议转发均经过身份网关的协议校验与攻击检测，核心域控服务器不直接面向终端暴露。 价值：生产网终端不再直接访问核心域控，即便办公侧终端失陷，攻击者也无法直抵生产域核心，从架构层面切断 "办公网→生产网" 的横向渗透路径 —— 既完整保留全域认证的业务能力，又实现了核心身份资产的逻辑隐身。

2. 协议级代码加固：解决 "产线无法停机打补丁" 的行业难题

从代码层面修复 SMBv2/v3、Kerberos 等核心协议的已知高危漏洞，强制禁用 SMBv1、LDAPv1、NTLM 等老旧危险协议，默认启用 AES-256 及国密算法实现传输加密。针对 445 端口进行专项协议级加固，从根源封堵哈希传递（PTH）、目录同步（DCSync）、黄金票据等经典域内攻击路径。 价值：无需产线工控机、HMI 终端停机更新补丁，即可封堵勒索横向传播的核心通道；既完整保留文件共享、组策略下发等生产必需能力，又从代码底层消除协议层安全风险。

3. 无客户端全终端纳管：解决 "混合环境两套体系割裂" 的管理难题

采用无客户端（Agentless）架构，无需在终端部署额外软件，即可统一纳管 Windows 办公终端、工控工作站、麒麟 / 统信研发终端、门店国产系统等全类型设备，完整继承原有 AD 的组策略、文件共享权限、DNS 服务、打印机管理等能力。 价值：在信创过渡阶段，无需拆分两套域控体系，生产、研发、营销等全场景终端实现统一管控，运维操作习惯保持不变，生产业务不受影响。

4. 三阶段平滑迁移：回应 "替换 AD 牵一发动全身" 的深层顾虑

第三个反常识的认知是：AD 替换根本不是 "换一套账号"，而是更换整套数字基建底座—— 它承载了十余年的业务规则、权限配置、系统对接，所以平滑迁移能力比单纯的功能对标更重要。

联软 XCAD 采用加域共存→主域切换→退域割接三阶段迁移策略：先通过双轨并行验证功能兼容性，再按事业部 / 生产基地分批次切换，全程保留快速回退能力。整个过程无需终端脱域重加、无需用户修改密码、无需改动业务系统配置，对终端用户完全无感知。 价值：可先在单一生产基地试点验证产线兼容性，再逐步向全集团推广，不影响生产节拍、不中断订单流转，平稳完成域控体系的国产化替代。

5. 高危操作阻断：补上域控安全的 "最后一公里"

在架构与协议加固的基础上，XCAD 进一步内置高危操作阻断机制 —— 这是微软 AD 原生不具备、多数友商仅能做到事后审计的核心差异化能力，对标腾讯全球数据中心高危运维管控实践。

针对域控高危配置修改、管理员权限新增 / 变更、全域组策略批量下发、账号哈希导出等高危操作，强制引入工单审批流程：操作人员必须提交高危操作申请，由其他管理员审批通过后，授予 2-4 小时限时权限，时效到期自动回收权限；无有效工单 ID 则高危操作无法执行。系统自带总开关，客户可按需开启或关闭。 行业价值：对车企而言，就算攻击者通过弱口令拿到域管理员账号，没有审批工单也无法创建恶意 GPO 向产线推送勒索软件、无法导出全域账号哈希、无法擅自关闭安全策略，直接切断攻击链的 "最后一公里"。域控不再是 "一破就全崩" 的单点，而是加了一道 "权限到手也动不了核心配置" 的安全闸，攻击风险指数级降低。

四、全链路阻断：针对车企勒索攻击链的精准防御

针对前述车企勒索的完整攻击链路，XCAD有高危操作行为控制，在每个节点都设置了精准拦截点，从入口到分发实现全链路防护：

五、行业落地实践：某某集团的可复制经验

作为国内汽车行业信创改造的标杆企业，某某集团采用联软 XCAD 方案，应对集团总部及其分支机构"单域多站点"，研发总院等二级单位独立建域、身份统一认证并存的复杂 AD 格局，以"双轨并存、分步切换"的方式推进微软 AD 的国产化替代与全域身份安全升级：

● 域控接管：集团总部 XCAD 域已与微软 AD 并存运行、共同承载认证服务，身份数据全量同步，DNS 解析记录无感接管，并直接对接集团统一身份管理系统，业务系统与终端认证平稳过渡；

● 终端迁移：Windows 终端无需退域加域即可平滑接管，桌面、文档、聊天记录、注册表、组策略等办公数据 100% 完整迁移；统信、麒麟等信创终端通过一键脚本完成加域与本地数据迁移，终端用户全程无感知；鸿蒙终端通过激活即加域方式接管；

● 准入联动：终端加域后自动获取域信任认证，准入助手无需重复输入账号密码，账号密码变更后入网与内网访问不受影响；

● 分域割接：研发总院在独立域内部署 XCAD 控制器，身份源间接对接集团统一身份管理系统，聚焦终端认证与准入认证，切换方案覆盖 OA、DMZ、CAD 等核心业务站点，按站点分批次割接，研发协同不受影响；

● 分步退域：采用"加域共存→主域切换→退域割接"三阶段策略，全程保留快速回退能力，原有域管理工具与操作习惯完全兼容，按信创时限要求于 2027 年前完成微软 AD 下线。

对汽车行业而言，AD 域控替代既是安全命题—— 抵御勒索攻击、守护生产与研发核心资产；也是信创命题—— 契合 79 号文要求，实现身份基础设施的自主可控。

从 "补丁式被动防御" 转向 "架构级主动加固 + 高危操作事前阻断"，通过一套可平滑落地的国产域控方案筑牢数字工厂的身份安全底座，已成为车企安全升级与信创转型的必然选择。