开源共建，360推出WatchAD2.0域安全威胁感知系统新版本

不论是在攻防演练还是真实入侵对抗场景中，攻击者往往通过攻击域控获取特权管理权限进而横向控制企业内网，窃取重要资产和数据，凭借独特的管理优势，AD域被广泛应用于大型企业的IT基础设施的集中管理。

然而，传统的网络安全防御手段往往不足以抵御域渗透攻击身份凭证的威胁。由于AD域管理的集中性与特权管理特性，如何提升域安全性、识别域攻击威胁并保障办公安全也成为企业关注的重要环节之一。

基于十余年实战攻防经验，360以攻防、实战、对抗为导向，以“看见+处置”为核心，采取“集中化、统一化、平台化、服务化”的技术思想，帮助企业建立纵深防御体系，应对数字时代安全挑战。

360信息安全中心自主研发域安全入侵感知系统WatchAD，自2019年起正式对外开源，并在Defcon 27 Blue Team Village中分享了项目的核心技术，成为国内域安全检测领域的开拓者。四年来，360信息安全中心在WatchAD基础上升级再次开源WatchAD2.0，旨在帮助企业建立域环境安全防护体系，进一步提升企业应对域渗透威胁活动的能力。

工作原理

WatchAD2.0分为日志收集Agent、规则检测及分析引擎、缓存数据库和Web控制端四个部分。它通过采集域控产生的事件日志和Kerberos流量，利用流式处理引擎在特征匹配、协议分析、行为监测、敏感操作和蜜罐账户捕获等方面进行实时分析，及时发现并预警安全风险。目前，WatchAD2.0威胁检测项已覆盖了大部分常见的内网域渗透手法。

WatchAD2.0可实现AD域安全全生命周期的防护。在企业安全运营中，WatchAD2.0从陈旧对象、特权用户、信任关系、异常对象等多角度进行内容检测，检测范围全面覆盖域内漏洞、基线与后门，及时发现域安全防护体系中的风险，避免域控被攻击者利用而造成企业资产损失。

同时，WatchAD2.0可以有效识别用户异常行为，准确判定攻击行为。针对域信息收集探测、域账户权限提升、横向移动、权限维持、威胁扩散等域渗透攻击的不同阶段，WatchAD2.0都开放了相应的检测方法和规则，支持域渗透全路径的监测。

产品优势

WatchAD1.0自开源以来收获了多方的关注与好评，助力众多企业构建了自身域安全防御体系。而相较于1.0版本，WatchAD2.0以下多个方面均有提升：