引言
在前面的系列文章中，我们从攻击者视角深入剖析了Active Directory的各种攻击手法——从Pass-the-Hash到Golden Ticket，从DCSync到Kerberos委派攻击。每一种攻击都揭示了AD环境中一个或多个防御薄弱点。
现在是时候换一个视角了。
本篇文章聚焦于基础防御措施——那些看似朴素但极其有效的安全加固手段。核心理念可以用四个字概括：少即是多（Less is More）。你安装的组件越少，暴露的攻击面就越小；你运行的服务越精简，攻击者可利用的入口就越有限。
我们将从Windows Server的安装选项讲起，逐步覆盖角色精简、更新管理和域控加固，构建一套系统性的基础防御框架。
一、最小化安装：Core Server
1.1 为什么需要Core Server
在Linux世界中，服务器以纯文本模式运行、通过网络远程管理早已是常识。但在Windows生态中，长期以来服务器默认安装完整的图形桌面环境——包括Explorer、浏览器、多媒体组件等大量与服务器功能无关的软件。
这些组件不仅消耗资源，更重要的是每一个额外组件都是潜在的攻击面。浏览器可能被利用来下载恶意载荷，Explorer的Shell扩展可能被劫持，桌面组件中的漏洞可能被用于本地提权。
从Windows Server 2008开始，微软引入了Core S
