作为 Active Directory 安全核心层的协议，Kerberos 允许某些服务器获取用户凭据，并使用这些凭据代表用户进行认证。

当用户在受信任委派的服务器上进行认证时，域控制器会将用户凭据的副本发送到服务器。这些凭据随后可用于代表用户进行认证。

如果攻击者能够入侵此类服务器，则能够窃取并重新使用在此特定服务器上认证的所有用户的凭据。如果管理员连接到受影响的计算机，攻击者将能够提升自身权限，也成为管理员。因此，应仅在域控制器等受信任的服务器上允许“受信任的委派”属性。此机制称为“无约束委派”。

注意：AD Starter Scan 和相关插件旨在与较小的 AD 部署一起使用，以进行初步分析。对于最多 5,000 个用户、组或计算机的 AD 部署，预计可以获得准确的初步分析，而对于包含 Nessus、安全中心和漏洞管理的大型 AD 部署，将返回不完整的结果。如需进一步了解 Active Directory Starter Scan 插件发现的问题，请参阅此博客文章 - https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

检测

AD Starter Scan - 无约束委派

high Nessus 插件 ID 150485

版本 1.139