Matt Weeks 在他的 Credential Assessment Mapping Privilege Escalation at Scale演讲中讨论了许多防止 PtH、PtT 和 PtK (OPtH) 的技术。

从 41:50 到 48:52，他经历了许多预防角度和陷阱——https://youtu.be/_XXs8pRnqSQ?t= 41m50s

我最喜欢的建议是每周轮换 KRBTGT，如果你可以使用智能卡，那么每天轮换用户哈希。他还谈到了一个通用的 PtH 控件，它可以阻止入站 NTLM 到域。

DFIR 博客有一个关于许多其他检测和缓解措施的优秀的三部分系列——

1. http://dfir-blog.com/2015/11/08/protecting-windows-networks-defeating-pass-the-hash/
2. http://dfir-blog.com/2015/11/24/protecting-windows-networks-dealing-with-credential-theft/
3. http://dfir-blog.com/2015/12/13/protecting-windows-networks-kerberos-attacks/

至于双重身份验证和一次性密码方案，我认为 FIDO（例如 YubiKey）或竞争系统不会阻止上述任何建议——它只会增加他们的控制强度并提供操作剩余降低风险。

无法使用 2FA 来缓解 p2H（被盗的 kerberos 凭据）：

1. Windows AD 网络中有两种类型的凭据：Kerberos 令牌/哈希和明文登录名/密码。
2. Kerberos 是一种单因素身份验证协议 - 它验证密码哈希或 PKI 证书，但不能同时验证两者。不存在保护被盗 Kerberos 凭据的 2FA 方法。（2FA 需要用户迭代，这与 SSO 原则相矛盾 - 初始登录后没有用户迭代）。您需要实施安全治理计划 - 一组缓解 PtH 的措施。
3. 被盗/泄露的登录名/密码通过 MS（仅 OTP，需要 CA）或允许使用和组合各种 2FA 手段的一组 3rd 方使用 2FA 方法进行保护。