继承 GPO
组织单位 (OU) 或域（而非站点）等源可链接容器包含 LDAP 树中的目标 OU、用户、设备、DC 或只读域控制器 (RODC)。这是因为可链接容器的子对象继承了与之链接的 GPO（请参阅“链接的 GPO”关系）。Tenable One Identity Exposure 会将 OU 阻止继承的所有情况考虑在内。
渗透利用
只要攻击者设法破坏攻击路径上游的 GPO，他们便没有必要利用这种关系。按照设计，该关系适用于可链接的容器及其中的对象，正如继承 GPO 关系所示。
修复
在大多数情况下，将 GPO 应用到来自其父容器的可链接子容器属于正常且合法的行为。但是，此链接会暴露其他攻击路径。因此，为了降低风险，应尽可能将 GPO 链接到组织单位层次结构中的最低级别。
此外，GPO 需要防止攻击者在未经授权的情况下进行修改，以免将其暴露给其他攻击关系。OU 可通过其“阻止继承”选项禁用更高级别的 GPO 继承。但是，请仅将此选项用作最后手段，因为它会阻止所有 GPO，包括在最高域级别定义的潜在安全强化 GPO。它还会加大对已应用 GPO 进行推理的难度。
另请参阅