¿Existe una forma más segura para que los usuarios inicien sesión en el dominio que no sean solo las contraseñas?

Bloquea el inicio de sesión del administrador del dominio para que no pueda iniciar sesión de forma interactiva en las estaciones de trabajo de los usuarios normales. Puedes hacer esto con la Política de grupo.

Restrinja las conexiones de administrador a los hosts de administración de confianza. El firewall en su controlador de dominio (o VLAN ACL) debe restringir las conexiones remotas de RDP y PowerShell a hosts de administración confiables.

Utilice 2FA. Usted insinúa que es demasiado caro, pero es un requisito común cumplir con los estándares de seguridad más serios en estos días.

La implementación del mecanismo de autenticación EAP-TLS como se describe solo demuestra que un usuario autorizado está operando el dispositivo. Esto podría ser un certificado en el perfil del usuario local, el perfil de la computadora, o vinculado a un TPM. Sin embargo, al final, una vez que se realiza la autenticación, la red solo puede asumir que todo el tráfico de red subsiguiente está autorizado.

El ataque que menciona es conceptualmente el mismo que una persona que accede a una estación de trabajo desbloqueada para conectarse a un recurso utilizando credenciales robadas. En lo que respecta a la sesión, el usuario autorizado está realizando la acción.

Si está hablando de red (uso compartido de archivos / administración remota), es muy difícil bloquear eso con mecanismos de autenticación extendidos. El bloqueo del acceso a la consola local (RDP) es tan simple como el cortafuegos de ese puerto a hosts que están fuertemente autenticados y segregados en la red.

La raíz de sus problemas es la contraseña de la cuenta de administrador del dominio. Una buena práctica es otorgar permisos solo según sea necesario, y la membresía de los administradores de dominio se restringe para que los administradores no sean miembros de ese grupo en el curso normal del trabajo.

Si una función debe realizarse con esos privilegios, un proceso bien controlado para otorgar esos permisos temporalmente tendrá más beneficios que intentar aumentar los mecanismos de autenticación de Windows.