菜单
通过分析认证日志、复制元数据、组策略变更和 Kerberos 票据异常，调查 Active Directory 攻陷事件，识别攻击者持久化机制和横向移动路径。
默认使用会先检查来源的 Prompt；你也可以切换为直接命令，或下载本地副本。
决定是否安装前，请先阅读 SKILL.md，以及 SkillsMP 当前展示的配套文件。
用 Codex 或 Claude 帮你安装 复制这段 Prompt，粘贴到 Codex、Claude 或其他助手里，让它检查 Skill 页面并帮你完成安装。
直接命令不会经过审查 Prompt；运行前请先检查来源。
npx skills add https://github.com/killvxk/cybersecurity-skills-zh --skill performing-active-directory-compromise-investigation命令会保持在同一行。复制前请横向滚动并检查完整内容。
想先保存到本地？可下载 SkillsMP 当前能够提供的文件。
通过分析 Zeek dns.log 中的高熵子域名查询、超量查询量、超长查询长度以及异常 DNS 记录类型，检测 DNS 隧道和数据外泄中的隐蔽通道通信。适用于：当需要狩猎基于 DNS 的 C2 或数据外泄通道、调查异常 DNS 查询模式、或响应涉及 DNS 隧道工具（iodine、dnscat2、DNSExfiltrator）的威胁情报时使用。
实施 Google 的 BeyondCorp 零信任访问模型，通过 IAP、Access Context Manager 和 Chrome Enterprise Premium，消除网络边界的隐式信任，强制执行基于身份的访问控制，实现无 VPN 的安全应用访问。适用于将传统 VPN 替换为零信任架构、部署 Identity-Aware Proxy、配置设备信任策略、或为远程办公实施上下文感知访问控制时使用。
在授权的安全评估过程中，使用 Burp Suite 的扫描器、Intruder 和 Repeater 工具识别和验证跨站脚本（XSS）漏洞。适用于 Web 应用渗透测试中检测反射型、存储型和 DOM 型 XSS，验证自动化扫描器报告的 XSS 发现，以及评估 CSP 和 XSS 过滤器的有效性时使用。
基于 SOC 职业分类
正在显示 SKILL.md
| name | performing-active-directory-compromise-investigation |
| description | 通过分析认证日志、复制元数据、组策略变更和 Kerberos 票据异常，调查 Active Directory 攻陷事件，识别攻击者持久化机制和横向移动路径。 |
| domain | cybersecurity |
| subdomain | incident-response |
| tags | ["active-directory","compromise-investigation","identity-forensics","kerberos","lateral-movement","dfir","ntds-dit","golden-ticket"] |
| version | 1.0 |
| author | mahipal |
| license | Apache-2.0 |
Active Directory（AD）攻陷调查是一项关键的事件响应能力，专注于识别攻击者如何获取域服务访问权限、建立了哪些持久化机制以及凭据攻陷的范围。由于 88% 的攻击事件涉及凭据攻陷（Verizon 2025 DBIR），AD 是企业范围攻击的主要目标。调查人员必须分析 NTDS.dit 数据库完整性、Kerberos 票据授予活动、组策略修改、复制元数据和特权组成员变更，以重建攻击链并确定完整攻陷范围。
NTDS.dit 文件是核心 Active Directory 凭据数据库，包含所有域账号的密码哈希。攻击者通常使用 ntdsutil、secretsdump.py 或通过 Mimikatz 的 DCSync 攻击来窃取该文件。
检测指标：
黄金票据（Golden Ticket）指标：
白银票据（Silver Ticket）指标：
Kerberoasting 指标：
追踪以下关键组的变更：
1. 识别可能受攻陷的域控制器
2. 采集 Security、System、Directory Service 事件日志
3. 使用 repadmin 提取 AD 复制元数据
4. 采集 ntdsutil 快照用于离线分析
5. 采集 DNS 服务器日志和区域传输记录
6. 导出组策略对象（GPO）配置
7. 记录当前特权组成员关系
1. 解析事件 ID 4624/4625 的登录模式
2. 识别哈希传递（Pass-the-Hash）指标（事件 ID 4624 类型 3 使用 NTLM）
3. 分析事件 ID 4768/4769/4771 中的 Kerberos 异常
4. 检查事件 ID 4776 的 NTLM 认证失败
5. 将登录事件与已知受攻陷账号交叉比对
6. 通过认证链映射横向移动路径
1. 枚举 AdminSDHolder ACL 修改
2. 检查账号上的 SID History 滥用
3. 验证 krbtgt 账号密码的时效
4. 审计 DSRM 密码配置
5. 检查 Skeleton Key 恶意软件指标
6. 检查 AD Certificate Services 中的流氓证书
7. 验证 DNS 记录以排查 DNS 投毒
1. 两次轮换 krbtgt 密码（两次轮换之间等待复制完成）
2. 重置所有受攻陷账号的密码
3. 删除未授权的特权组成员
4. 如 AD CS 受攻陷则吊销流氓证书
5. 必要时从干净介质重建域控制器
6. 实施分层管理（Tiered Administration）模型
7. 为特权账号启用 Protected Users 组
| 事件 ID | 来源 | 说明 |
|---|---|---|
| 4624 | Security | 成功登录 |
| 4625 | Security | 登录失败 |
| 4648 | Security | 显式凭据登录 |
| 4662 | Security | 对 AD 对象的操作 |
| 4768 | Security | 请求 Kerberos TGT |
| 4769 | Security | 请求 Kerberos 服务票据 |
| 4771 | Security | Kerberos 预认证失败 |
| 4776 | Security | NTLM 凭据验证 |
| 5136 | Security | 目录对象修改 |
| 5137 | Security | 目录对象创建 |
| 4706 | Security | 信任关系创建 |
| 4707 | Security | 信任关系删除 |
| 4742 | Security | 计算机账号变更 |
| 8222 | System | 创建卷影副本 |
| 工具 | 用途 |
|---|---|
| BloodHound | 攻击路径映射与权限提升分析 |
| Pingcastle | AD 安全评估与风险评分 |
| Purple Knight | Semperis 出品的 AD 漏洞扫描 |
| ADRecon | Active Directory 数据采集 |
| Mimikatz | 凭据提取与 Kerberos 分析 |
| Impacket | DCSync 检测与 NTLM 中继分析 |
| Velociraptor | 远程取证产物采集 |
| Timeline Explorer | 事件日志时间线分析 |
| 技术 | ID | 相关性 |
|---|---|---|
| DCSync | T1003.006 | NTDS.dit 凭据提取 |
| 黄金票据 | T1558.001 | Kerberos TGT 伪造 |
| 白银票据 | T1558.002 | 服务票据伪造 |
| Kerberoasting | T1558.003 | 服务账号哈希提取 |
| 哈希传递 | T1550.002 | NTLM 哈希重用 |
| 组策略修改 | T1484.001 | 通过 GPO 实现持久化 |
| 账号操纵 | T1098 | 特权组变更 |
| SID-History 注入 | T1134.005 | 权限提升 |