detecting-lateral-movement-in-network
作者 mukul975detecting-lateral-movement-in-network 可利用 Windows 事件日志、Zeek 遥测、SMB、RDP 和 SIEM 关联，帮助发现企业网络中被入侵后的横向移动。它适用于威胁狩猎、事件响应，以及面向 Security Audit 审查的 detecting-lateral-movement-in-network，提供可落地的检测工作流。
该技能得分 78/100，值得收录：它的网络安全用例明确，包含较完整的工作流内容，并附带一个可解析 Zeek/Windows 证据的 Python 辅助工具。不过，目录用户仍应预期需要一定的实现级配置，因为仓库没有提供安装命令，也没有非常明确的端到端上手流程。
- 横向移动狩猎的检测重点非常清晰，覆盖 Windows 事件、Zeek 日志、SMB 和 RDP 证据。
- 操作性内容丰富，包含明确的事件 ID、日志来源、示例 Zeek/Splunk 查询以及辅助脚本。
- SKILL 元数据和 “When to Use” 部分的触发性较好，将技能收束到具体的事件响应与狩猎场景。
- SKILL.md 中没有安装命令，因此用户可能需要手动将该技能接入自己的环境。
- 工作流有实用价值，但并非完全开箱即用；一些前置条件和集成细节是隐含的，没有被完整写明。
detecting-lateral-movement-in-network 技能概览
这个技能能做什么
detecting-lateral-movement-in-network 技能可以帮助你在初始入侵之后，识别攻击者在网络内部的横向移动。它重点关注的是实战中真正有用的信号，比如 Windows 身份验证事件、Zeek 网络遥测、SMB、RDP 和 SIEM 关联分析，帮助你把嘈杂的内部活动转化为可落地的检测规则。
适合谁使用
如果你在做检测工程、事件响应、威胁狩猎，或者是在做东-西向流量的 detecting-lateral-movement-in-network for Security Audit 审查，就适合用 detecting-lateral-movement-in-network skill。当你已经能访问日志、需要更好的分诊规则时，它最有价值；如果你想找的是纯粹的 EDR 替代方案，它就不太合适。
它为什么不一样
这个技能面向的是运营级检测，而不是理论讲解。仓库里包含一个配套的 Python agent，以及关于事件 ID、Zeek 日志和查询模式的参考资料，这让你更容易从想法直接走到实现。也正因为如此，只有当你能提供真实日志源和目标环境时，这个技能的效果才最好。
如何使用 detecting-lateral-movement-in-network 技能
安装并检查仓库
要进行 detecting-lateral-movement-in-network install，使用：
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill detecting-lateral-movement-in-network
安装后，先读 SKILL.md，再读 references/api-reference.md，最后看 scripts/agent.py。这些文件会展示该技能依赖的事件映射、日志假设，以及实际执行逻辑。如果你想最快上手，就直接搜索 prerequisites、workflow 和 detection examples 相关章节。
提供正确的输入
detecting-lateral-movement-in-network usage 的效果最好是在你明确说明以下内容时：
- 你手头有哪些日志源：Windows Security logs、Zeek
conn.log、smb_mapping.log、kerberos.log、SIEM 数据 - 你怀疑的行为是什么：PsExec、RDP 跳转、pass-the-hash、WMI、服务创建
- 范围：一台主机、一个子网，还是一个事件时间窗口
- 输出格式：检测思路、验证清单，或者 SIEM 查询草稿
差的提示会说：“找横向移动。” 更好的提示会说：“基于 Windows 4624/4648/7045 和 Zeek 东-西向流量，为过去 24 小时内的 Windows 域构建横向移动检测。”
遵循实用的工作流
一个好的 detecting-lateral-movement-in-network guide 应该是这样：
- 先确认有哪些遥测数据，缺了什么。
- 把怀疑的行为映射到事件 ID 和网络日志。
- 在狩猎异常之前，先建立正常内部通信基线。
- 把可疑模式转换成 SIEM 规则或 hunt 查询。
- 用正常的管理员活动做验证，避免误报过多。
如果你只有南-北向日志，这个技能的作用会受限。它是为内部移动检测设计的，所以东-西向可见性比宽泛的边界监控更重要。
为了更好的输出，先读什么
先看 references/api-reference.md，了解这个技能预期使用的 Windows event IDs 和 Zeek 日志名称。然后再检查 scripts/agent.py，看看它如何对可疑的内部连接和登录类型进行分类。通常这样比一口气通读整个仓库更容易得到可用输出。
detecting-lateral-movement-in-network 技能常见问题
这只是一个提示词，还是一个真正的技能？
它是一个真正的 detecting-lateral-movement-in-network skill，有仓库结构、参考材料和 Python helper。和普通提示词相比，当你需要可重复的检测逻辑时，它更可靠。
我已经需要有安全工具了吗？
是的，至少要有一些遥测数据。这个技能在有 Windows event logs、Zeek 和 SIEM 访问权限时最强。如果你看不到内部网络流量，结果就会更弱，也更偏推测。
适合新手吗？
如果你能描述自己的环境和日志，它对新手是可用的；但最好的结果通常来自那些知道自己要检查哪些系统、端口和身份验证事件的用户。如果你是新手，先从一种可疑技术入手，不要一上来就要求广泛狩猎覆盖。
什么时候不该用它？
不要把它用于没有网络或日志上下文的终端取证，也不要用于与横向移动无关的通用恶意软件分析。如果你只是想要一个高层解释、并不需要检测输出，这个技能也不合适。
如何改进 detecting-lateral-movement-in-network 技能
提供具体遥测和时间窗口
最大的质量提升来自明确写出真实的数据源和时间范围。说明你是否有 Zeek conn.log、Windows 4624/4625/4648/7045，或者 SIEM 导出，并附上时间区间。这样能帮助技能避免泛泛而谈，把重点放在你真正能验证的证据上。
指明你关心的横向移动路径
如果你想让 detecting-lateral-movement-in-network usage 更精准，就把技术路径说清楚：RDP、PsExec、SMB admin shares、WMI、Kerberos 滥用，或者 pass-the-hash。不同路径对应不同信号，技能知道潜在路径后，能产出更锐利的检测。
直接要求可执行的输出
不要只说“分析一下”，而是请求以下某一种：
- Splunk 或其他 SIEM 的 hunt query
- 一组高信号事件 ID 的短名单
- 针对正常管理员活动的验证计划
- 对可疑主机对的分诊清单
这样更有可能让输出真正支持 Security Audit 工作，而不是只读起来像总结。
基于误报持续迭代
检测横向移动最常见的失败模式，就是把管理员工具和正常远程支持活动也一起触发了。如果第一次结果噪音太大，就把你环境里哪些行为是合法的反馈回去：跳板机、补丁工具、已知服务账号，或者管理员子网。这样技能就能缩小规则范围，而不是越扩越宽。