detecting-pass-the-hash-attacks
作者 mukul975用于猎杀基于 NTLM 的横向移动、可疑的 Type 3 登录，以及通过 Windows Security 日志、Splunk 和 KQL 识别 T1550.002 活动的 detecting-pass-the-hash-attacks 技能。
该技能得分 78/100，说明它很适合作为希望直接上手 Pass-the-Hash 猎杀流程的用户的候选条目。仓库提供了足够的操作框架、示例检测和配套脚本，能让 agent 比起通用提示更少凭空猜测地触发和执行，不过部分落地细节仍然不够完整。
- 流程信号强：明确说明了适用场景、前置条件，以及面向主动检测和事件响应的多阶段猎杀流程。
- 对 agent 友好：包含检测逻辑，以及 Splunk SPL、KQL 和面向 Python/EVTX 的具体脚本示例。
- 配套参考资料有帮助：标准、API 说明和 hunt 模板提升了复用性，也更容易落地运维。
- SKILL.md 中缺少安装命令，因此用户可能需要从脚本和参考资料中自行推断初始化步骤和运行时依赖。
- 摘录出来的流程更偏检测而非端到端，用户应准备根据自己的遥测数据和环境调整查询与基线。
detecting-pass-the-hash-attacks 技能概览
这项技能能做什么
detecting-pass-the-hash-attacks 技能帮助你围绕 Windows 身份验证模式排查基于 NTLM 的横向移动，因为这类模式常常指向 Pass-the-Hash 行为。它面向需要实用型 detecting-pass-the-hash-attacks 技能的防守方，而不是一篇偏理论的 ATT&CK 回顾。
最适合的用户和使用场景
如果你是威胁狩猎人员、SOC 分析师或事件响应人员，想确认可疑的 Type 3 登录、推断可能的 T1550.002 活动，或把原始 Security 日志整理成可辩护的线索，这项技能就很合适。对于 detecting-pass-the-hash-attacks for Threat Hunting 场景尤其有用，前提是你已经有 Windows 遥测数据，并且需要更好的初筛、关联分析和狩猎结构。
它与众不同的地方
这个 repo 不只是一个 prompt 包装器：它还包含狩猎模板、检测逻辑、标准规范和可执行的辅助脚本。这意味着该技能既能支持分析师工作流，也能支持检测工程；当你希望 detecting-pass-the-hash-attacks 的使用方式产出可重复的结果，而不是一次性的叙述性内容时，这一点尤其重要。
如何使用 detecting-pass-the-hash-attacks 技能
先安装并查看 repo
进行 detecting-pass-the-hash-attacks install 时，先按常规的技能添加流程安装，然后第一时间阅读 SKILL.md。接着再查看 references/workflows.md、references/api-reference.md、references/standards.md 和 assets/template.md，这样你才能理解狩猎模型、该技能期望的事件字段，以及它设计出来要生成的输出格式。
给技能提供正确的输入
当你的 prompt 里包含数据源、平台和调查目标时，这项技能效果最好。一个较弱的问法是“找 Pass-the-Hash”。一个更强的 detecting-pass-the-hash-attacks usage 示例是：“分析 Windows Security Event 4624 和 Sysmon 数据，找出从一个源到多个目标的 NTLM Type 3 登录，识别可能的 T1550.002 活动，并返回狩猎笔记以及我可以直接运行的 Splunk 或 KQL 查询。”
推荐工作流
先提出一个假设，再明确范围：时间窗口、用户群体、域名和日志来源。如果你已经有告警，就把触发指标一并提供，并要求技能将其与 NTLM 登录行为、特权账号使用情况或 LSASS 相关的入侵信号做关联。如果你是在构建检测规则，就让它输出查询、误报过滤条件，以及用于验证所需的字段。
值得阅读的文件和路径
查看 assets/template.md，你会看到该技能希望你填写的狩猎工作表。使用 references/api-reference.md 了解 Event ID 4624 中真正关键的字段，用 references/workflows.md 查看塑造狩猎思路的 Splunk 和 KQL 模式。如果你想把输出落地到实际操作中，再检查 scripts/agent.py 和 scripts/process.py，理解这个 repo 是如何规范化事件并过滤明显噪声的。
detecting-pass-the-hash-attacks 技能 FAQ
这只适用于 Windows 事件响应吗？
不是。它最适合 Windows 身份验证遥测，但在主动狩猎、紫队验证和检测调优阶段同样有用。如果你的环境没有转发 Security 日志或 NTLM 相关事件，detecting-pass-the-hash-attacks 的效果会明显下降。
它和通用 prompt 有什么区别？
通用 prompt 也可以解释 Pass-the-Hash，但这个技能是围绕具体的狩猎输入结构化设计的：Event ID 4624、Logon Type 3、NTLM、源到目标的扇出，以及关联上下文。这也是为什么在你需要更快、更一致的输出，并减少对“哪些证据最重要”的猜测时，detecting-pass-the-hash-attacks install 很值得。
我需要是新手还是专家？
如果你能说清楚数据源和调查目标，新手也可以使用。更有经验的用户通常能得到更好的结果，因为他们可以指定平台语法、基线假设和排除规则。当你已经具备足够背景，能提出精确狩猎而不是泛泛解释时，这项技能最有价值。
什么时候不该用它？
不要把它当作缺失遥测的替代品，也不要指望仅凭一次 NTLM 登录就能确认入侵。如果你只有部分日志、没有源 IP，或者缺少目标上下文，这项技能可能会产出噪声较多的线索。这种情况下，应该先改进采集，再依赖 detecting-pass-the-hash-attacks 的输出。
如何改进 detecting-pass-the-hash-attacks 技能
给它更强的证据
提升效果最明显的一步，就是把精确字段一并提供：EventID、LogonType、AuthenticationPackageName、TargetUserName、IpAddress、Computer 以及时间范围。如果你有已知正常基线，也要明确说明；如果怀疑存在横向移动路径，就补充源主机、目标主机集合，以及是否涉及特权账号。
让输出和任务一致
如果你需要的是狩猎结果，就让它输出假设、查询和验证步骤。如果你需要的是检测内容，就让它给出简洁规则和调优说明。如果你需要的是调查结论，就让它输出线索优先级和关联逻辑。之所以重要，是因为当 prompt 直接点明交付物，而不是笼统要求“分析”时，detecting-pass-the-hash-attacks guide 的结果会更好。
注意常见失败模式
最大的风险是把正常的 NTLM 使用误判成恶意行为。另一个常见遗漏是忽视系统账户、本地回环或已知管理主机。你可以通过明确告诉技能需要排除什么、采用哪个基线窗口、以及多少目标系统会触发怀疑，来提升结果质量。
在第一轮之后继续迭代
先用第一轮答案缩小狩猎范围，然后带着真实发现再跑一遍：一个可疑账号、一对主机、一个时间切片，或者一组查询结果。让它继续细化过滤条件、给出替代检测，或者针对凭证转储指标做第二轮关联分析。通常，这就是把 detecting-pass-the-hash-attacks 的使用方式转化为可用调查工作流最快的方法。