detecting-lateral-movement-in-network - 检测企业网络中的横向移动
使用 Zeek、Velociraptor 和 SIEM 规则分析认证日志、网络流量、SMB 流量及 RDP 会话，以识别横向移动。
标签
更新于: 2026-10-03能力
典型输入
典型输出
该技能可以做什么
- 收集 Windows 安全日志
- 配置 Zeek 网络日志
- 构建 SIEM 检测规则
- 转换 Sigma 检测规则
- 检测 SMB 横向扩散
- 检测 RDP 横向移动
- 搜寻认证异常
- 映射潜在攻击路径
输入
- Windows 安全事件日志
- DNS 与流量数据
- Zeek 网络日志
- SMB 流量日志
- RDP 会话数据
- 认证基线
- 内部网络拓扑
输出
- SIEM 检测规则
- Sigma 检测规则
- Zeek 检测脚本
- 横向移动告警
- 威胁搜寻结果
- 攻击路径时间线
要求
- 内部网络监控
- Zeek、Suricata 或网络 TAP
- Splunk、Elastic 或 Sentinel SIEM
- Windows 事件转发
- MITRE ATT&CK 知识
- 正常通信基线