detecting-lateral-movement-with-zeek - 使用 Zeek 检测横向移动
通过分析 Zeek 网络日志检测横向移动，包括 SMB 共享访问、DCE/RPC 远程服务执行和 NTLM 凭据喷射。
标签
更新于: 2026-09-19能力
典型输入
典型输出
该技能可以做什么
- 验证 Zeek 日志收集
- 解析 conn.log 的横向连接
- 分析 SMB 管理员共享访问
- 检测 DCE/RPC 远程服务操作
- 检测 NTLM 账户喷射活动
- 运行自动化分析脚本
输入
- Zeek 日志文件
- Zeek 日志目录路径
- Agent 分析脚本 agent.py
输出
- notice.log 告警
- 分析执行结果
要求
- Zeek 6.0+
- 启用 Zeek SMB 分析器
- 启用 Zeek DCE/RPC 分析器
- 启用 Zeek Kerberos 分析器
- Python 3.8+
- Zeek 日志目录访问权限