用途：在 Active Directory 环境中部署欺骗式检测，用于发现 Kerberoasting、凭据窃取、横向移动和 GPP 密码收集等攻击行为。任何对诱饵对象的交互都视为可疑，可提供近乎零误报的高保真告警。
主要能力：创建仿冒遗留特权服务账户的蜜标账户（AdminCount=1）；为账户添加假 SPN，检测 Kerberoasting（honeyroasting）时的 TGS 请求；生成内嵌 cpassword 的诱饵 GPO 捕获 GPP 密码收集；设置 ACL 制造对 BloodHound/SharpHound 可见的假攻击路径；针对 Event ID 4769、4625、4662、5136、5137、4768 等配置 SIEM 检测规则。
使用方式：需域管理员或委派的管理权限、Windows Server 2016+、事件日志转发（Splunk/Sentinel/Elastic）、PowerShell 5.1+ 与 ActiveDirectory 模块、GPMC。导入模块后按步骤创建蜜标账户、SPN、诱饵 GPO 和虚假路径。示例命令：Import-Module .\scripts\Deploy-ADHoneytokens.ps1；New-HoneytokenAdmin；Add-HoneytokenSPN；New-DecoyGPO；New-DeceptiveBloodHoundPath；Test-HoneytokenDeployment。随后用 Python 检测代理注册蜜标并生成 SIEM 规则：from agent import ADHoneytokenMonitor。
适用场景：补充现有 AD 监控，提高对 Kerberoasting、DCSync、凭据转储和 GPP 密码收割的检测能力。
限制：需较高 AD 管理权限和日志转发基础设施；蜜标需外观逼真（账户年龄、命名、密码日期等），否则易被攻击者识破；部署与验证须谨慎，避免影响生产。上述命令、参数及引用链接均来自资料原文。