用途：检测凭证转储（MITRE ATT&CK T1003）相关攻击行为，包括通过 Sysmon Event ID 10（ProcessAccess）监控 LSASS 内存访问、reg.exe 导出 SAM 注册表 hive、ntdsutil/vssadmin 提取 NTDS.dit，以及 comsvcs.dll MiniDump 滥用。检测规则分析 GrantedAccess 位掩码、可疑调用进程和已知工具特征。
适用场景：调查需要检测凭证转储技术的安全事件；为该领域构建检测规则或威胁狩猎查询；SOC 分析师需要结构化分析流程；验证相关攻击技术的监控覆盖情况。
前置条件：部署 Sysmon v14+ 并针对 lsass.exe 启用 ProcessAccess 日志（Event ID 10）；启用可记录命令行的 Windows 安全审计策略（Event ID 4688）；使用 Splunk 或 Elastic SIEM 接入 Sysmon 与 Windows 安全日志；Python 3.8+ 用于日志分析。
主要步骤：配置 Sysmon 记录针对 lsass.exe 的 ProcessAccess 事件；将 Sysmon Event ID 10 与 Windows Event ID 4688 转发至 SIEM；为已知 GrantedAccess 模式（0x1010、0x1FFFFF）创建检测规则；检测针对 LSASS PID 的 comsvcs.dll MiniDump 与 procdump.exe；对 reg.exe 导出 SAM/SECURITY/SYSTEM hive 的命令告警；检测 ntdsutil/vssadmin 创建卷影副本以窃取 NTDS.dit；结合用户与主机上下文进行风险评分关联。
预期输出：JSON 报告，包含检测到的凭证转储指标、技术分类、严重性评级、进程详情、MITRE ATT&CK 映射及 Splunk/Elastic 检测查询。
限制：资料未提供具体检测规则代码、调优参数、误报率及平台版本兼容性细节，这些内容暂未提供。