用途：在 Active Directory 环境中狩猎凭据窃取行为，检测攻击者滥用目录复制权限（DCSync，MITRE T1003.006）提取密码哈希。适用于账户被授予 Replicating Directory Changes 权限后的排查、疑似 Mimikatz 或 Impacket secretsdump 使用调查、域管凭据横向移动的事件响应，以及 AD 复制权限的安全加固审计。
主要能力：识别合法复制来源（记录所有域控的主机名、IP 与计算机账户）；启用高级审计策略捕获事件 ID 4662；监控三个关键复制权限 GUID：DS-Replication-Get-Changes（1131f6aa-9c07-11d1-f79f-00c04fc2dcd2）、DS-Replication-Get-Changes-All（1131f6ad-9c07-11d1-f79f-00c04fc2dcd2）、DS-Replication-Get-Changes-In-Filtered-Set（89e95b76-444d-4c62-991a-0facbeda640c）；对非域控账户的复制请求告警；关联 MS-DRSR/RPC 网络流量，监控非域控 IP 的 DrsGetNCChanges 调用；调查请求来源的进程、账户与机器；检测后续哈希滥用（pass-the-hash、黄金票据）。
使用方式：需启用 Windows 安全事件日志 4662（对象访问）、高级审计策略中的目录服务访问审计、域控事件转发至 SIEM，并了解合法域控主机名与 IP。资料提供 Splunk 查询（index=wineventlog EventCode=4662，过滤三个 GUID 并排除以 $ 结尾的账户）、Microsoft Sentinel KQL 查询、Sigma 规则（level: critical，标签 attack.credential_access、attack.t1003.006）。输出格式包含 Hunt ID、告警严重性、源账户、源机器、目标 DC、访问的复制权限 GUID、时间戳、是否合法 DC、是否已知服务账户及风险评估。
常见场景：Mimikatz 的 lsadump::dcsync 提取 KRBTGT 哈希；Impacket secretsdump.py 远程复制全部域哈希；攻击者通过 ACL 修改为自己授予复制权限；滥用 Azure AD Connect 服务账户；DSInternals 的 Get-ADReplAccount 复制特定账户凭据。
限制：依赖 4662 审计与 SACL 配置，未启用则无法检测；需维护合法域控与服务账户白名单以减少误报；资料未提供具体部署步骤、许可或价格信息。