用途：在域控日志中狩猎黄金票据攻击，适用于 KRBTGT 哈希疑似经 DCSync 或 NTDS.dit 提取泄露、事件响应发现域级凭据窃取、排查不可能登录模式，以及入侵后评估黄金票据是否仍在被使用。
主要能力：监控 TGT 请求（事件 4768），黄金票据绕过 AS-REQ/AS-REP 交换，因此在 4769 前缺少 4768 即可疑；检测加密类型异常，黄金票据常用 RC4（0x17），若域强制 AES（0x12）则 RC4 TGT 是危险信号；检查票据生命周期异常，默认 TGT 为 10 小时、7 天续期，伪造票可长达 10 年；狩猎不存在的 SID，将 TGS 请求与已知 AD SID 清单关联；检测无前置 TGT 的 TGS；监控 KRBTGT 密码年龄；在 KB5008380+ 与 PAC 校验强制下监控 PAC 校验失败。
使用方式：需域控启用 Windows 安全事件 ID 4768、4769、4771，了解 Kerberos 策略（最大票据生命周期、加密类型），启用 Kerberos 服务票据操作审计策略，并使用可跨多台 DC 关联 Kerberos 事件的 SIEM。附带 Splunk 与 KQL 检测查询示例，如筛选 TicketEncryptionType="0x17" 且 ServiceName!="krbtgt" 且计数大于 5，或统计同一账号/IP 在无 4768 时出现 4769 的情况。输出字段包括 Hunt ID、疑似账号、源 IP、目标服务、加密类型、异常类型、KRBTGT 上次重置时间与风险级别。
限制：资料未提供具体部署步骤、完整查询代码及适用环境版本之外的细节；检测效果依赖日志完整性与审计配置。