用途：检测 Kerberos 黄金票据（Golden Ticket）攻击。通过分析域控制器上的 Windows 安全事件日志，寻找异常 TGT 使用模式，判断是否存在伪造票据。
主要能力：解析事件 ID 4768（Kerberos TGT 请求）、4624（登录事件，关注 LogonType 3 与 NTLM 或 Kerberos）、4672（分配特殊权限，管理员登录指标）。检测指标包括：TGT 生命周期超过 10 小时（默认上限为 10 小时）；非 Domain Admins 账户出现 4672 事件；登录事件没有对应的 4768 TGT 请求；票据数据中的域 SID 不一致。最终生成带时间线重建的检测报告。
使用方式：先安装依赖 pip install python-evtx lxml，从域控制器收集 Windows 安全 EVTX 日志，然后运行 python scripts/agent.py --evtx-file /path/to/Security.evtx --output golden_ticket_report.json。
适用场景：域环境安全审计、事件响应与威胁狩猎，用于发现黄金票据攻击痕迹。
限制：资料未提供支持的事件日志版本范围、误报率、性能表现或平台兼容性等细节，暂未提供。