用途：依据威胁情报、EDR/SIEM 告警、事件响应或紫队演练需求，主动狩猎 Kerberoasting（T1558.003）等相关攻击指标，也可用于 AS-REP Roasting（T1558.004）与黄金票据（T1558.001）场景。
主要工作流：制定可验证假设；确定所需日志与遥测；对 SIEM 与 EDR 执行检测查询；分析结果并与多源数据关联；区分误报与真实告警；将发现关联至更广泛攻击链与攻击者 TTP；记录发现、更新检测规则并给出响应建议。
常见场景：Rubeus kerberoast 针对所有 SPN 账号；Impacket 的 GetUserSPNs.py 请求 RC4 票据；针对高权限服务账号的定向 kerberoast；对未启用预身份验证账号的 AS-REP roasting。
工具与系统：CrowdStrike Falcon、Microsoft Defender for Endpoint（KQL 高级狩猎）、Splunk Enterprise（SPL）、Elastic Security、Sysmon、Velociraptor、Sigma Rules。
输出格式包含 Hunt ID、Technique、Host、User、Evidence、Risk Level、Confidence、Recommended Action。
前提条件：具备进程与网络遥测的 EDR 平台（CrowdStrike、MDE、SentinelOne）；已摄取相关日志的 SIEM（Splunk、Elastic、Sentinel）；部署并完整配置的 Sysmon；启用 Windows 安全事件日志转发；用于 IOC 关联的威胁情报源。
限制：资料未提供具体检测查询语句、阈值、部署安装命令或收费信息；实际有效性取决于日志覆盖范围与配置完整度。