用途：该技能面向企业网络的攻陷后横向移动监测，覆盖 Pass-the-Hash、RDP 跳板、PsExec 等模式，用于构建 SIEM 检测规则与告警、调查疑似入侵、狩猎异常东西向流量，以及验证网络分段与访问控制是否有效限制横向路径。不适用于替代 EDR，也不应只看南北向流量而忽略内部流量。
主要能力：配置 Windows 安全事件采集（4624、4625、4648、4672、4768、4769、4776、7045、7036），使用 Filebeat 转发 Windows 与 Zeek 日志；用 Splunk SPL、Elastic KQL 与 Sigma 规则检测 PsExec、Pass-the-Hash、RDP 与 NTLM 异常；通过 Zeek 分析 SMB、DCE-RPC、Kerberos 与连接日志，识别 admin$/c$ 共享访问、445 端口扩散、WMI 与 RDP 连接；用 Velociraptor 取证、BloodHound 分析 AD 路径；提供自动化隔离与告警看板思路。
使用方式：需先在内网关键点部署 Zeek/Suricata 或 TAP，SIEM 收集 Windows 安全日志、DNS 与流量数据，建立正常内部认证基线并理解 ATT&CK TA0008。示例命令包括 wecutil cs lateral-movement-subscription.xml、sudo zeekctl deploy、pip3 install sigma-cli、sigma convert -t splunk lateral_movement_pth.yml。
限制：需合理基线，否则误报高；仅靠 Windows 日志会漏掉不产生事件的工具；告警后须追踪完整链条并检查持久化；资料未提供具体收费、平台兼容性或效果数据。