用途：在 Splunk 中检测攻击者在内网主机间的横向移动，适用于凭据窃取后追踪后续活动、调查异常认证模式、事件响应中界定失陷范围，以及主动狩猎 TA0008 技术。
主要能力：基于 SPL 查询 Windows 认证事件（Logon Type 3 网络登录、Type 10 远程交互登录），构建源到目的认证关系图，识别历史基线中未出现的新源-目的对，并将认证事件与目标主机上的进程创建关联，标记对敏感服务器、异常时段、服务账户滥用或快速多主机访问等异常模式。覆盖技术包括 T1021 远程服务及其子项（RDP、SMB/管理共享、DCOM、SSH、WinRM）、T1570 横向工具传输、T1047 WMI、T1569.002 服务执行（PsExec）。
必要用法：需 Splunk Enterprise 或 Splunk Cloud 并已接入 Windows 事件数据；转发 Windows 安全日志（4624、4625、4648、4672、4768、4769）；部署 Sysmon 获取进程创建与网络连接数据；具备网络流或防火墙日志用于 SMB/RDP/WinRM 关联；准备 AD 用户与组成员关系参考数据。工作流为：定义狩猎范围、查询认证事件、构建认证图、检测首次关系、关联进程活动、识别异常模式、报告与遏制。输出格式含 Hunt ID、移动类型、源/目的主机、账户、登录类型、首次出现时间、事件数、风险等级与横向移动路径。
限制：资料未提供具体 SPL 查询语句、安装命令、收费与价格信息，也未说明支持的 Splunk 版本细节，相关事实暂未提供。