用途：利用 Zeek 网络日志发现横向移动行为，覆盖 SMB 管理共享访问、DCE/RPC 远程服务创建、NTLM 账号喷洒、Kerberos 票据异常以及主机间大流量传输（可能为暂存或外传）。适用于初始入侵指标确认后的横向移动狩猎、NTLM 喷洒或 Pass-the-Ticket 调查、SMB 管理共享未授权传输监控、PsExec/schtasks/WMI 类远程执行检测、告警规则构建与事后时间线重建。
主要能力：解析 conn.log 中的 SMB(445)、DCE/RPC(135)、WinRM(5985/5986) 连接；从 smb_mapping.log 检测 C$、ADMIN$、IPC$ 管理共享路径；从 smb_files.log 发现文件写入；从 dce_rpc.log 识别 svcctl、atsvc、ITaskSchedulerService 等远程服务与计划任务操作；从 ntlm.log 按时间窗口统计单账号触及多主机的喷洒行为，并可输出 notice.log 告警；支持通过 agent.py 对日志目录或指定日期批量分析。
使用方式：需 Zeek 6.0+ 部署于网络分接或 SPAN 端口监控内网 VLAN，启用 SMB、DCE/RPC、Kerberos 分析器（@load base/protocols/smb、dce-rpc、krb），Python 3.8+ 仅用标准库，日志目录默认 /opt/zeek/logs/current/。用 zeek-cut 提取字段，配合 awk/grep 过滤端口与共享；可加载提供的 Zeek 脚本生成管理共享访问与 NTLM 喷洒告警；运行 python3 agent.py /opt/zeek/logs/current/。
限制：不能作为独立检测手段，Zeek 仅见网络流量，需结合 Sysmon、EDR 等端点遥测；加密 SMB3 会限制文件级可见性；ntlm.log 不包含密码哈希，喷洒检测依赖单账号多主机的时间窗口特征；需熟悉 Zeek TSV 日志格式（制表符分隔，# 开头为表头）。