detecting-ntlm-relay-with-event-correlation

用途：在 Active Directory 环境中狩猎 NTLM 凭据中继攻击，面向授权渗透测试、红队/紫队演练与安全研究。核心检测思路是中继时目标上的 4624 事件会显示受害者用户名但来源 IP 为攻击者，WorkstationName 仍可能是受害者主机，这种 IP 与主机名不匹配是主要信号。 主要能力：通过 Splunk/Sentinel 关联 4624 LogonType 3（NTLM、NTLM V2）与 IP/主机名清单；检测短时间内跨多主机的中继喷洒；识别来自非工作站 IP 的 NTLM 认证；利用 Zeek 网络日志检测 Responder 对 LLMNR（UDP 5355）和 NBT-NS（UDP 137）的投毒；审计域内 SMB 签名与域控 LDAP 签名/通道绑定状态；监测 NTLMv1 降级。 前提：需启用高级审计策略采集 4624、4625、4648、4776、8004 等事件，集中收集日志（WEF 或代理），具备 SIEM（Splunk、Elastic、Sentinel）关联告警能力，维护 IP 到主机名清单（DHCP、DNS、CMDB），并对 LLMNR/NBT-NS/mDNS 流量做网络监控。 限制：该技能以检测与审计为主，不能替代在协议层强制 SMB 签名和扩展保护（EPA）；缺少集中事件日志或 IP 主机名清单时难以关联，误报可能来自合法 WINS/DNS 服务器或网络发现工具。文中未提供具体安装命令、价格或平台支持细节。