用途：检测 Pass-the-Hash（ATT&CK T1550.002）攻击，通过分析 NTLM 认证模式、标记本应使用 Kerberos 却出现 NTLM 的 Type 3 登录，发现凭据滥用与横向移动。适用时机包括主动威胁狩猎、威胁情报提示相关活动、事件响应中界定影响范围、EDR/SIEM 告警触发，以及定期安全评估与紫队演练。
主要能力：围绕 T1550.002、T1550.003（Pass the Ticket）、T1078（Valid Accounts）等概念组织检测；结合 EDR 与 SIEM 遥测执行查询、分析异常、跨数据源关联、区分误报、串联攻击链并输出报告。
使用方式：前置条件为具备进程与网络遥测的 EDR（CrowdStrike、MDE、SentinelOne）、已接入日志的 SIEM（Splunk、Elastic、Sentinel）、全面配置的 Sysmon、Windows 安全事件日志转发及 IOC 威胁情报源。工作流为：提出假设、确定数据源、执行查询、分析结果、验证发现、关联活动、记录并报告。常用工具包括 CrowdStrike Falcon、Microsoft Defender for Endpoint（KQL）、Splunk Enterprise（SPL）、Elastic Security、Sysmon、Velociraptor 与 Sigma 规则。
典型场景：Mimikatz sekurlsa::pth 使用窃取的 NTLM 哈希、Impacket psexec.py 带哈希远程执行、CrackMapExec 跨主机哈希喷洒、通过 Pass-the-Hash 的 WMI 横向移动。
输出格式：Hunt ID、Technique、Host、User、Evidence、Risk Level、Confidence、Recommended Action。
限制：资料未提供具体检测查询语句、规则内容、部署步骤、收费与价格信息，也未说明支持平台之外的兼容性，相关细节暂未提供。