用途：检测 Pass-the-Ticket（PtT）攻击。PtT 是一种凭据窃取技术（MITRE ATT&CK T1550.003），攻击者从一台系统窃取 Kerberos 票据（TGT 或 TGS），在另一台系统重放，从而无需知晓用户密码即可完成认证。本技能通过关联 Windows 安全事件 ID 4768（TGT 请求）、4769（TGS 请求）和 4771（预认证失败），发现票据跨不同主机重用、RC4 加密降级、异常服务票据请求量等异常。
适用场景：调查需要检测 Pass-the-Ticket 攻击的安全事件；构建该领域的检测规则或威胁狩猎查询；SOC 分析师需要结构化分析流程；验证相关攻击技术的安全监控覆盖度。
前置条件：已启用高级审计策略（Audit Kerberos Authentication Service、Audit Kerberos Service Ticket Operations）的 Windows 域控制器；摄取 Windows 安全事件日志的 Splunk 或 Elastic SIEM；端点部署 Sysmon 以补充进程遥测；Python 3.8+ 及 requests 库。
步骤：通过组策略在域控制器启用 Kerberos 审计日志；将事件 ID 4768、4769、4771 转发至 SIEM；部署针对 RC4 加密降级（TicketEncryptionType 0x17）的检测规则；创建票据跨多个源 IP 重用的关联规则；建立每用户/主机的正常 TGS 请求量基线；对票据请求模式的标准差异常告警；结合 Active Directory 富化信息调查被标记事件。
预期输出：JSON 报告，包含检测到的 PtT 指标，如异常票据请求、RC4 降级、跨主机票据重用事件，以及带风险评分并映射 MITRE ATT&CK 技术的用户。
限制：具体检测查询语句、规则配置细节及完整代码示例在给定资料中暂未提供；实际效果取决于审计策略、日志转发与 SIEM 环境配置。