用途：面向安全事件调查、检测规则构建与威胁狩猎，帮助 SOC 分析师从 Windows 安全日志中发现 RDP 暴力破解与凭据猜测行为。
主要能力：使用 python-evtx 解析 EVTX 文件中的事件 ID 4625（失败登录，登录类型 10 或 3），提取来源 IP、目标用户名、失败原因（Sub Status）和登录类型；按时间窗口统计每个来源 IP 的失败登录次数；检测用户名喷洒攻击；关联 4625 失败与随后同一 IP 的 4624 成功登录以识别潜在失陷账户；并可检测 NLA 绕过尝试。最终生成包含攻击来源排名、被攻击账户、时间序列分析和失陷指示的 JSON 报告。
使用方式：需 Python 3.9+，安装 python-evtx 与 lxml；准备 Windows 安全 EVTX 日志。可先用 wevtutil 导出日志：wevtutil epl Security C:\logs\security.evtx。随后解析 4625 事件、分析攻击模式、生成报告。
适用场景：安全事件响应、检测规则与威胁狩猎查询构建、SOC 结构化分析流程、验证相关攻击技术的监控覆盖。
限制：需要可用的 Windows 安全 EVTX 日志及对事件 ID 4624、4625、4776 和 RDP 登录类型的理解；具体安装步骤、完整脚本与报告字段输出细节暂未提供。