detecting-t1003-credential-dumping-with-edr

用途：用于狩猎环境中的凭据窃取活动，适用于 EDR 触发 LSASS 访问告警、事件响应阶段评估凭据泄露范围，以及审计 LSASS 防护控制（Credential Guard、RunAsPPL）时使用。

主要能力：

1. 监控 LSASS 进程访问，跟踪以可疑访问权限（如 PROCESS_VM_READ 0x0010、PROCESS_ALL_ACCESS 0x1FFFFF）打开 lsass.exe 句柄的进程。
2. 识别常见转储工具与手法：Mimikatz（sekurlsa::logonpasswords）、procdump.exe 针对 LSASS、comsvcs.dll MiniDump、任务管理器创建 LSASS 转储。
3. 监控 NTDS.dit 访问：卷影副本创建（vssadmin、wmic shadowcopy）后访问 NTDS.dit，或 ntdsutil.exe IFM 创建。
4. 跟踪 SAM/SECURITY/SYSTEM 注册表配置单元访问，如 reg.exe save 命令。
5. 检测 DCSync：非域控账户请求目录复制（事件 4662 含复制 GUID）。
6. 与横向移动关联，并结合凭据暴露范围评估影响、触发密码重置。

前置条件：部署具备 LSASS 访问监控能力的 EDR 代理（CrowdStrike、Defender for Endpoint、SentinelOne）；启用 Sysmon 事件 ID 10（ProcessAccess）并配置 LSASS 过滤；启用 Windows 安全事件 4656/4663 对象访问审计与 LSASS SACL 审计；启用 SAM 配置单元访问的注册表审计。

使用方式：按工作流采集并关联上述遥测；技能附带 Splunk、KQL 与 Sigma 检测查询及 Sigma 规则，用于 LSASS 访问与转储工具检测。输出为结构化狩猎记录，字段包括 Hunt ID、Host、Dumping Method（LSASS_Access/NTDS/SAM/DCSync）、Source Process、Target、Access Rights、User Context、ATT&CK Technique（T1003.00x）、Risk Level 与 Credentials at Risk。

覆盖技术子项：T1003.001 LSASS 内存、T1003.002 SAM、T1003.003 NTDS、T1003.004 LSA Secrets、T1003.005 缓存域凭据（DCC2）、T1003.006 DCSync。

限制：依赖 EDR 遥测与审计策略的完整性；合法工具（如任务管理器、procexp）可能造成误报，需结合上下文判断；具体平台版本要求、部署步骤与效果数据在资料中暂未提供。