用途：狩猎 DCSync 凭据窃取（MITRE ATT&CK T1003.006），可在发现 Mimikatz 等工具、Active Directory 失陷事件响应、监控未授权域复制请求及紫队演练中用于检测 Active Directory 攻击。
前提条件：启用 Windows 安全事件日志转发（事件 ID 4662）；通过组策略启用“审核目录服务访问”；在域对象上为计算机账户检测配置 Domain Computers SACL；SIEM 已接入 Windows 事件数据（Splunk、Elastic、Sentinel）；了解合法域控账户与复制伙伴。
工作流程：启用审核；收集带 AccessMask 0x100（Control Access）的事件 ID 4662；筛选 DS-Replication-Get-Changes 与 DS-Replication-Get-Changes-All 的复制 GUID；标记 SubjectUserName 非域控计算机账户的事件；将源 IP 与已知域控地址交叉比对；排除合法复制工具（Azure AD Connect、SCCM）；处置时禁用受损账户、重置 krbtgt 并调查横向移动。
关键概念：DCSync 滥用 AD 复制协议提取密码哈希；事件 ID 4662 为目录服务访问审核事件；DS-Replication-Get-Changes GUID 为 1131f6aa-9c07-11d1-f79f-00c04fc2dcd2；DS-Replication-Get-Changes-All GUID 为 1131f6ad-9c07-11d1-f79f-00c04fc2dcd2；AccessMask 0x100 表示扩展权限验证。
工具：Windows 事件查看器、Splunk、Elastic Security、Mimikatz lsadump::dcsync、Impacket secretsdump.py、BloodHound。
输出格式：Hunt ID: TH-DCSYNC-[DATE]-[SEQ]；Technique: T1003.006；Domain Controller；Subject Account；Source IP；GUID Accessed；Risk Level；Recommended Action。
限制：需预先启用目录服务访问审核与 SACL 配置，否则无法获取所需事件；需结合合法复制工具与域控名单做误报排除；具体 SIEM 查询语句与价格、平台部署细节暂未提供。