用途：检测 NTLM 中继攻击（对应 MITRE ATT&CK T1557.001）。攻击者常借助 Responder 进行 LLMNR/NBT-NS 投毒，再用 ntlmrelayx 转发 NTLM 认证以获取未授权访问。本技能通过分析 Windows 安全日志识别此类中继活动。
主要能力：查询 Windows 安全事件 4624（成功登录）中类型 3 网络登录且使用 NTLMSSP 认证的记录；识别 WorkstationName 与来源 IpAddress 不匹配；发现单一账户在数秒内对多台主机的快速认证；审计域内主机的 SMB 签名配置；检查事件 5145 中对 Spoolss、lsarpc、netlogon、samr 命名管道的访问；识别以 $ 结尾的计算机账户从异常 IP 认证。
使用方式：需 Python 3.9+ 并可访问 Windows 事件日志或已导出的日志；启用 Windows 安全审计日志（事件 ID 4624、4625、5145）；进行 SMB 签名状态检查时需网络访问。适用于安全事件调查、构建检测规则或威胁狩猎查询、SOC 分析师执行结构化分析流程，以及验证相关攻击技术的监控覆盖。
输出：JSON 报告，包含疑似中继事件、IP 与主机名关联异常、SMB 签名审计结果，并映射至 MITRE ATT&CK T1557.001。
限制：资料未提供具体安装命令、完整代码示例、收费信息或平台支持细节。