用途：本技能用于狩猎 MITRE ATT&CK T1098（账户操纵）相关行为，覆盖对手为维持或扩大已攻陷账户访问权限而采取的操作，包括添加凭据、修改组成员身份、SID 历史注入和创建影子管理员账户。
主要能力：通过 Windows 安全事件日志分析进行检测，涉及事件 ID 4738、4728、4732、4756、4670、5136；将组成员变更与权限提升指标进行关联；识别异常的账户修改模式。分析步骤包括：解析账户修改事件（4738 用户账户变更、4728/4732/4756 成员加入安全组、5136 目录服务对象修改）；检测特权组变更（Domain Admins、Enterprise Admins、Schema Admins、Administrators、Backup Operators）；识别影子管理员迹象（账户获得 AdminSDHolder 保护、直接特权分配或 SID 历史注入）；将账户变更加载到攻击时间线，与认证事件交叉比对以定位初始入侵和持久化建立。
适用场景：调查需要狩猎 T1098 账户操纵的安全事件；为该领域构建检测规则或威胁狩猎查询；SOC 分析师需要结构化的分析流程；验证相关攻击技术的安全监控覆盖情况。
预期输出：JSON 报告，包含检测到的账户操纵事件、特权组变更、影子管理员指标和时间线关联。
限制与前置条件：需要 Windows 安全事件日志（EVTX 格式）或 SIEM 访问权限；Python 3.9+ 及 python-evtx、lxml 库；需了解 Active Directory 组结构和 SID 架构，并熟悉 MITRE ATT&CK T1098 子技术。官方文本暂未提供，收费、价格与平台支持信息暂未提供。