用途：该技能用于 Active Directory（AD）入侵调查，属于事件响应能力，目标是还原攻击者如何获取域服务访问、建立了哪些持久化机制，以及凭据泄露的范围。资料指出 88% 的泄露涉及凭据泄露，AD 是企业级攻击的首要目标。
主要能力：围绕五个方向展开。一是 NTDS.dit 数据库分析，关注事件 ID 4662、4742、8222，以及异常的 ntdsutil.exe、vssadmin.exe 执行和非域控来源的复制流量（DCSync）。二是 Kerberos 攻击检测，包括黄金票据（TGT 生命周期异常、4769 使用 RC4 0x17、无对应 4768）、白银票据（无 TGT 的服务票据、伪造 PAC）、Kerberoasting（4769 高频、对支持 AES 账户请求 RC4）。三是组策略滥用（5136 等）。四是特权组枚举，如 Domain Admins、DnsAdmins、Protected Users 等。五是信任关系分析（4706、SID History 注入等）。
使用方式：资料给出四阶段方法。阶段一范围界定与证据收集，包括收集安全/系统/目录服务日志、用 repadmin 提取复制元数据、用 ntdsutil 快照离线分析、导出 GPO 配置。阶段二认证日志分析，解析 4624/4625、4768/4769/4771、4776，识别 pass-the-hash 与横向移动路径。阶段三持久化与后门检测，检查 AdminSDHolder ACL、SID History、krbtgt 密码年龄、DSRM 密码、AD CS 证书与 DNS 记录。阶段四修复规划，包括双重轮换 krbtgt 密码、重置泄露账户、移除未授权特权成员、必要时重建域控、实施分层管理。
适用场景：安全评估、事件响应流程、计划性安全测试与审计、通过实操验证安全控制。
限制与前提：需熟悉事件响应概念与工具，具备测试或实验环境，Python 3.8+ 及依赖，且任何测试活动须获得适当授权。资料未提供具体安装命令、收费信息或效果保证。