用途：本技能用于检测和响应 Adversary-in-the-Middle（AiTM）钓鱼攻击。此类攻击通过反向代理位于受害者和合法认证服务之间，实时截获凭据与会话 Cookie，从而绕过 MFA，常见套件包括 Tycoon 2FA、Sneaky 2FA、EvilProxy 和 Evilginx。
主要能力：部署防钓鱼 MFA（FIDO2 安全密钥或 Windows Hello for Business，且因认证绑定源域，AiTM 无法截获 FIDO2）；配置条件访问策略，如要求合规/受管设备、阻止匿名代理与 Tor 出口节点、启用令牌绑定和持续访问评估（CAE）；构建检测规则，如登录后 10 分钟内出现不同 IP 会话、代理 IP 与用户预期位置不符、不可能旅行、认证后立即创建收件箱规则、异常新 MFA 方法注册；监控 Web 代理识别 AiTM 基础设施（新注册域 DNS 查询、已知 PhaaS IP、经代理域从合法 CDN 加载的登录页背景、仿冒企业登录页的 SSL 证书）；以及事后检测（邮箱转发规则、OAuth 应用同意、BEC 邮件发送模式、SharePoint/OneDrive 批量下载、横向移动）。
使用方式：先决条件包括 Azure AD/Entra ID 条件访问、摄入认证日志的 SIEM、带 SSL 检查与 URL 分类的 Web 代理、EDR、FIDO2/防钓鱼 MFA 能力。按工作流依次部署防钓鱼 MFA、配置条件访问、构建检测规则、用 Web 代理监控 AiTM 基础设施、实施事后检测。工具资源涉及 Microsoft Entra ID Protection、Azure AD 登录日志、Okta ThreatInsight、Sekoia TDR，以及用于理解攻击机制的 Evilginx（防御用途）。
适用场景：安全评估、事件响应、定期安全测试或审计、通过动手测试验证安全控制。
验证要点：测试中防钓鱼 MFA 阻断 AiTM 会话捕获、条件访问拒绝来自不同设备/IP 的会话重放、SIEM 对模拟 AiTM 登录模式告警、Web 代理阻断已知 PhaaS 基础设施连接、事后规则检测可疑认证后的收件箱规则创建。
限制：资料未提供具体安装命令、定价或部署细节；实际效果取决于现有环境是否具备上述先决条件。