用途：面向已获得初始访问后的内网横向移动检测，聚焦主机到主机的跳转活动，不用于检测初始访问或外部攻击。
主要能力：覆盖 ATT&CK TA0008 相关技术，包括 Pass-the-Hash/Pass-the-Ticket（T1550）、Golden/Silver Ticket（T1558）、PsExec（T1021.002）、WMI 远程执行（T1047）、WinRM/PowerShell Remoting（T1021.006）、RDP 跳板（T1021.001）、SMB 扩散与管理共享访问、DCOM（T1021.003）及远程计划任务（T1053.005）。可构建源到目的地的认证关系图，并将事件关联到杀伤链阶段。
使用方式：需具备 Windows 安全日志（4624、4625、4648、4672）、Sysmon（进程创建 1、网络连接 3、命名管道 17/18）、NetFlow/sFlow 或 Zeek 连接日志，以及具备跨源关联能力的 SIEM 和正常内网认证基线。检测以 Splunk 查询形式给出，例如通过 EventCode=4624、Logon_Type=3、NTLM 且目标主机数大于 3 识别 Pass-the-Hash；通过 Sysmon EventCode=17 的 PSEXESVC 命名管道识别 PsExec；通过 EventCode=5140 的管理共享访问识别 SMB 横向移动。
适用场景：SOC 团队检测攻击者跳转、事件调查追踪移动路径、检测工程将规则映射到 ATT&CK、红紫队演练发现检测盲区。
限制：依赖上述日志与流量数据的完整采集及基线质量；查询中的阈值需按环境调整；资料未提供具体部署步骤、许可或价格信息。