用途：在企业 Active Directory 环境中主动狩猎基于 DCOM 的横向移动，覆盖 MITRE ATT&CK T1021.003。DCOM 通过 RPC 远程执行 COM 对象，攻击者滥用 MMC20.Application、ShellBrowserWindow、ShellWindows 三类对象，可在不落地文件的情况下远程执行命令。该技能用于调查 mmc.exe、dllhost.exe、explorer.exe 异常子进程，建设检测规则，审计 DCOM 暴露面，以及紫队验证检测覆盖。
主要能力：一是理解三类 COM 对象的取证特征——MMC20.Application 会在目标上以 svchost.exe(DcomLaunch) 为父进程生成 mmc.exe，ShellBrowserWindow 与 ShellWindows 通过已有 explorer.exe 执行，不新建 COM 服务进程，更隐蔽。二是 Sysmon 配置，采集事件 ID 1(进程创建)、3(网络连接)、7(镜像加载)、10(进程访问)，示例规则覆盖 mmc.exe/dllhost.exe/explorer.exe 父进程与 DcomLaunch 命令行，更新命令为 sysmon64.exe -c dcom-detection-sysmon.xml。三是 Sigma 规则，检测 mmc.exe 派生的 cmd/powershell/mshta 等子进程（排除 devmgmt.msc 等合法场景），以及 explorer.exe 派生可疑进程且非交互登录的情况。四是 Splunk 与 Microsoft Sentinel KQL 查询，将 4624 Type 3 网络登录、Sysmon 135 端口入站 RPC 连接与进程创建按主机在时间窗内关联。五是 WMI-Activity 日志(5857-5861)关联分析。
使用方式：需先部署 Sysmon 与等价的进程遥测，将 Windows 安全日志(4624/4672/4688)转发到 SIEM，并具备 RPC 流量(TCP 135 与 49152-65535 动态端口)监控能力，同时建立合法 DCOM 使用基线。随后按工作流配置 Sysmon、编写 Sigma/Splunk/KQL 规则并调优误报。
适用场景：AD 环境主动狩猎、告警调查、检测工程、攻防演练验证。
限制：资料强调仅限获得明确书面授权的渗透测试、红队、紫队与安全研究使用，未经授权对非自有系统使用属违法。该技能不能替代基于 EDR 的横向移动检测，在缺少 Sysmon 或等价遥测时效果受限，也不应孤立使用而不关联网络层与主机层指标。合法远程 MMC 管理、SCCM 等管理工具可能造成误报。具体价格、平台版本等信息暂未提供。