重要提示：本站仅作 Skill 资源导航与收录，正文以 GitHub 原仓库为准，版权归原项目所有。
以下为摘要预览，完整内容请查看 GitHub 原文。
Detecting Lateral Movement with Splunk
When to Use
- When hunting for adversary movement between compromised systems
- After detecting credential theft to trace subsequent lateral activity
- When investigating unusual authentication patterns across the network
- During incident response to scope the breadth of compromise
- When proactively hunting for TA0008 (Lateral Movement) techniques
Prerequisites
- Splunk Enterprise or Splunk Cloud with Windows event data ingested
- Windows Security Event Logs forwarded (4624, 4625, 4648, 4672, 4768, 4769)
- Sysmon deployed for process creation and network connection data
- Network flow data or firewall logs for SMB/RDP/WinRM correlation
- Active Directory user and group membership reference data
Workflow
- Define Lateral Movement Scope: Identify which lateral movement techniques to hunt (RDP, SMB/Admin Shares, WinRM, PsExec, WMI, DCOM, SSH).
- Query Authentication Events: Use SPL to search for Type 3 (Network) and Type 10 (RemoteInteractive) logons across the environment.
- Build Authentication Graphs: Map source-to-destination authentication relationships to identify unusual connection patterns.
- **Detect Fi…
以下为摘要预览，完整内容请查看 GitHub 原文。
使用 Splunk 检测横向移动
使用场景
- 搜寻攻击者在已入侵系统之间的移动行为
- 在检测到凭据窃取后，追踪后续的横向活动
- 调查网络中异常的身份验证模式
- 在事件响应过程中，评估入侵影响范围
- 主动搜寻 TA0008（横向移动）相关技术
先决条件
- 已接入 Windows 事件数据的 Splunk Enterprise 或 Splunk Cloud
- 已转发 Windows 安全事件日志（4624、4625、4648、4672、4768、4769）
- 已部署 Sysmon 以收集进程创建和网络连接数据
- 具备用于 SMB/RDP/WinRM 关联分析的网络流数据或防火墙日志
- 拥有 Active Directory 用户和组成员关系的参考数据
工作流程
- 定义横向移动范围：确定需要搜寻的横向移动技术（RDP、SMB/管理共享、WinRM、PsExec、WMI、DCOM、SSH）。
- 查询身份验证事件：使用 SPL 在全环境中搜索 Type 3（网络）和 Type 10（远程交互）登录记录。
- 构建身份验证关系图：映射源到目的的身份验证关系，识别异常连接模式。
- 检测首次出现的关系：识别在历史基线中未曾出现过的新型源-目的对。
- 与进程活动关联：将身份验证事件与目标主机上随后发生的进程创建关联起来。
- 识别异常模式：标记对敏感服务器的横向移动、非工作时间活动、服务账户滥用或快速的多主机访问行为。
- 报告与处置：记录横向移动路径、受影响系统，并协调处置响应。
核心概念
| 概念 | 描述 |
|---|
| T1021 | 远程服务（父技术） |
| T1021.001 | 远程桌面协议（RDP） |
| T1021.002 | SMB/Windows 管理共享 |
| T1021.003 | 分布式 COM（DCOM） |
| T1021.004 | SSH |
| T1021.006 | Windows 远程管理（WinRM） |
| T1570 | 横向工具传输 |
| T1047 | Windows 管理工具（WMI） |
| T1569.002 | 服务执行（PsExec） |
| 登录类型 3 | 网络登录（SMB、WinRM、映射驱动器） |
| 登录类型 10 | 远程交互（RDP） |
| 事件 ID 4624 | 登录成功 |
| 事件 ID 4648 | 显式凭据登录（runas、PsExec） |
工具与系统
| 工具 | 用途 |
|---|
| Splunk Enterprise | 用于日志聚合与 SPL 查… |
