ad-opsec-telemetry

每种Active Directory技术生成的遥测数据以及防御方应关注的告警如下：Kerberoasting会产生事件4769，使用RC4加密（0x17）并触发MDI告警；DCSync会产生事件4662，并包含DS-Replication-Get-Changes GUID；AS-REP Roasting会产生事件4768，且未启用预认证；LSASS转储会被EDR阻止；此外，还包括按协议（SMB/WMI/WinRM/RDP/DCOM）分类的横向移动遥测表。在执行或规划任何攻击性AD技术时，可使用此信息了解其产生的“噪音”；在编写行动检测说明时，或在防御方需要了解监控重点时，也应参考此内容。帮助红队成员识别哪些操作较为明显，同时指导蓝队明确监控方向。基于标准工具知识，不涉及特定厂商引擎。

存档时间线

版本索引永久保留；内容副本只保留最新 1 份，更早版本仅留索引与哈希（存档时间线的证据链不会因此断裂）。

下载存档内容副本