蓝队实战手册：PTH/PTK/PTT攻击检测与防御体系构建

当安全运维团队面对内网渗透攻击时，哈希与票据传递攻击往往是最难察觉的威胁之一。想象这样一个场景：攻击者已经获取了某个域账户的NTLM哈希，尽管密码策略要求每90天更换一次复杂密码，但攻击者根本不需要知道明文密码——他们正利用PTH技术在您的网络中横向移动。更令人担忧的是，这类攻击在标准日志中留下的痕迹微乎其微，传统的基于异常登录地点的检测方法完全失效。

1. 攻击原理深度解析：从协议层理解威胁

1.1 NTLM认证与PTH攻击机制

NTLM认证流程中那个致命的"设计特性"正是PTH攻击的根源。当用户尝试认证时，系统实际上只验证客户端提供的密码哈希是否与存储在域控中的哈希匹配，而不是验证用户是否真的知道明文密码。这就好比门禁系统不验证真实身份证，只对比身份证照片的翻拍件。

关键日志事件分析：

• 4624登录事件中的Logon Type为3（网络登录）
• 身份验证包显示为NTLM（而非Kerberos）
• 登录进程名称为NtLmSsp

注意：PTH攻击不会生成典型的4624(显式凭证登录)事件，这是检测的重要线索

1.2 Kerberos协议与PTT攻击路径

Kerberos协议的金票攻击之所以危险，是因为攻击者一旦获取krbtgt账户的哈希，就能伪造任意用户的TGT票据。域控在验证TGT时只检查两点：是否由正确的krbtgt密钥加密，以及时间戳是否在有效期内。

黄金票据攻击的检测焦点：

text复制4768(TGS请求) + 4769(TGS响应)事件组合分析
重点关注：
- 请求的服务名称异常
- 客户端地址与常规行为不符
- 票据有效期异常延长

1.3 PTK攻击的演进与AES密钥利用

随着微软补丁KB2871997的普及，传统的NTLM哈希传递对普通用户失效，但攻击者转向使用AES密钥进行PTK攻击。这种攻击更隐蔽，因为：

1. AES密钥是Kerberos认证的标准组成部分
2. 加密过程本身是协议预期行为
3. 在打了补丁的环境中反而更容易成功

2. 检测体系构建：从日志到行为分析

2.1 Windows事件日志关键信号

建立以下事件ID的关联分析规则：

| 事件ID |