关于 detecting-rdp-brute-force-attacks
面向 SOC 分析师和事件调查人员的 RDP 暴力破解检测技能，通过解析 Windows 安全 EVTX 日志并关联登录事件，识别攻击模式与潜在失陷。
主要功能
- 01解析 4625 失败登录事件
- 02提取来源 IP 与目标用户名
- 03统计来源 IP 的失败次数
- 04识别用户名喷洒模式
- 05关联失败与后续成功登录
- 06生成 JSON 检测报告
适用场景
- 01调查 Windows 主机上的 RDP 暴力破解
- 02查找暴力破解后的潜在成功登录
- 03构建威胁狩猎查询或检测规则
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/detecting-rdp-brute-force-attacks确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
LICENSEreferences/api-reference.mdscripts/agent.py详细介绍
检测 RDP 暴力破解攻击
概述
RDP 暴力破解攻击针对 Windows 远程桌面协议服务，对暴露的 RDP 端点快速尝试猜测凭据。检测依赖于分析 Windows 安全事件日志中的事件 ID 4625（登录类型为 10 或 3 的登录失败），并与事件 ID 4624（登录成功）关联，以识别已失陷的账户。本技能涵盖使用 python-evtx 解析 EVTX 文件、通过源 IP 频率分析识别攻击模式、检测 NLA 绕过尝试，以及生成可操作的检测报告。
何时使用
- 在调查需要检测 RDP 暴力破解攻击的安全事件时
- 在为该领域构建检测规则或威胁狩猎查询时
- 当 SOC 分析师需要针对此类分析的结构化流程时
- 在验证相关攻击技术的安全监控覆盖范围时
前置条件
- Python 3.9+ 及
python-evtx、lxml库 - Windows 安全 EVTX 日志文件（从事件查看器导出或通过 WEF 收集）
- 了解 Windows 身份验证事件 ID（4624、4625、4776）
- 熟悉 RDP 登录类型（类型 3 用于 NLA，类型 10 用于 RemoteInteractive）
步骤
步骤 1：导出安全事件日志
使用事件查看器或 wevtutil 将 Windows 安全日志导出为 EVTX 格式：
wevtutil epl Security C:\logs\security.evtx
步骤 2：解析登录失败事件
使用 python-evtx 解析事件 ID 4625 条目，提取源 IP、目标用户名、失败原因（Sub Status）和登录类型字段。
步骤 3：分析攻击模式
通过以下方式识别暴力破解模式：
- 按时间窗口统计每个源 IP 的登录失败次数
- 检测用户名喷洒攻击（来自一个 IP 的多个用户名）
- 将 4625 失败与同一 IP 后续的 4624 成功关联起来
步骤 4：生成检测报告
生成 JSON 报告，包含攻击 IP 排名、被针对的账户、基于时间的分析以及失陷指标。
预期输出
JSON 报告包含：
- 登录失败事件总数和唯一源 IP 数
- 按失败次数排名的攻击 IP 前列
- 被针对的用户名和失败子状态代码
- 暴力破解尝试后出现的登录成功（潜在失陷）
- 攻击强度的时间序列分析
评论
支持 Markdown