hunting-for-ntlm-relay-attacks

追踪 NTLM 中继攻击

概述

NTLM 中继攻击通过拦截并转发 NTLM 认证消息，以未经授权的方式访问网络资源。攻击者使用 Responder 进行 LLMNR/NBT-NS 投毒，并使用 ntlmrelayx 进行凭据中继。本技能通过查询 Windows 安全事件 4624（成功登录）中类型为 3 的网络登录及 NTLMSSP 认证，识别 WorkstationName 与源 IpAddress 之间的不匹配，检测单一账户的快速多主机认证，并审计域内主机的 SMB 签名配置，从而检测中继活动。

何时使用

• 在调查需要追踪 NTLM 中继攻击的安全事件时
• 在为该领域构建检测规则或威胁追踪查询时
• 当 SOC 分析师需要针对此类分析的结构化流程时
• 在验证相关攻击技术的安全监控覆盖范围时

前提条件

• Python 3.9+，并具有 Windows 事件日志访问权限或已导出的日志
• 已启用 Windows 安全审计日志（事件 ID 4624、4625、5145）
• 用于 SMB 签名状态检查的网络访问权限

关键检测领域

1. IP 与主机名不匹配 — 事件 4624 中的 WorkstationName 无法解析到源 IpAddress
2. NTLMSSP 认证 — 域加入主机使用 NTLM 而非 Kerberos 的登录事件
3. 机器账户中继 — 计算机账户（以 $ 结尾）从异常 IP 进行认证
4. 快速认证 — 单一账户在数秒内认证到多个主机
5. 命名管道访问 — 事件 5145 显示对 Spoolss、lsarpc、netlogon、samr 管道的访问
6. SMB 签名禁用 — 主机未强制执行 SMB 签名，从而使中继攻击成为可能

输出

JSON 报告，包含疑似中继事件、IP 与主机名关联异常、SMB 签名审计结果，以及到 T1557.001 的 MITRE ATT&CK 映射。