核心是将身份验证行为转化为可分析数据源，需启用4624/4625/4771等事件的成功+失败双重审计，补全终端、网络、应用上下文，用条件逻辑构建动态预警规则，并闭环联动响应自动化。
配置系统身份验证策略以支撑针对性威胁的实时预警，核心不是“加一层认证”，而是让每一次身份验证行为本身变成可采集、可分析、可建模的数据源。重点在于：日志必须全、字段必须准、上下文必须丰富，否则预警就是盲人摸象。
启用高保真身份验证日志采集
默认 Windows 审核策略只记录成功登录，这对威胁检测几乎无效。必须开启关键事件的成功+失败双重审计，尤其关注以下事件ID：
- 4624（登录成功）：需启用“详细信息”子类别，确保记录 Logon Type、Authentication Package、Subject Logon ID、IP 地址（若为网络登录）
- 4625（登录失败）：必须开启，是暴力破解、凭证喷洒的主要信号源
- 4771（Kerberos 预身份验证失败）：AD 环境中检测密码爆破最敏感指标
- 4768（TGT 请求）、4769（ST 请求）：用于追踪黄金票据、白银票据滥用
操作上，通过组策略（Computer Configuration → Policies → Windows Settings → Security Settings → Advanced Audit Policy Configuration）逐项启用，避免依赖“基本审核策略”，后者粒度太粗、易漏关键字段。
绑定用户行为与设备/网络上下文
单看“某用户在凌晨3点登录”意义有限；但若同时知道该用户从未在非工作时间登录过、本次来自陌生IP段、使用未注册设备、且登录后立即访问敏感数据库，风险等级就跃升。因此需主动补全三类上下文：
- 终端指纹：部署 Defender for Endpoint 或类似 EDR，将进程启动、PowerShell 执行、WMI 查询等行为与登录会话 ID（Logon ID）关联
- 网络位置：在防火墙或代理日志中打标用户主体（如通过 SSO 头传递 UPN），或在域控制器启用 Netlogon 日志 记录客户端 DNS 名称和 IP
- 应用级动作：对关键业务系统（如 OA、ERP）开启细粒度审计，记录“谁在什么时间执行了什么操作”，而非仅记录“登录成功”
用条件逻辑构建动态预警规则
静态阈值（如“10次失败登录即告警”）误报率高。应基于组织真实基线设计条件组合：
- 连续5分钟内，同一账户在3个不同地理位置触发4771事件 → 触发“Kerberos 喷洒”高置信告警
- 某账户首次从新设备登录，且1小时内执行超过20次 LDAP 查询（事件4662）→ 关联判定为“横向移动侦察”
- 管理员账户在非维护窗口登录，且后续15分钟内调用 Invoke-Mimikatz 相关命令（通过 PowerShell 脚本块日志 Event ID 4104 检测）→ 直接标记为“凭证转储高危事件”
这类规则可在 Microsoft Sentinel、Splunk 或自研 SIEM 中用 KQL / SPL 编写，关键是把身份事件与进程、网络、文件操作日志做跨源关联，而不是孤立看认证日志。
闭环验证与响应自动化
预警不是终点。配置策略时必须预设响应动作，否则告警会迅速被淹没：
- 高置信告警自动冻结账户（调用 Microsoft Graph API 或 AD PowerShell）
- 中风险告警自动推送二次验证（如 Entra ID 条件访问策略强制 MFA 重认证）
- 所有告警同步至 SOAR 平台，自动拉取该用户近24小时全部活动时间线，生成调查包供 SOC 分析
不复杂但容易忽略：每次调整策略后，务必用真实测试账户模拟攻击链（如用 CrackMapExec 尝试喷洒），验证日志是否产生、字段是否完整、规则是否命中——纸上谈兵不如一次真实触发。
