从暴露面服务的口令猜测到进入系统后的扩大过程，以及 MFA、限速、锁定与监控对策。
高频端口对应服务、风险提示与加固要点，适合资产梳理附录。
账号、进程、定时任务、启动项、网络连接与日志的快速排查顺序。
讲解哈希传递与票据类攻击的原理级过程，以及 LAPS、凭证防护、审计等防御措施。
将 Top 10 条目映射到靶场练习点与代码评审关注点，方便对照学习。
准备、识别、遏制、根除、恢复、总结——可落地的 IR 流程框架。
VIP 教程：在授权演练背景下，拆解入口立足→信息收集→横向→权限提升→目标达成的阶段模型。
事件日志、计划任务、启动项、异常服务与网络连接的 Windows 侧检查项。
