---

架构

                    +---------------------------+
                    |   BloodHound JSON导出      |
                    |   (用户、组、ACL)          |
                    +-------------+-------------+
                                  |
                                  v
                    +-------------+-------------+
                    |     图分析器               |
                    |  - 解析BH v3/v4格式       |
                    |  - 构建NetworkX有向图      |
                    |  - 检测攻击路径            |
                    |  - 识别Tier 0/1/2          |
                    +-------------+-------------+
                                  |
                    +------+------+------+
                    |      |             |
                    v      v             v
            +-------+  +--+------+  +---+--------+
            | 风险   |  | LLM    |  | 报告      |
            | 评分器 |  | 顾问    |  | 生成器    |
            +---+----+  +---+----+  +---+--------+
                |            |          |
                v            v          v
            [评分]    [MITRE映射]  [HTML/JSON]
                |            |          |
                +------+-----+-----+---+
                       |
                       v
              +--------+---------+
              |   CLI接口        |
              |  analyze|paths   |
              |  score  |report  |
              +------------------+

---

English

ADBloodHound-AI是什么？

ADBloodHound-AI解析BloodHound的JSON导出，并结合图分析与AI（OpenAI GPT） 来实现：

• 检测攻击路径：从任何用户/计算机到Domain Admin
• 风险评分：使用多因子加权算法（距离、ACE类型、密码年龄、暴露程度、权限级别）
• 识别危险账户：可Kerberoasting、可AS-REP Roasting、DCSync主体
• 映射到MITRE ATT&CK：T1558（Kerberos）、T1003（凭证转储）、T1078（有效账户）
• 生成报告：HTML仪表板和带有修复优先级的JSON导出
• AI驱动建议：对攻击路径进行LLM分析，并提供执行摘要

安装

git clone https://github.com/ayinedjimi/ADBloodHound-AI.git
cd ADBloodHound-AI
pip install -e ".[dev]"

# 可选：设置OpenAI API密钥以启用AI功能
export OPENAI_API_KEY="sk-..."

使用

# 完整分析并生成HTML报告
adbloodhound-ai analyze bloodhound_export.json -d CORP.LOCAL -o report.html

# 查找从特定用户出发的路径
adbloodhound-ai paths bloodhound_export.json -s "[email protected]"

# 对所有节点评分，获取前20个风险
adbloodhound-ai score bloodhound_export.json -n 20

# 生成包含LLM分析的完整报告
adbloodhound-ai report bloodhound_export.json -d CORP.LOCAL --llm

示例输出

[+] 已加载15423个对象
[+] 图：15423个节点，47891条边
[+] 可Kerberoasting的账户：23
[+] 可AS-REP Roasting的账户：5
[+] DCSync主体：3
[+] 发现156条通往Domain Admin的攻击路径
[+] 域整体风险评分：78.5/100

[!] 风险最高的前5条路径：
    1. [95.2] SVC_BACKUP -> DOMAIN ADMINS (2跳)
    2. [89.1] HELPDESK1 -> DOMAIN ADMINS (3跳)
    3. [84.7] SVC_SQL -> DOMAIN ADMINS (2跳)
    4. [76.3] IT_ADMIN2 -> ENTERPRISE ADMINS (4跳)
    5. [71.8] WS042.CORP.LOCAL -> DOMAIN ADMINS (5跳)

检测到的攻击技术

技术	MITRE ID	检测方式
Kerberoasting	T1558.003	用户账户上的SPN
AS-REP Roasting	T1558.004	预认证已禁用
DCSync	T1003.006	GetChangesAll权限
GenericAll滥用	T1078	完全控制ACE
WriteDACL滥用	T1078	DACL修改权限
影子凭据	T1078	KeyCredentialLink访问

---

Francais

ADBloodHound-AI 是什么？

ADBloodHound-AI 解析 BloodHound 的 JSON 导出，并结合图分析与AI（OpenAI GPT） 来实现：

• 检测攻击路径：从任何用户/计算机到 Domain Admins
• 风险评分：采用多因子加权算法（距离、ACE 类型、密码年限、暴露程度）
• 识别危险账户：可 Kerberoasting、可 AS-REP Roasting、DCSync 主体
• 映射到 MITRE ATT&CK：T1558、T1003、T1078
• 生成报告：HTML 仪表板和带有修复优先级的 JSON 导出
• AI 驱动建议：对攻击路径进行 LLM 分析，并提供执行摘要

安装

git clone https://github.com/ayinedjimi/ADBloodHound-AI.git
cd ADBloodHound-AI
pip install -e ".[dev]"

使用

# 完整分析并生成 HTML 报告
adbloodhound-ai analyze export_bloodhound.json -d CORP.LOCAL -o rapport.html

# 查找从特定用户出发的路径
adbloodhound-ai paths export.json -s "[email protected]"

# 对所有节点评分
adbloodhound-ai score export.json -n 20

# 生成包含 LLM 分析的完整报告
adbloodhound-ai report export.json -d CORP.LOCAL --llm

测试

pytest tests/ -v --cov=adbloodhound_ai

---

相关项目

• KVortex - 用于LLM的VRAM到RAM卸载器
• YaraGen-AI - 人工智能驱动的YARA规则生成器
• KQLHunter - Azure Sentinel的KQL查询生成器

作者

Ayi NEDJIMI - 网络安全与AI顾问

• 网站：ayinedjimi-consultants.fr
• HuggingFace：AYI-NEDJIMI
• GitHub：ayinedjimi

许可证

MIT许可证 - 详见 LICENSE