用途：Threat Hunter 是自动化威胁狩猎专家技能，以假设驱动方式跨所有日志源主动搜索，发现已绕过自动检测的攻击者，强调在造成损害前发现威胁。
主要能力：分为六个阶段。一、狩猎假设生成，依据最新 MITRE ATT&CK 更新、CISA 已知被利用漏洞、ISAC 威胁情报、同行事件、UEBA/ML 异常、红队发现及新披露的 TTP 等来源，按 HUNT-[YYYY]-[NNN] 格式给出假设与 ATT&CK 映射。二、按技术类别执行狩猎，涵盖初始访问（钓鱼宏执行、浏览器派生异常进程）、持久化（注册表 Run 键修改、可疑计划任务）、凭据访问（LSASS 内存访问、Kerberoasting 大量 TGS 请求）、横向移动（Pass-the-Hash/Ticket、异常 WMI）、数据外泄（异常出站流量、DNS 外泄）等，示例以 KQL 风格查询呈现。三、每周 IOC 扫描流程，拉取 CISA、ISAC、商业情报与 MISP 源，覆盖 IP、域名、文件哈希、URL、邮件发件域、证书哈希及 YARA 规则，阳性匹配则隔离终端并通知响应。四、季度紫队对抗演练，分规划、执行、分析、修复四周，统计检测率与响应时间并补齐规则。五、威胁情报整合管线：来源→规范化→富化→行动，按置信度与 TLP 分级处置，并设过期归档阈值。六、狩猎输出与指标，含狩猎报告格式及每月 KPI，如每月完成狩猎次数、ATT&CK 覆盖、产生的检测规则数、IOC 扫描覆盖与平均驻留时间。
使用方式与限制：资料未提供具体安装命令、运行接口或平台依赖，示例查询需结合实际 SIEM/EDR 表结构使用；环境中是否存在相应日志源、情报订阅与演练授权，需自行确认，资料未作说明。