用途：该技能用于按 Roberto Rodriguez 的威胁狩猎方法论开展检测与狩猎工作。Rodriguez 是微软首席威胁研究员，Threat Hunter Playbook 与 HELK（Hunting ELK）的作者，其理念是共享知识而非仅共享指标、狩猎过程必须可复现、以社区教育提升防御。
主要能力：提供与 MITRE ATT&CK 映射的文档化狩猎流程，使用查询、Jupyter 笔记本与方法论；HELK 将 Elasticsearch、Logstash、Kibana 与 Jupyter 结合为开源狩猎平台；Mordor 数据集提供预录攻击数据，便于在无自建实验环境下测试检测规则。
使用方式：实施时始终为每次狩猎记录方法论、映射 ATT&CK 技术、用 Jupyter 笔记本保证可复现、与团队共享成功狩猎、用 Mordor 数据集测试检测、以社区 playbook 为基础。避免无假设狩猎、私藏方法论、未经已知攻击测试就部署、忽视数据质量或跳过文档。推荐交互式笔记本而非静态查询、可复现狩猎而非一次性搜索、以社区 playbook 为起点、数据驱动假设而非直觉、开源工具而非供应商锁定。
适用场景：Windows 等平台的凭证访问（如 LSASS 内存访问）、进程监控等狩猎主题，适合安全运营与检测工程团队。
限制：资料未提供具体收费、价格、平台支持范围与效果数据；部分内容在资料中截断，未完整给出。参考链接：Threat Hunter Playbook（https://threathunterplaybook.com/）、HELK（https://github.com/Cyb3rWard0g/HELK）、GitHub（https://github.com/Cyb3rWard0g）、Open Threat Research（https://github.com/OTRF）、Mordor（https://mordordatasets.com/）。