用途：面向环境整体的主动威胁狩猎，适用于假设驱动的排查、威胁情报落地、基线偏离发现、事件后或告警后的扩大复查。不适用于纯合规巡检、已知样本分析、IOC 查询、单点证据深挖、应急单点处置、无遥测来源或主机级单点排查。
主要能力：生成可证伪的狩猎假设（对齐 ATT&CK 技术，单轮 3-5 个高优先级）；按假设选择遥测源（进程、网络、登录、文件等）；建立正常基线并检测偏离；对异常聚类减少人工审查；通过命中确认、误报排除、证据存档形成验证闭环；命中后按同 TTP/同基础设施扩大复查；产出假设清单、命中列表、证据包路径与规则/采集补强建议。
使用方式：先明确假设再动手，每步产物存档（路径 + sha256）。工具包括 jq/grep/awk、python3、journalctl、PowerShell Get-WinEvent、SIEM/EDR 查询接口、ATT&CK Navigator、Sigma 规则格式参考。常用事件 ID 如 4624/4625、4688、Sysmon 1、Sysmon 11。时间戳统一为 UTC 与 ISO8601。
限制：数据源缺失时结论只能限定在已采集遥测内，并标注盲区；基线窗口需选已知干净时段并排除维护期；无告警不等于无活动；查询权限不足需列出未授权数据源；结论需带限定，避免过强声明。具体环境部署、查询接口与规则适配需按实际核对。