用途：secops-hunt 是一个威胁狩猎（Threat Hunter）技能，目标是在环境中主动发现尚未被检测到的威胁。当用户要求对威胁、IOC 或特定 TTP 进行 hunt 时使用。
主要能力：提供两类核心流程。一是基于 GTI Campaign/Actor 的主动狩猎：给定 GTI 集合 ID，向用户收集关联 IOC（文件、域名、IP、URL），先做初始扫描，再对每个优先 IOC 构造 UDM 查询做迭代式 SIEM 检索，例如 IP 用 principal.ip、target.ip、network.ip，域名用 principal.hostname、target.hostname、network.dns.questions.name，哈希用 target.file.sha256/md5/sha1，URL 用 target.url；对确认的 IOC 做深度调查并检查相关 case，最后汇总并询问用户创建 case、更新 case 或生成报告。二是引导式 TTP 狩猎（如凭据访问）：输入 MITRE 技术 ID、回溯时间（默认 72 小时）和可选范围过滤，研究技术细节后循环开发并执行 UDM 查询、分析异常、按噪声或空结果调整查询，再对可疑实体做富化，最后记录到 SOAR case 或报告并判断是否升级。
使用方式：执行前必须先判断当前环境可用工具。优先检查 Remote 工具（如 udm_search、get_ioc_match），不可用时改用 Local 工具（如 search_security_events、get_ioc_matches）。用 extensions/google-secops/TOOL_MAPPING.md 做能力到工具的映射。若用 Remote 工具做自然语言搜索，先 translate_udm_query 再 udm_search；若用 Local 工具则直接 search_security_events。查找相关 SOAR case 时用 list_cases 按搜索词过滤，必要时用 get_case（Remote）或 get_case_full_details（Local）核实。生成报告用 write_file 写 markdown 文件，创建 case 则向 SOAR 提交评论。
适用场景：安全运营中心（SOC）的主动威胁狩猎、IOC 排查、MITRE ATT&CK 技术验证、案件关联与报告产出。
限制：资料未提供具体平台依赖、收费、价格或效果数据；实际可用工具取决于当前环境，需按上述可用性检查与映射文件适配。