用途：该技能用于开展假设驱动的威胁狩猎，强调保留证据来源（provenance），并将每个结论限定在已授权证据范围内。优先级为 P0（关键）。
主要能力与流程：输入需包含可证伪假设、行为、实体、范围、来源、时间窗口、预期信号与停止条件。过程包括：定义正向/负向观察；规范化数据但不覆盖原始数据；测试最窄证据；按实体与时间关联；记录缺口与替代解释。输出包含状态、引用证据、有界结论、局限性与责任人。
规则与限制：主动采集或网络操作需要网络授权、书面范围及运行时验证的控制措施；缺少或不支持的范围将阻止执行。应使用受控的合成或离线样本，并保留查询/版本、样本来源、留存、时钟、身份与来源局限。状态只能为 confirmed、suspected、false-positive、blocked 或 not-tested，且仅引用证据可支撑状态。“在所检查数据集/时间窗口内未发现证据”属于有界负向证据，绝不等于未被入侵。输出需包含授权/范围引用、技能/版本/来源、观察时间、状态、证据引用、局限性与责任人，并复用共享技能 ID。
反模式：不得将空或不完整数据集称为干净；不得将单个模糊命中视为已确认入侵；不得在授权前采集实时遥测或编造狩猎指标。
参考：MITRE ATT&CK 数据源 https://attack.mitre.org/datasources/ ；NIST SP 800-86 证据处理 https://doi.org/10.6028/NIST.SP.800-86 。可复用 cyber-authorization、cyber-evidence、cyber-framework-mapping。