用途：面向威胁狩猎与检测工程（Detection Engineering），以假设驱动（PEAK/TaHiTI）的狩猎循环覆盖终端、网络、云与身份遥测；将检测规则（Sigma + 关联规则）作为版本化代码在 CI 中交付；按 MITRE ATT&CK v18 的 Detection Strategies/Analytics 映射并度量覆盖度；支持紫队验证寻找检测缺口，以及无 SIEM 情况下对 EVTX/Zeek/CloudTrail 做离线研判。
主要能力：端点侧覆盖 Sysmon 15 PPL 与篡改/可见性缺口、ETW/AMSI 内存补丁、LSASS 句柄访问、LOLBin 与进程树异常；网络侧覆盖 JA4+/JA4X C2 指纹、信标与长连接统计、DNS 隧道/DGA/DoH；云身份侧覆盖 Entra 设备码与 OAuth 同意钓鱼、PRT 窃取、AWS CloudTrail 滥用与日志篡改；提供 Sigma 规则与关联规则工程、EVTX 研判（Hayabusa/Chainsaw/Velociraptor）、Atomic Red Team/Caldera 验证与 ATT&CK Navigator 覆盖矩阵和缺口报告。
使用方式：先用 Sysmon 配置部署遥测基线，如 sysmon -accepteula -i scripts/sysmon_config_2025.xml；离线端点研判用 python3 scripts/evtx_hunt.py /cases/host01/EVTX --min-severity medium --json host01.json；网络狩猎用 python3 scripts/beacon_hunter.py --conn conn.log --dns dns.log --ja4-blocklist bad_ja4.txt --min-score 0.7；云侧将 scripts/entra_hunt.kql 贴入 Sentinel/Defender，AWS 用 python3 scripts/cloudtrail_hunt.py /cases/cloudtrail/ --json ct_findings.json；检测即代码校验用 python3 scripts/dac_validate.py rules/ --backend splunk --pipeline sysmon --fail-on-error 与 ./scripts/sigma_pipeline.sh rules/ build/ splunk microsoft365defender elasticsearch；紫队验证用 Invoke-AtomicTest T1003.001 -TestNumbers 1,2,3（仅实验室，事后 -Cleanup）与 python3 scripts/coverage_matrix.py --rules rules/ --atomic-results atomic_results.json --watchlist watchlist.txt --navigator-out attack_layer.json --gaps-out gaps.csv。
适用场景：SOC/IR 团队的狩猎与检测工程、无 SIEM 的离线取证、检测规则 CI 化、紫队验证与覆盖度度量。限制：部分操作（如 Atomic Red Team）仅限授权实验室环境；信标狩猎需数天日志，小 PCAP 易误报；JA4X 在 TLS 1.3 下证书加密需在出口/代理捕获，不应仅凭误报阻断；设备码等需先建立正常基线；本资料未提供授权要求、价格或平台支持的进一步说明。