用途：主动狩猎环境中恶意邮箱/邮件流转发规则的迹象，或在威胁情报指向相关活动、事件响应、EDR/SIEM 告警触发及安全评估与紫队演练时使用。
主要能力：围绕 ATT&CK 技术 T1114.003（邮件转发规则）、T1114.002（远程邮件收集）、T1098.002（附加邮箱委派权限）构建可测试假设，识别所需日志与遥测，在 SIEM 与 EDR 平台执行检测查询，分析异常并跨数据源关联，区分真阳性与假阳性，将发现链接到更广泛攻击链与威胁行为者 TTP，记录发现、更新检测规则并建议响应动作。
使用方式：先制定假设，再确定验证或反驳假设所需的日志与遥测，随后在 SIEM 和 EDR 平台运行检测查询收集相关事件，分析结果并关联多源数据，通过上下文分析验证发现，关联活动，最后记录并报告。输出格式示例包含 Hunt ID、Technique、Host、User、Evidence、Risk Level、Confidence、Recommended Action。
适用场景：BEC 行为者创建向外部邮箱转发的规则；被入侵账户设置删除安全告警的规则；收件箱规则将 CEO 邮件转发至攻击者邮箱；OAuth 应用滥用创建传输规则以收集数据。
前置条件与工具：需要具备进程与网络遥测的 EDR（CrowdStrike、MDE、SentinelOne）、已摄取相关日志的 SIEM（Splunk、Elastic、Sentinel）、全面配置的 Sysmon、启用的 Windows 安全事件日志转发、用于 IOC 关联的威胁情报源。工具包括 CrowdStrike Falcon、Microsoft Defender for Endpoint、Splunk Enterprise、Elastic Security、Sysmon、Velociraptor、Sigma Rules。
限制：资料未提供具体查询语句、检测规则内容、部署步骤或效果验证数据，实际实施需结合环境自行配置。