用途：在终端遥测中狩猎 MITRE ATT&CK TA0005 防御规避技术，构建针对进程注入、时间戳伪造、日志清除等常见规避方法的检测规则，调查攻击者禁用或绕过安全工具的事件，并分析终端日志中的 LOLBin 滥用迹象。不适用于网络层规避分析或恶意软件逆向。
前置条件：安装并配置全面的 Sysmon 日志规则；启用高级审计策略的 Windows 安全事件日志；EDR 遥测（如 CrowdStrike、SentinelOne、Microsoft Defender for Endpoint）；用于日志关联的 SIEM 平台（Splunk、Elastic、Sentinel）；参考 MITRE ATT&CK 企业矩阵。
工作流：检测日志篡改（T1070），关注 Sysmon EventID 1 中 wevtutil cl、Clear-EventLog 等命令，安全事件 1102、系统事件 104；时间戳伪造（T1070.006）关注 Sysmon EventID 2 与 EventID 11 的关联。检测进程注入（T1055），关注 Sysmon EventID 8、10、25 及可疑访问掩码如 0x1F0FFF。检测安全工具禁用（T1562），关注服务停止事件 7045/7036、Set-MpPreference -DisableRealtimeMonitoring、注册表 DisableAntiSpyware 等。检测伪装（T1036），关注合法进程名出现在非常规路径、OriginalFileName 不匹配、双扩展名文件。检测 LOLBin 滥用（T1218、T1127），如 mshta、certutil、regsvr32、rundll32、MSBuild 的异常命令行。最后构建关联规则，将多个弱信号合并为高置信度检测。
常用工具与系统：Sysmon、Microsoft Defender for Endpoint、CrowdStrike Falcon、Elastic Security、Sigma Rules。
限制与注意事项：进程注入规则易产生告警疲劳，需维护已知良好源进程白名单；默认 Sysmon 配置可能不捕获 EventID 8/10，需使用全面配置；应结合父进程上下文判断；需跨事件类型关联，单一事件常为良性。具体阈值与规则需按环境调整，资料未提供价格或部署方式。