用途：用于检测完全在内存中运行、不在磁盘写入持久文件从而绕过传统杀毒的无文件恶意软件与内存攻击。适用于为无文件恶意软件构建检测规则、狩猎PowerShell攻击、反射式DLL注入与WMI滥用、配置端点遥测以及调查传统AV未发现恶意文件的 incident。不适用于检测基于文件的恶意软件或恶意软件逆向工程。
主要能力与用法：先启用必要遥测，包括Sysmon（进程创建与WMI事件日志）、PowerShell脚本块日志、模块日志与转录，以及AMSI；命令示例：New-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\PowerShell\ScriptBlockLogging" -Name EnableScriptBlockLogging -Value 1 -PropertyType DWORD -Force。关注的Sysmon事件包括事件1进程创建、7镜像加载、8 CreateRemoteThread、10进程访问、19/20/21 WMI事件。
检测方向包括：PowerShell编码命令与下载 cradle（如 -enc、IEX、Net.WebClient、DownloadString）、AMSI绕过（事件4104脚本块）、反射式DLL注入与进程镂空、APC注入、WMI订阅持久化（__EventFilter、__EventConsumer、__FilterToConsumerBinding）以及注册表Run键中Base64或超长值执行。文中给出Splunk与MDE KQL查询示例，以及Volatility 3用于事后内存取证。
限制与注意：传统基于文件的AV无法发现无文件攻击，需行为检测与AMSI；若未启用PowerShell日志则无法看到去混淆命令；需将AMSI绕过尝试作为高优先级告警，并启用Sysmon 19-21以捕获WMI持久化。其余细节暂未提供。