用途：主动狩猎内部威胁行为指标，或在威胁情报、EDR/SIEM告警、事件响应及紫队演练中排查相关技术。
主要能力：围绕异常数据访问、非工作时间活动、批量文件下载、权限滥用和离职相关行为构建可验证假设，并在SIEM与EDR中执行查询、关联多源数据、区分误报、串联攻击链并按固定格式报告。涉及技术包括T1078有效账户、T1530云存储对象数据、T1567经Web服务外传。
使用方式：先形成假设，再确定所需日志与遥测，针对SIEM和EDR运行检测查询，分析异常并跨源关联，验证发现，关联更广泛攻击链，最后记录发现、更新检测规则并建议响应。输出格式字段示例：Hunt ID: TH-DETECT-[DATE]-[SEQ]、Technique: T1078、Host、User、Evidence、Risk Level、Confidence、Recommended Action。
前提条件：具备进程与网络遥测的EDR平台（CrowdStrike、MDE、SentinelOne）；已摄取相关日志的SIEM（Splunk、Elastic、Sentinel）；部署完整配置的Sysmon；启用Windows安全事件日志转发；具备用于IOC关联的威胁情报源。
常见场景：员工离职前批量下载文件；IT管理员越权访问HR数据；服务账户被用于未授权数据查询；承包商将源代码复制到个人云存储。
工具与系统：CrowdStrike Falcon、Microsoft Defender for Endpoint（KQL高级搜寻）、Splunk Enterprise（SPL）、Elastic Security、Sysmon、Velociraptor、Sigma Rules。
限制：资料未提供具体检测查询语句、部署步骤、收费价格及适用平台版本等细节，暂未提供。