用途：面向安全运营与威胁检测，识别攻击者滥用系统自带合法二进制（LOLBins）进行无文件、离地攻击的行为，覆盖 certutil、mshta、rundll32、regsvr32、msbuild、installutil、cmstp、wmic、bitsadmin 等。
主要能力：监控进程创建、命令行参数、网络连接与父子进程关系；构建 SIEM/EDR 实时检测规则；对端点遥测做威胁狩猎；配合 AppLocker、WDAC 加固白名单策略；调优 Sysmon 配置以捕获 LOLBin 相关事件；在利用系统内置工具绕过 AV 的事件中辅助响应。
必要用法：需在 Windows 端点安装 Sysmon v15+ 并使用调优配置（如 SwiftOnSecurity 或 Olaf Hartong 基线），采集 Sysmon 事件 ID 1、3、7、11，并转发安全事件 ID 4688（需启用命令行日志）；SIEM 中结合 Sigma 规则与 LOLBAS 项目参考 https://lolbas-project.github.io/ ；离线日志分析可用 Python 3.8+ 及 evtx、pandas。
限制：不应直接封禁所有 LOLBin 执行，这些是合法系统工具，检测须聚焦异常上下文（父进程、命令行参数、网络活动），而非仅凭二进制是否存在。
适用场景：SIEM/EDR 检测规则构建、告警调查、端点威胁狩猎、应用白名单加固、Sysmon 配置调优、无文件攻击事件响应。
使用步骤概要：部署面向 LOLBin 的 Sysmon 配置，用 sysmon64.exe -accepteula -i sysmon-lolbin-detection.xml 安装或 sysmon64.exe -c sysmon-lolbin-detection.xml 更新；编写可翻译为任意 SIEM 的 Sigma 规则（如 certutil 下载、mshta 执行远程或内联脚本、regsvr32 Squiblydoo）；用 Python 解析并关联 Sysmon 事件识别可疑 LOLBin 执行与网络外联；监测异常父子进程关系；实施 AppLocker 或 WDAC 加固。资料未提供工具自身的收费、价格、平台或效果数据。