用途：检测 Living Off the Land Binaries、Scripts、Libraries（LOLBAS）滥用。攻击者常利用 certutil.exe、regsvr32.exe、mshta.exe、rundll32.exe、msbuild.exe 等合法系统工具执行恶意操作以规避检测，本技能提供基于进程遥测与 Sigma 规则的检测流程。
主要能力：建立 LOLBin 监控清单（certutil、mshta、regsvr32、rundll32、msbuild、installutil、cmstp、wmic、bitsadmin）；采集 Sysmon Event ID 1（Process Create）与 Windows 4688 事件并捕获完整命令行；编写匹配可疑命令行参数、网络活动及父子进程异常的 Sigma 规则；分析异常父子进程关系（如 Excel 启动 certutil、Word 启动 mshta）；按参数异常、父进程、执行路径和网络指标进行风险评分与告警排序；生成含 MITRE ATT&CK 映射（T1218、T1105、T1140、T1127）的结构化检测报告。
使用方式：适用于安全事件调查、构建检测规则或威胁狩猎查询、SOC 分析师结构化分析流程，以及验证相关攻击技术的监控覆盖。前置条件包括启用命令行日志的 Sysmon 或 Windows 安全事件日志（4688）、Sigma 规则转换工具（sigmac 或 sigma-cli）、SIEM 平台（Splunk、Elastic 等）、Python 3.8+ 与 pySigma 库，以及 LOLBAS 项目参考数据库。
预期输出：列出检测到的 LOLBin 滥用事件及严重性评分的 JSON 报告、每项检测的 MITRE ATT&CK 技术映射、父子进程异常分析，以及含原始事件数据的 Sigma 规则匹配详情。
限制：资料未提供具体规则内容、部署步骤、平台兼容性细节或性能数据，实际效果取决于遥测配置与规则调优。