用途：主动狩猎环境中 Mimikatz 执行模式的痕迹。适用于威胁情报提示相关攻击活动、事件响应中评估受影响范围、EDR 或 SIEM 告警触发，以及定期安全评估和紫队演练。
主要能力：覆盖命令行模式匹配、LSASS 访问签名、二进制与哈希指标、内存检测；关联 ATT&CK 技术，包括 T1003.001 LSASS Memory、T1003.006 DCSync、T1558.003 Kerberoasting、T1558.001 Golden Ticket。涉及工具与系统：CrowdStrike Falcon、Microsoft Defender for Endpoint（KQL 高级狩猎）、Splunk Enterprise（SPL 查询）、Elastic Security、Sysmon、Velociraptor、Sigma 规则。典型场景：sekurlsa::logonpasswords 凭据转储、PowerShell Invoke-Mimikatz 反射加载、非域控主机发起 DCSync、创建黄金票据持久化。
使用方式：按工作流执行——基于威胁情报或 ATT&CK 缺口提出可检验假设；确定所需日志与遥测数据源；在 SIEM 和 EDR 平台运行检测查询；分析结果并跨数据源关联异常；结合上下文区分误报与真实事件；将发现关联到更广泛攻击链和攻击者 TTP；记录发现、更新检测规则并给响应建议。输出格式示例包含 Hunt ID、Technique、Host、User、Evidence、Risk Level、Confidence 与 Recommended Action 字段。
前置条件：具备进程与网络遥测的 EDR 平台、已接入相关日志的 SIEM、全面配置的 Sysmon、Windows 安全事件日志转发、用于 IOC 关联的威胁情报源、Velociraptor 等端点采集工具与 Sigma 规则。
限制：资料未提供具体查询语句、配置步骤、价格、平台支持范围或效果数据，暂未提供。