用途：主动狩猎环境中提权尝试的指标，在威胁情报指向相关攻击活动、事件响应中界定失陷范围、EDR 或 SIEM 告警触发、周期性安全评估与紫队演练时使用。
主要能力：覆盖访问令牌操纵（T1134）、UAC 绕过（T1548.002）、提权漏洞利用（T1068）、未加引号服务路径（T1574.009）等技术；常见场景包括 Potato 系列漏洞利用 SYSTEM 令牌冒充、Fodhelper.exe UAC 绕过、PrintSpoofer 从服务提权至 SYSTEM、CVE 内核漏洞本地提权。
使用方式：按既定工作流执行——基于威胁情报或 ATT&CK 差距分析提出可验证假设，确定所需日志与遥测数据源，针对 SIEM 与 EDR 平台执行检测查询收集相关事件，分析结果并跨数据源关联异常，通过上下文分析区分真实告警与误报，将发现关联至更大攻击链与攻击者 TTP，最后记录发现、更新检测规则并提出响应建议。输出采用固定格式，包含 Hunt ID、Technique、Host、User、Evidence、Risk Level、Confidence、Recommended Action。
前提条件：具备进程与网络遥测的 EDR 平台（CrowdStrike、MDE、SentinelOne），已摄取相关日志的 SIEM（Splunk、Elastic、Sentinel），部署了完整配置的 Sysmon，启用 Windows 安全事件日志转发，以及用于 IOC 关联的威胁情报源。常用工具与系统包括 CrowdStrike Falcon、Microsoft Defender for Endpoint、Splunk Enterprise、Elastic Security、Sysmon、Velociraptor、Sigma 规则。具体查询语句与配置参数暂未提供。