用途：主动狩猎服务账户滥用行为，覆盖异常交互式登录、权限提升与横向移动，适用于威胁情报提示相关攻击、事件响应范围界定、EDR/SIEM 告警触发以及周期性安全评估与紫队演练。
主要能力：围绕 T1078.002（域账户）、T1078.001（默认账户）、T1021（远程服务）等概念，基于 EDR 与 SIEM 遥测收集并关联事件，区分真阳性与假阳性，将发现链接到更广泛的攻击链与攻击者 TTP，并记录发现、更新检测规则、给出响应建议。
必要用法与工具：需具备带进程与网络遥测的 EDR（CrowdStrike Falcon、Microsoft Defender for Endpoint、SentinelOne）；已摄取相关日志的 SIEM（Splunk、Elastic、Sentinel）；部署全面配置的 Sysmon；启用 Windows 安全事件日志转发；以及用于 IOC 关联的威胁情报源；可选 Velociraptor 采集端点痕迹、Sigma 规则作为跨平台检测规则格式。工作流为：提出假设、确定数据源、执行查询、分析结果、验证发现、关联活动、记录与报告。
适用场景示例：服务账户通过 RDP 登录域控制器；SQL 服务访问范围外文件共享；备份服务在非工作时间横向移动；被入侵的具有域管理员权限的服务账户用于 DCSync。
输出格式：Hunt ID、Technique、Host、User、Evidence、Risk Level、Confidence、Recommended Action。
限制：具体查询语句、检测规则内容与安装命令暂未提供；实际效果取决于遥测覆盖范围与日志质量。