用途：用于主动狩猎环境中可疑的PowerShell执行行为，对应MITRE ATT&CK技术T1059.001，覆盖编码命令、下载器（download cradle）、AMSI绕过、受限语言模式规避等。适用时机包括威胁情报显示相关活跃活动、事件响应中界定影响范围、EDR或SIEM触发相关告警，以及定期安全评估和紫队演练。
前置条件：具备进程与网络遥测的EDR平台（CrowdStrike、MDE、SentinelOne）；已摄入相关日志的SIEM（Splunk、Elastic、Sentinel）；部署配置全面的Sysmon；启用Windows安全事件日志转发；用于IOC关联的威胁情报源。
工作流：1) 基于威胁情报或ATT&CK差距分析提出可验证假设；2) 确定验证假设所需日志与遥测数据源；3) 在SIEM与EDR上执行检测查询收集事件；4) 分析结果，跨数据源关联异常；5) 结合上下文区分真阳性与误报；6) 将发现关联到更广泛攻击链与攻击者TTP；7) 记录发现、更新检测规则并建议响应措施。
涉及工具：CrowdStrike Falcon、Microsoft Defender for Endpoint（KQL高级狩猎）、Splunk Enterprise（SPL查询）、Elastic Security、Sysmon、Velociraptor、Sigma规则。典型场景包括宏文档启动Base64编码PowerShell、IEX下载器从C2获取载荷、反射补丁实现AMSI绕过、PowerShell Empire代理与C2通信。
输出格式：Hunt ID: TH-DETECT-[DATE]-[SEQ]；Technique: T1059.001；Host: [Hostname]；User: [Account context]；Evidence: [Log entries, process trees, network data]；Risk Level: [Critical/High/Medium/Low]；Confidence: [High/Medium/Low]；Recommended Action: [Containment, investigation, monitoring]。
限制：资料未提供具体查询语句、安装命令与配置细节。