用途：该技能面向威胁狩猎与安全评估，用于发现攻击者滥用提权控制机制（T1548）的行为，重点覆盖 Windows UAC 绕过与 Linux 提权滥用。适用时机包括：在 Windows 环境中狩猎 UAC 绕过、收到威胁情报显示活跃组织使用 UAC 绕过、调查攻击者如何在不触发 UAC 提示的情况下获得管理员权限、验证 UAC 绕过检测覆盖度，以及监控 Linux 上的 setuid/setgid 滥用。
主要能力：监控 UAC 相关注册表修改（如 HKCU\Software\Classes\ms-settings\shell\open\command、mscfile\shell\open\command），通过 Sysmon 事件 12/13 跟踪；检测自动提权进程滥用（fodhelper.exe、computerdefaults.exe、eventvwr.exe、sdclt.exe、slui、cmstp 等）被非标准父进程启动；跟踪进程完整性级别从 medium 升到 high 且无对应 UAC 同意事件；检测自动提权进程派生异常子进程（cmd.exe、powershell.exe）；监控 Linux 的 sudo 配置滥用、setuid 二进制滥用与 capability 操纵；并将提权滥用关联到更广的攻击链。
使用方式：需具备 Sysmon 事件 ID 1（含命令行与父进程）、Windows 安全事件 4688、UAC 相关注册表审计、Sysmon 事件 12/13，以及具备提权监控能力的 EDR。资料给出 Splunk、KQL 与 Sigma 检测查询示例，例如 Sigma 规则匹配 TargetObject 包含 \ms-settings\shell\open\command、\mscfile\shell\open\command、\exefile\shell\open\command，级别 high，标签 attack.privilege_escalation 与 attack.t1548.002。输出格式包含 Hunt ID、主机、绕过方法、自动提权二进制、被修改注册表键、执行的载荷、用户上下文、风险等级与 ATT&CK 技术编号。
限制：资料未提供具体安装命令、收费信息或平台支持范围；实际检测效果取决于日志与审计配置是否到位。