用途：在企业环境中主动狩猎高级持续性威胁（APT），以假设驱动的方式跨终端遥测、网络流量与日志进行搜索。适用于基于新发布 APT 情报开展的主动狩猎冲刺（通常 2–4 周周期）、UEBA 或异常检测系统标记行为偏差需深入调查时，以及同业或 ISAC 共享伙伴通报活跃 APT 入侵后验证自身暴露面。已确认入侵进行中时不应使用本技能替代事件响应，应升级至 IR 流程（NIST SP 800-61）。
主要能力与工作流：第一步，依据 MITRE ATT&CK Groups 选择与自身行业相关的威胁行为者，审阅其 TTP 并形成可检验假设，按“假设→数据收集→模式分析→响应”的威胁狩猎循环记录。第二步，将每个 ATT&CK 技术映射到所需日志源，例如进程创建（T1059）对应 Windows 安全事件 4688 或 Sysmon 事件 ID 1，网络连接（T1071）对应 Zeek conn.log、NetFlow 或 EDR 网络遥测，注册表修改（T1547）对应 Sysmon 事件 ID 13 或 Windows 安全 4657，内存注入（T1055）对应 EDR 内存扫描遥测或 Volatility 输出，并用 ATT&CK Coverage Calculator 或自定义数据源矩阵核验覆盖。第三步，使用 Velociraptor VQL、osquery 或 Splunk SPL 执行狩猎查询，例如用 pslist() 查找带 -enc、-nop、-w hidden 的 PowerShell，用 scheduled_tasks 查找非 System32 路径的启用计划任务，用 EventCode=7045 与 ServiceFileName="PSEXESVC" 查找 PsExec 横向移动。第四步，对异常按时间、主机、用户、网络维度进行枢轴分析，并用 Diamond Model（对手、能力、基础设施、受害者）组织发现。第五步，确认恶意活动则启动 IR；发现数据覆盖缺口则记录并修复；将成功查询转为 Sigma 格式的 SIEM 检测规则以便跨平台移植。
前提条件：具备 30 天以上遥测保留的 EDR 平台（CrowdStrike Falcon、Microsoft Defender for Endpoint 或 SentinelOne）；可访问 MITRE ATT&CK Navigator；可查询的 SIEM 中有网络流数据（NetFlow、Zeek 或 Suricata 日志）；具备威胁狩猎平台或查询接口（Velociraptor、osquery fleet 或 Splunk ES）。
关键概念与工具：TTP、Diamond Model、Living-off-the-Land、UEBA、Sigma、Hunt Hypothesis；工具包括 Velociraptor、osquery、MITRE ATT&CK Navigator、Zeek、Elastic Security（EQL）、Sigma。
常见陷阱：确认偏误（应记录空结果以验证控制）；数据保留不足（许多 APT 技术需 90 天以上日志）；缺少基线无法识别异常；业务时段对生产 SIEM 的宽泛查询影响分析师工作流，应安排在非高峰；系统性忽略误报，误报率超过 80% 的查询应在运营化前优化或停用。