用途：在安全事件调查或威胁狩猎中，检测攻击者在数据外传前将收集到的文件集中暂存的行为（MITRE ATT&CK T1074）。
主要能力：检测 7z.exe、rar.exe、tar、zip、WinRAR 等归档工具的进程创建及压缩参数；标记对回收站、%TEMP%、ProgramData、隐藏目录等常见暂存位置的写入；识别多文件读取后统一写入单目录的归集模式；跟踪文档目录、数据库路径和网络共享的批量读取；分析归档文件大小、创建时间和来源路径；结合归档大小、来源多样性、暂存路径可疑度与时序进行启发式风险评分；生成含时间线和 ATT&CK 映射的结构化报告。
使用方式：需具备含进程创建与文件系统事件的 EDR 或 Sysmon 遥测、Windows 事件日志（4688）或 Sysmon 事件 ID 1、11、Python 3.8+ 标准库，以及 JSON/CSV 格式的进程创建日志。流程为：检测归档工具执行、识别暂存目录、检测大文件归集、监控敏感路径访问、分析归档元数据、评分、生成报告。
预期输出：检测到的暂存事件 JSON 报告及风险评分、归档创建时间线与来源文件分析、ATT&CK 映射（T1074.001、T1074.002、T1560）、显示可疑写入活动的暂存目录热图。
限制：官方文档未提供具体安装命令、代码实现或许可信息，暂未提供。