用途：主动狩猎环境中“寄生云服务”（Living Off the Cloud）的滥用迹象，包括利用合法云平台做 C2、数据暂存和外传。适用时机：主动威胁狩猎、威胁情报提示相关活动、事件响应中界定影响范围、EDR/SIEM 告警触发、周期性安全评估与紫队演练。
主要能力：围绕 ATT&CK 技术 T1102（Web Service）、T1567（Exfiltration Over Web Service）、T1537（Transfer Data to Cloud Account）组织狩猎流程。工作流为：提出可验证假设、确定所需日志与遥测、在 SIEM/EDR 执行检测查询、分析异常并跨源关联、区分真假阳性、关联更大攻击链与 TTP、记录发现并更新检测规则和响应建议。
工具与系统：CrowdStrike Falcon（EDR 遥测与威胁检测）、Microsoft Defender for Endpoint（KQL 高级狩猎）、Splunk Enterprise（SPL 日志分析）、Elastic Security（检测规则与调查时间线）、Sysmon（Windows 事件监控）、Velociraptor（端点取证采集）、Sigma Rules（跨平台检测规则格式）。
前置条件：具备进程与网络遥测的 EDR；已接入相关日志的 SIEM；部署完整配置的 Sysmon；启用 Windows 安全事件日志转发；用于 IOC 关联的威胁情报源。
常见场景：通过 Discord webhook 下发命令的 C2；向 Telegram Bot API 外传数据；恶意软件用 Azure Functions 做动态 C2；将被窃数据暂存于 Google Docs 或 Notion 页面。
输出格式：Hunt ID、Technique、Host、User、Evidence、Risk Level、Confidence、Recommended Action。
限制：资料未提供具体检测查询语句、规则内容、部署步骤、收费与平台支持细节，暂未提供。