用途：检测进程注入技术（MITRE ATT&CK T1055），此类技术允许攻击者在其他进程地址空间执行代码，以实现防御规避和权限提升。该技能通过 Sysmon 事件 ID 8（CreateRemoteThread）、事件 ID 10（ProcessAccess 可疑访问权限）以及源-目标进程关系分析，区分合法与恶意注入。
适用场景：调查需要狩猎进程注入技术的安全事件；构建该领域的检测规则或威胁狩猎查询；SOC 分析师需要结构化分析流程；验证相关攻击技术的安全监控覆盖。
前提条件：安装 Sysmon 并启用事件 ID 8 和 10；具备进程创建日志（Sysmon 事件 ID 1 或 Windows 4688）；Python 3.8+ 及标准库；JSON 格式的 Sysmon 事件日志。
步骤：从 JSON 日志文件解析事件 ID 1、8、10；检测 CreateRemoteThread，标记可疑源-目标进程对的事件 ID 8；分析 ProcessAccess 权限，识别带有危险访问掩码（PROCESS_VM_WRITE、PROCESS_CREATE_THREAD）的事件 ID 10；构建进程关系图，映射源到目标的注入关系；过滤已知合法进程对，排除良性注入模式（杀毒软件、调试器、系统进程）；根据源进程、目标进程和访问权限进行注入严重性评分；生成狩猎报告，输出结构化报告并映射 MITRE 子技术。
预期输出：带严重性评分的注入事件 JSON 报告；进程注入关系图；MITRE ATT&CK 子技术映射（T1055.001-T1055.012）；误报排除建议。
限制：资料未提供具体命令、代码示例、收费信息或平台支持细节，暂未提供。