用途：在 Windows 环境中主动狩猎基于注册表的持久化机制（对应 MITRE T1547），适用于威胁情报提示相关攻击活动、事件响应中界定影响范围、EDR/SIEM 告警触发，以及定期安全评估与紫队演练。
主要能力：覆盖 T1547.001 注册表 Run 键、T1547.004 Winlogon Helper DLL、T1546.012 IFEO 注入、T1546.015 COM 劫持等子技术；结合 EDR 与 SIEM 遥测执行检测查询，关联多数据源识别异常，区分误报并串联更广泛的攻击链与攻击者 TTP。
使用方式：先基于威胁情报或 ATT&CK 差距分析提出可验证假设，确定所需日志与遥测，再在 SIEM 与 EDR 平台执行检测查询，分析结果并做上下文验证，最后关联活动、记录发现、更新检测规则并给出响应建议。
前置条件：具备进程与网络遥测的 EDR（如 CrowdStrike、MDE、SentinelOne）、已接入相关日志的 SIEM（Splunk、Elastic、Sentinel）、全面配置的 Sysmon、Windows 安全事件日志转发，以及用于 IOC 关联的威胁情报源。
工具与系统：CrowdStrike Falcon、Microsoft Defender for Endpoint（KQL 高级狩猎）、Splunk Enterprise（SPL）、Elastic Security、Sysmon、Velociraptor、Sigma 规则。
常见场景：恶意软件添加 HKCU Run 键实现用户级持久化；攻击者修改 Winlogon Shell 实现系统级持久化；IFEO 调试器注入实现辅助功能后门；COM 对象 InprocServer32 劫持加载 DLL。
输出格式：包含 Hunt ID、Technique、Host、User、Evidence、Risk Level、Confidence、Recommended Action 等字段。
限制：资料未提供具体检测查询语句、Sigma 规则内容、安装命令、收费与价格信息，也未说明支持的具体平台版本或效果保证，相关细节暂未提供。