用途：检测攻击者利用 Windows 注册表 Run/RunOnce 键实现开机自启动的持久化行为（MITRE ATT&CK T1547.001）。
主要能力：收集并过滤 Sysmon Event ID 13（RegistryEvent - Value Set）日志，解析 TargetObject、Details、Image 等字段；标记指向临时目录、AppData、ProgramData 的可疑值；识别编码 PowerShell 命令、脚本解释器及 LOLBin（mshta.exe、rundll32.exe、regsvr32.exe、wscript.exe）滥用；与合法自启动基线比对；结合 Event ID 1（进程创建）和 Event ID 11（文件创建）验证载荷创建与执行；输出含 MITRE 映射与严重性评分的 JSON 报告，并生成 Sigma/Splunk 检测规则。
使用方式：需在已安装并配置 Sysmon（记录 Event ID 13 及 Run/RunOnce 注册表规则）的 Windows 系统上运行，依赖 Python 3.9+ 及 json、xml.etree.ElementTree、re 模块，日志可由 Splunk、Elastic、Sentinel 等 SIEM 聚合。步骤包括采集日志、解析事件、标记可疑项、检测编码命令与 LOLBin、基线比对、链式验证、生成报告与检测规则。
适用场景：安全事件调查、威胁狩猎、检测规则构建、SOC 分析流程、安全监控覆盖验证。
限制：需预先部署 Sysmon 并正确配置注册表事件规则；需维护合法自启动基线；具体命令与代码示例暂未提供。