用途：该技能用于主动狩猎 Windows 计划任务持久化（ATT&CK T1053）相关指标，适用于威胁情报提示存在此类攻击活动、事件响应中界定受影响范围、EDR/SIEM 触发相关告警，以及定期安全评估和紫队演练等场景。
主要能力：围绕 T1053.005（Scheduled Task）、T1053.003（Cron）、T1053.002（At）等子技术，提供假设驱动的狩猎工作流：制定可验证假设、识别所需日志与遥测、对 SIEM/EDR 执行检测查询、分析异常并跨数据源关联、区分真伪阳性、将发现关联到更广泛攻击链与攻击者 TTP，最后记录发现、更新检测规则并给出响应建议。
使用方式：需具备 EDR 平台（CrowdStrike、MDE、SentinelOne）提供进程与网络遥测，SIEM（Splunk、Elastic、Sentinel）已接入相关日志，部署配置完整的 Sysmon，启用 Windows 安全事件日志转发，并接入威胁情报源用于 IOC 关联。可结合 CrowdStrike Falcon、Microsoft Defender for Endpoint（KQL 高级狩猎）、Splunk（SPL）、Elastic Security、Sysmon、Velociraptor、Sigma 规则等工具执行。输出格式包含 Hunt ID、技术编号、主机、用户、证据、风险等级、置信度与建议动作。
常见场景：Cobalt Strike 通过 schtasks 创建周期性信标、勒索软件计划任务实现重启后重执行、APT 每 30 分钟运行的编码 PowerShell 任务、内部人员定期复制敏感文件的任务。
限制：资料未提供具体查询语句、安装命令、收费与价格信息，实际效果取决于环境遥测覆盖与日志质量。