用途：该技能用于对卷影副本删除（Volume Shadow Copy Deletion，ATT&CK T1490 Inhibit System Recovery）进行假设驱动的威胁狩猎。适用于主动排查环境中相关迹象、威胁情报提示存在使用该技术的活动、事件响应中界定影响范围、EDR/SIEM 触发相关告警，以及定期安全评估与紫队演练。
主要能力：围绕 vssadmin、wmic shadowcopy 与 PowerShell 等删除卷影副本的行为，查询 SIEM/EDR 遥测；结合 T1486（数据加密以造成影响）、T1485（数据破坏）等关联技术进行上下文分析；区分真阳性与假阳性，并将发现关联到更广泛的攻击链与威胁行为者 TTP。
使用方式：按工作流执行——制定可检验假设、确定所需日志与遥测数据源、对 SIEM 与 EDR 平台执行检测查询、分析结果并跨数据源关联、验证发现、关联活动、记录并报告。输出格式包含 Hunt ID、Technique（T1490）、Host、User、Evidence、Risk Level、Confidence 与 Recommended Action。
前提条件：具备进程与网络遥测的 EDR 平台（如 CrowdStrike、MDE、SentinelOne）；已摄取相关日志的 SIEM（如 Splunk、Elastic、Sentinel）；部署了完整配置的 Sysmon；启用 Windows 安全事件日志转发；用于 IOC 关联的威胁情报源。
工具与系统：CrowdStrike Falcon、Microsoft Defender for Endpoint（KQL 高级狩猎）、Splunk Enterprise（SPL）、Elastic Security、Sysmon、Velociraptor、Sigma 规则。
常见场景：勒索软件在加密前删除卷影副本；加密前执行 vssadmin delete shadows /all /quiet；通过 PowerShell 执行 WMIC shadowcopy delete；影响前用 bcdedit 禁用恢复模式。
限制：资料未提供具体检测查询语句、规则内容、部署步骤、收费与价格信息，也未说明支持平台之外的兼容性；实际效果取决于遥测覆盖与日志质量。