用途：主动狩猎环境中鱼叉式钓鱼活动的指标，适用于威胁情报提示存在活跃攻击、事件响应中界定影响范围、EDR 或 SIEM 触发相关告警，以及定期安全评估与紫队演练。
主要能力：围绕 ATT&CK 技术 T1566.001（钓鱼附件）、T1566.002（钓鱼链接）、T1566.003（通过服务钓鱼）组织狩猎，流程为：提出可验证假设、确定所需日志与遥测、在 SIEM 与 EDR 上执行检测查询、跨数据源关联分析异常、区分误报与真实命中、将发现关联到更广攻击链与攻击者 TTP、记录发现并更新检测规则与响应建议。
涉及工具与系统：CrowdStrike Falcon（EDR 遥测与威胁检测）、Microsoft Defender for Endpoint（KQL 高级狩猎）、Splunk Enterprise（SPL 日志分析）、Elastic Security（检测规则与调查时间线）、Sysmon（Windows 事件监控）、Velociraptor（终端取证采集与狩猎）、Sigma Rules（跨平台检测规则格式）。
前置条件：具备进程与网络遥测的 EDR 平台、已接入相关日志的 SIEM、完整配置的 Sysmon、启用 Windows 安全事件日志转发、用于 IOC 关联的威胁情报源。
常见场景：启用宏的 Excel 执行 PowerShell 下载器；HTML 走私投递含 LNK 载荷的 ISO；伪装成 SharePoint 通知的凭据窃取链接；PDF 附件中的二维码钓鱼。
输出格式：Hunt ID、Technique、Host、User、Evidence、Risk Level、Confidence、Recommended Action。
限制：资料未提供具体查询语句、检测规则内容、部署步骤与效果数据，实际使用需结合自身环境与工具配置。