用途：该技能用于主动狩猎供应链攻击（T1195）相关迹象，适用于威胁情报提示存在活跃攻击活动、事件响应中界定影响范围、EDR/SIEM 触发相关告警，以及定期安全评估和紫队演练等场景。
主要能力：围绕 T1195.001（软件依赖被污染）、T1195.002（软件供应链被污染）和 T1199（可信关系）等概念，按假设驱动流程执行狩猎：提出可验证假设、确定所需日志与遥测、在 SIEM/EDR 上执行检测查询、分析异常并跨数据源关联、区分误报、关联更广泛攻击链与攻击者 TTP，最后记录发现、更新检测规则并给出响应建议。
使用方式：需具备 EDR 平台（CrowdStrike、MDE、SentinelOne）、已接入相关日志的 SIEM（Splunk、Elastic、Sentinel）、全面配置的 Sysmon、Windows 安全事件日志转发以及用于 IOC 关联的威胁情报源。可结合 CrowdStrike Falcon、Microsoft Defender for Endpoint（KQL）、Splunk Enterprise（SPL）、Elastic Security、Sysmon、Velociraptor 和 Sigma 规则等工具。
典型场景：SolarWinds 式更新机制被污染、npm/PyPI 包被植入后门、构建服务器被篡改后部署恶意产物、供应商 VPN 软件更新投递恶意软件。
输出格式：包含 Hunt ID、Technique、Host、User、Evidence、Risk Level、Confidence 和 Recommended Action 等字段。
限制：资料未提供具体检测查询语句、安装命令、收费信息或平台兼容性细节，实际使用需依赖已有 EDR/SIEM 环境与日志数据。