用途：围绕命令与控制活动（T1071）开展假设驱动的威胁狩猎，主动发现环境中的异常网络连接，也用于威胁情报指向相关技战术之后、事件响应范围界定、EDR/SIEM 告警触发后以及定期安全评估和紫队演练。
主要能力：查询 SIEM/EDR 网络遥测，寻找异常出站流量、罕见连接；覆盖 T1071 应用层协议、T1095 非应用层协议、T1571 非标准端口等概念；跨数据源关联分析并区分真实与误报，将发现关联到更广泛的攻击链与威胁行为者 TTP，最后记录发现、更新检测规则并给出响应建议。
使用方式：先基于威胁情报或 ATT&CK 差距分析提出可验证假设；确定验证所需日志与遥测；对 SIEM 和 EDR 平台执行检测查询收集事件；分析结果并在多数据源间关联异常；通过上下文分析验证发现；关联攻击活动；记录并报告。输出格式含 Hunt ID（TH-HUNTIN-[DATE]-[SEQ]）、Technique（T1071）、Host、User、Evidence、Risk Level、Confidence 与 Recommended Action。
所需条件：具备进程与网络遥测的 EDR（如 CrowdStrike、MDE、SentinelOne）；已接入相关日志的 SIEM（Splunk、Elastic、Sentinel）；Sysmon 全面配置部署；启用 Windows 安全事件日志转发；用于 IOC 关联的威胁情报源。常见工具还包括 Velociraptor 与 Sigma 规则。
常见场景：后门通过非标准端口与 C2 通信；通过 DNS 向攻击者域名服务器外泄数据；受感染主机扫描内网；挖矿程序连接矿池。
限制：具体查询语句、配置细节与检测规则内容暂未提供；需依赖已有遥测与日志覆盖，结果需人工上下文验证以降低误报。