用途：面向 SOC 团队的主动威胁狩猎技能，用于查找现有检测规则未捕获的威胁，验证威胁情报中的新 TTP，以及在红队演练暴露检测缺口后开发狩猎查询。不适用于实时告警分诊。
前置条件：Elastic Security 8.x+ 且 Kibana 中启用 Security 应用；通过 Elastic Agent（Endpoint Security 集成）或 Beats（Winlogbeat、Filebeat、Packetbeat）摄取数据；数据按 Elastic Common Schema（ECS）规范化；用户角色具备 kibana_security_solution 和相关索引读取权限；具备 MITRE ATT&CK 框架知识。
工作流：先基于情报、ATT&CK 技术或异常制定狩猎假设并定义数据源、时间范围与预期指标；在 Kibana Discover 中用 KQL 查询，用 EQL 检测多步攻击序列（如父子进程异常、凭据转储、PsExec 横向移动）；在 Security > Timelines 创建时间线协作分析并固定关键事件、添加调查笔记；将成功的狩猎查询转为 Elastic 检测规则，可通过 API 部署：curl -X POST "https://kibana:5601/api/detection_engine/rules"；用聚合查询可视化发现；最后记录狩猎报告、更新检测覆盖与 ATT&CK Navigator 层。
关键概念：KQL（Kibana 查询语言）、EQL（事件查询语言）、ECS（Elastic 通用架构）、Timeline、假设驱动狩猎、LOLBins。
常见场景：LOLBin 滥用、持久化机制、C2 信标、数据暂存、账户操纵。输出为结构化威胁狩猎报告。具体收费、价格和平台细节暂未提供。