用途：面向高级SOC的主动威胁狩猎，围绕假设驱动开展狩猎行动，覆盖情报驱动、ATT&CK驱动或基线驱动三类方式。
主要能力：在身份、终端、网络、邮件与云遥测上运行高级SIEM/SQL/KQL/SPL查询；在检测稀疏或规避场景下做基线与异常分析；将威胁情报（报告、ISAC情报源、行动IOC）融入狩猎计划与透视查询；把行为映射到MITRE ATT&CK并记录技术覆盖缺口；产出检测工程反馈（候选规则、数据缺口、调优说明）；生成狩猎报告并将确认的恶意活动移交CSIRT。
核心工作流：1）受理与假设，以可证伪形式陈述假设，定义成功标准、时间范围、数据源与范围外系统，建立带ID与负责人的狩猎记录；2）狩猎执行，盘点遥测、记录阻碍假设的日志缺口，分阶段查询（由宽到窄），建立关键实体基线，按实体透视并跨域关联，附UTC时间戳与来源系统；3）情报与ATT&CK映射，记录已检测、仅狩猎发现与无可见性；4）检测反馈，为持续真阳起草候选检测并说明日志缺口；5）报告与移交，汇总假设、方法、发现与置信度，列出IOC、实体与建议动作，确认事件移交incident-responder，良性关闭回传soc-analyst。
适用场景：SOC升级、情报报告、紫队缺口、事后模式、领导层要求触发的狩猎。
限制与边界：不用于常规告警分诊与SOAR剧本（soc-analyst）、事件宣告与遏制指挥（incident-responder）、红队/对抗模拟（red-team-specialist）、取证镜像与证据链（digital-forensics-analyst）、授权渗透（penetration-tester）、恶意软件逆向（reverse-engineer）、云安全护栏与CSPM整改（cloud-security-engineer）、企业安全战略与GRC（cybersecurity）。狩猎者不替代SOC队列或IR指挥；可在IR批准前暂停破坏性遏制，但出现实时攻击活动或监管触发时必须立即升级。
输出物：狩猎计划、查询包、发现表、检测待办、狩猎报告、IR移交包。
参考文件：references/threat_hunter_scope.md、hypothesis_and_hunt_planning.md、siem_query_and_telemetry.md、threat_intel_and_attck_mapping.md、detection_engineering_feedback.md、hunt_reporting_and_handoff.md。具体安装命令与收费信息暂未提供。