用途：面向蓝队进行主动威胁狩猎与检测工程，通过假设驱动的方式在遥测数据中寻找对手活动，并编写、验证检测规则。
主要能力：Sigma / YARA 检测工程；SIEM 查询设计；告警调优与误报分析；将样本侧 IOC 落地为检测；从取证案件伪影开展横向狩猎。
工作流与用法：先建立假说，例如攻击者使用 living-off-the-land 横向移动，确定数据源（Sysmon 1/3/10、Windows Security 4624/4648）与成功标准；再进行查询与堆叠，包括基线、异常与关联分析；随后规则化，强调误报面、数据源字段映射与响应 playbook 链接；最后验证，可在授权实验室使用 Atomic Red Team 进行原子测试，或回放历史日志验证召回。
工具链：Sigma CLI / sigmac 用于规则转换，YARA 用于文件与内存，SIEM（ELK/Splunk 等）用于查询，osquery 用于端点狩猎，Atomic Red Team 用于检测验证（仅限实验室）。
适用场景：威胁狩猎、Sigma/YARA 检测工程、告警调优与误报分析，可与 malware-analysis、digital-forensics 技能衔接。
限制与注意：检测质量受假说质量约束，弱遥测导致弱狩猎；规则调优是持续过程，初期会有误报；禁止在无授权的生产环境运行攻击模拟。官方未提供收费、价格与平台信息。