Threat Hunting & Detection Engineering

ACTION REQUIRED（读完后立刻执行）

1. NOW: 确认蓝队/狩猎授权与数据源范围（SIEM、EDR 导出）
2. NOW: 明确假说（hypothesis）再查数，避免无脑刷告警
3. NEXT: 工具与数据接入方式
4. ACT: 假说 → 查询 → 验证 → 规则化

适用场景

• 威胁狩猎（hypothesis-driven）
• Sigma / YARA 检测工程
• 告警调优、误报分析
• 与 malware-analysis/：样本侧 IOC → 本 skill 落地检测
• 与 digital-forensics/：案件伪影 → 横向狩猎

工作流