用途：面向威胁情报与检测工程，使用 MITRE ATT&CK Navigator 对 APT 组织的 TTP 进行可视化与缺口分析。
主要能力：通过 attackcti 等库程序化查询 ATT&CK 数据，获取组织（如 G0016 APT29、G0007 APT28、G0032 Lazarus）使用的技术；生成 Navigator 图层 JSON（layer 4.5，支持 enterprise-attack 等域及平台过滤）；叠加多层图层比较多个 APT 组织的共有与独有技术；将组织技术与现有检测能力对比，输出检测缺口图层（绿=已检测，红=缺口）；按 14 个战术做技术分解。
使用方式：需 Python 3.9+ 及 attackcti、mitreattack-python、stix2、requests；使用 ATT&CK Navigator 网页版或本地部署。典型流程为：用 attack_client 查询组织技术并提取 mitre-attack 外部 ID、战术、平台、数据源；调用 create_navigator_layer 生成图层并写入 JSON；用集合运算比较多个组织；用 detected_techniques 集合计算覆盖率与缺口并生成缺口图层；按战术顺序输出分解结果。
适用场景：威胁情报分析、检测工程优先级排序、红蓝对抗复盘、多组织 TTP 对比。
限制：需理解 ATT&CK Enterprise 矩阵（14 战术、200+ 技术及子技术）与 STIX 2.1 Intrusion Set、Attack Pattern 对象；需可访问威胁情报报告或 MISP/OpenCTI 数据；资料未提供具体收费、平台支持范围或效果保证，实际结果取决于数据源与检测清单的准确性。