用途：在事件后分析中判断攻击者沿攻击序列推进到哪一阶段，设计分层防御以尽早打断攻击，并生成面向非技术干系人的威胁情报报告。官方提示不要单独使用该框架，应结合 MITRE ATT&CK 获得技术级粒度。
主要能力：将观测到的攻击行为映射到七个阶段——侦察、武器化、投递、利用、安装、命令与控制（C2）、目标行动；建立阶段矩阵，标注各阶段是否完成及检测点；将各阶段映射到 ATT&CK 战术（如投递→初始访问 TA0001、利用→执行 TA0002、安装→持久化 TA0003 与提权 TA0004、C2→TA0011、目标行动→外泄 TA0010 与影响 TA0040）；为每阶段列出检测、拒绝、中断、降级、欺骗、摧毁六类防御行动（COA）；最终产出包含攻击叙事、逐阶段证据、检测点分析、按成本效益排序的防御建议和控制改进路线图的报告。
使用前提：完整的带取证工件的事件时间线、MITRE ATT&CK 企业矩阵、疑似攻击者组织的威胁情报、响应团队的事件报告或 IR 时间线。
工具：MITRE ATT&CK Navigator、Elastic Security EQL、Splunk ES、MISP。
限制与常见误区：攻击者未必线性推进，可能跳过或回退阶段；阶段 1、2 发生在防御方可见范围之外，需依赖 OSINT 与威胁情报；该框架面向外部攻击者，内部威胁可能直接进入阶段 7；七阶段杀伤链与 14 项 ATT&CK 战术互补但不等价，需保持区分。具体安装命令与代码示例资料未提供。