用途：面向 SOC 与安全团队，用 MITRE ATT&CK 框架开展威胁建模，把相关威胁行为者的 TTP 映射到组织资产，评估现有检测规则覆盖情况并识别盲区，用于威胁导向的防御优先级排序、云迁移或 OT 集成的检测策略规划、紫队对抗模拟设计以及年度风险评估。
主要能力：识别针对本行业的攻击者组织并提取其使用技术；生成 ATT&CK Navigator 图层展示威胁画像；从检测规则（如 Splunk ES 关联搜索）提取 ATT&CK 技术映射并生成覆盖层；将威胁 TTP 与覆盖叠加做缺口分析，按杀伤链阶段与技术优先级排序；输出分阶段的检测工程整改路线图；最后用 Atomic Red Team 或 MITRE Caldera 做对抗模拟验证覆盖。
使用方式：需具备 ATT&CK 矩阵知识、ATT&CK Navigator、已映射技术 ID 的检测规则清单、针对本行业的威胁情报和带关键性分级的资产清单。流程分六步：识别相关攻击者、构建 TTP 画像（create_attack_layer 生成图层 JSON）、映射当前检测覆盖（create_coverage_layer）、执行 gap_analysis 计算覆盖率与缺口、制定 30/60/90 天优先整改计划、用 Invoke-AtomicTest 验证。
适用场景：年度威胁评估、云迁移检测规划、并购安全评估、预算论证、紫队演练规划。
限制：不应作为一次性演练，威胁模型须随攻击者 TTP 演变与攻击面变化持续更新。文中未提供工具收费、许可与具体部署成本信息。