用途：本技能覆盖网络威胁情报（CTI）端到端生命周期管理，包括规划与方向、收集、处理、分析、传播和反馈六个阶段。适用于建立正式CTI项目并定义运营模式、与业务相关方开展季度情报需求评审、按FIRST CTI-SIG成熟度模型评估项目成熟度。日常IOC分诊或特定事件情报任务应使用运营情报工作流，不用本技能。
前提条件：需要高管赞助和明确的CTI团队结构（至少1名专职分析员）、标明情报消费方（SOC、IR、高管团队、漏洞管理）的相关方地图、现有订阅源或ISAC会员资格作为收集基线，以及用于生命周期管理的CTI平台（MISP、ThreatConnect、OpenCTI）。
主要能力与流程：第一步规划与方向，与SOC负责人、IR团队、CISO、风险管理和产品安全方访谈，用结构化格式文档化优先情报需求（PIR），每季度确定5至10个PIR并每月复审。第二步收集规划，将PIR映射到技术来源（商业源、TAXII、ISAC数据、蜜罐遥测、暗网监控）、人力来源（厂商威胁简报、行业工作组、执法合作）和内部来源（SIEM日志、EDR遥测、钓鱼提交邮箱），并记录收集缺口及成本。第三步处理与规范化，实施自动管道：摄取→规范化为STIX 2.1→去重→富化→置信度评分，分析前剔除不可验证或重复指标，标注来源、收集日期和过期时间。第四步分析与产出，按战略（面向高管，季度威胁态势）、运营（面向安全领导层，周度活动报告）、战术（面向SOC，每日IOC通告）三级产出，并应用竞争假设分析、关键假设检查、魔鬼代言人等结构化分析技术。第五步传播，按受众匹配格式：高管用含风险评级与业务影响的一页PDF，SOC分析员用SIEM就绪的IOC列表、Sigma规则、MISP事件，漏洞管理用含EPSS分数与利用可能性的CVE列表，IT/安全领导层用含技术附录的完整报告，并按产品类型应用TLP分类和分发列表。第六步反馈与评估，传播后5个工作日内收集反馈，季度跟踪PIR覆盖率、IOC真阳性率、传播时效、相关方满意度等指标。
工具与系统：ThreatConnect（内置生命周期工作流、PIR跟踪和相关方报告仪表板）、MISP（开源TIP，支持从收集到共享的生命周期）、OpenCTI（基于图谱的CTI平台，含情报产品工作流管理）、Recorded Future（商业平台，提供与生命周期对齐的结构化情报报告）。
常见陷阱：无方向的收集、缺少反馈回路、仅关注战术情报、没有指标项目、收集资金不足。
限制：官方文本未提供，具体实施成本、部署方式、价格等信息暂未提供。