用途：把观测到的对手行为、安全告警和检测规则映射到 MITRE ATT&CK 技术与子技术，生成覆盖热力图，量化检测栈覆盖情况，并据此定位检测盲区、规划安全建设路线。适合事后检测分析或威胁狩猎规划，不适合实时事件处置。
主要能力：支持按企业、移动、ICS 矩阵下载 ATT&CK STIX 数据并用 mitreattack-python 查询技术与攻击组织；为 Sigma、Splunk、Sentinel KQL 等检测规则打上 ATT&CK 技术 ID 标签；构建覆盖矩阵，将每项技术标记为 Detected（告警）、Logged（仅记录）、Blind（无数据源）；结合攻击组织数据对盲区排优先级；导出 ATT&CK Navigator JSON 图层实现热力图可视化；输出按战术分类的覆盖统计与 Top 10 盲区技术清单。
必要用法：下载 STIX 包，例如 curl -o enterprise-attack.json https://raw.githubusercontent.com/mitre/cti/master/enterprise-attack/enterprise-attack.json；安装 pip install mitreattack-python；用 MitreAttackData 加载并调用 get_techniques、get_groups、get_techniques_used_by_group 等；Sigma 规则用 attack.t1059.001 形式打标；将得分写入 Navigator 图层 JSON 后导入 ATT&CK Navigator（https://mitre-attack.github.io/attack-navigator/）查看。覆盖得分 0=盲区、50=仅记录、100=告警。
适用场景：生成覆盖热力图、为 SIEM/Sigma 规则批量打标、按攻击组织对齐安全路线图、报告检测盲区。
限制与注意：仅记录某数据源不代表能检测该技术，必须有规则实际触发；只在战术层打标签会妨碍细粒度缺口分析；覆盖父技术不等于覆盖子技术；ATT&CK 每年更新，覆盖图会过时；未映射攻击组织则难以区分定向威胁与通用恶意软件。工具还包括 Atomic Red Team、ATT&CK Workbench、MITRE D3FEND。文档未提供具体收费、价格与平台限制信息。