用途：为组织建立对暗网论坛、市场、粘贴站点和勒索软件泄露站点的持续监控，发现涉及组织域名、高管姓名、产品品牌、凭证泄露或计划攻击的提及，并用于数据泄露声明调查和事件上下文补充。
主要能力：通过商业暗网监控服务（Recorded Future、Flashpoint、Intel 471、Cybersixgill）配置关键词监控；对粘贴站点进行 API 检索；调查勒索软件泄露站点声明；监控凭证泄露（Have I Been Pwned Enterprise、SpyCloud、Flare Systems）；对发现进行证据留存、严重性分级（P1/P2/P3）和按 SLA 上报。
必要用法：需具备商业暗网监控服务、隔离操作环境（Whonix 或 Tails 虚拟机、无持久存储）、关键词监视列表（域名、高管姓名、产品名、IP 范围、已知凭证）以及确认被动监控合法的法律意见。手动调查时仅通过 Tor Browser 访问，使用与组织无关的掩护身份，绝不使用真实凭证登录。粘贴站点检索示例：curl "https://psbdmp.ws/api/search/company.com" | jq '.data[].id'。
适用场景：建立持续监控、调查勒索软件泄露站点或粘贴站点上的泄露声明、为事件调查补充被盗凭证或计划攻击背景。
限制：缺少适当 OPSEC 时不得使用；直接访问暗网可能暴露分析师基础设施；需法律审查，被动监控通常合法但主动参与犯罪市场不合法；暗网内容消失快，须立即留存带时间戳证据；未经验证的攻击声明可能为虚构，需核实后再升级。