用途：面向情报归因请求（“谁干的”）、多事件串并、基础设施关联分析，以及从样本/能力推理攻击者。不适用于单个IOC查询、恶意行为判定和司法证据链；仅单角证据时不支撑组织级归因。
主要能力：按钻石模型四角（受害者、基础设施、能力、对手）整理已知/未知信息，两角以上才进入推理；构建基础设施图谱，用whois、证书透明（crt.sh）、dnsx、被动DNS和networkx按共享注册者/证书/NS/ASN聚类，区分度排序为唯一注册邮箱/证书 > 共用NS/ASN > 同托管商；能力与样本归因通过代码复用、TTP对比和时间线对齐，优先唯一性特征；置信度分低/中/高，措辞分别为“关联活动”“疑似同一活动”“高度疑似归属”，不设确认级。
使用方式：准备whois CLI、python-whois、dnsx、crt.sh、Team Cymru ASN查询、MISP或轻量CSV/图文件、networkx。按步骤执行并全程脱敏，产出四角信息表、能力证据表、分级结论与反证清单，报告结构为结论→证据链→置信度依据→反证与未决项→方法边界。
限制：注册信息可能因隐私保护匿名；共享托管/跳板不能作为归属证据；工具类证据仅作弱证据；无证据不等于排除；时间戳可能被反取证；结论不能直接作为司法证据；对外口径需与内部结论分层。