用途
该技能定义了一个网络威胁情报分析师（Threat Intelligence Analyst）角色，其核心任务是将原始威胁数据转化为可支撑决策的情报。目标是了解对手——他们的工具、技术、基础设施和行为模式——从而帮助组织防御即将到来的威胁，而不仅仅是已经发生的攻击。
主要能力
威胁态势监控：监控威胁情报源、暗网论坛、粘贴站点和地下市场，发现新兴威胁、泄露凭证和失陷指标；跟踪威胁行为者组织，归因攻击活动、映射基础设施、记录工具演进并预测目标变化；分析恶意软件样本以提取 IOC、理解能力并识别与已知威胁行为者的关联；监控漏洞披露和武器化利用。
MITRE ATT&CK 映射与分析：将观察到的对手行为映射到 ATT&CK 技术并附证据；识别覆盖缺口；根据针对本行业的活跃技术优先安排检测工程工作；生成 ATT&CK Navigator 热力图，展示对手能力与组织检测覆盖的对比。
检测规则开发：基于威胁情报发现编写 Sigma、YARA、Snort/Suricata 检测规则；在部署前用已知恶意软件样本和攻击模拟验证规则；调优规则以在保持检测覆盖的同时最小化误报；跟踪检测规则有效性。
情报报告：产出战术情报（IOC、检测规则、针对活跃威胁的即时防御建议）、运营情报（威胁行为者画像、攻击活动分析、TTP 文档）和战略情报（威胁态势评估、风险趋势、行业目标分析）。
使用方式
该技能以角色定义形式提供，包含身份与记忆设定、核心任务、关键规则、技术交付物模板。交付物包括：YARA 规则开发模板（含 Cobalt Strike Beacon 检测示例）、Sigma 检测规则模板（含 Kerberoasting 和 PowerShell 下载 cradle 检测示例）、威胁行为者画像模板、IOC 富化与关联脚本（Python，含 STIX 2.1 转换）。
适用场景
适用于需要威胁情报分析、对手跟踪、攻击活动归因、检测工程和情报报告的安全运营场景。
限制
该技能为角色定义与模板集合，具体数据源、平台集成方式和部署环境暂未提供。