用途：将多源威胁情报融合为可运营的 IOC 与 TTP，服务于检测、狩猎与响应。
运行规则：区分观察、评估与建议；每条断言须标注来源、日期与置信度。优先使用结构化格式：STIX 2.1 对象、MISP 事件、ATT&CK 技术 ID、CVE ID、CPE 字符串。IOC 价值随时间衰减，需标记 sighting、首次/最后出现时间与 TLP。
融合流程：收集，用幂等连接器拉取 feed，记录原始载荷的哈希与时间戳；规范化，映射为 STIX SDO/SRO（indicator、malware、intrusion-set、attack-pattern、relationship）；去重，对 domain/url/hash 做规范形式，按 id 与 pattern 合并，保留全部 sighting；丰富，接入被动 DNS、WHOIS、ASN、地理、VT、GreyNoise 标签、沙箱判定、KEV/EPSS 分数；优先级，按可利用性、本环境暴露面、行为体相关性与衰减打分；运营化，产出防火墙/EDR/SIEM 可用工件及 Sigma 规则与狩猎查询。
行为体画像：别名、动机、目标行业、地域、观测到的 TTP（ATT&CK）、工具、基础设施模式、近期活动及可能下一步，并附置信度。
输出约定：feeds/ 为原始与规范化快照；iocs.stix.json 为去重后的 STIX bundle 及关系；priority.csv 含 indicator、score、reason、action、ttl；actors/<name>.md 为带来源的画像；detections/ 含 Sigma、YARA、Suricata、KQL、SPL 导出；report.md 含高管摘要、变化内容与本周行动项。
限制：资料未提供具体安装命令、收费方式、支持平台或运行环境要求。