用途：用于事后事件分析，判断攻击者在攻击序列中推进到哪一阶段；设计分层防御控制，力求在最早阶段中断攻击；生成向非技术方沟通攻击进展的威胁情报报告。该技能不应作为独立框架单独使用，需结合 MITRE ATT&CK 以获得超出七阶段框架的技术级粒度。
前提条件：包含取证痕迹并映射到具体攻击者动作的完整事件时间线；用于阶段内技术映射的 MITRE ATT&CK Enterprise 矩阵；疑似攻击者组织典型杀伤链推进的外部威胁情报；响应团队的事后报告或 IR 时间线。
工作流：
- 将观察到的动作映射到七阶段（侦察、武器化、投递、利用、安装、命令与控制、目标行动），每阶段给出指标示例。
- 建立阶段矩阵，标注完成情况与检测点，对未检测即完成的阶段记录防御控制缺口。
- 映射到 MITRE ATT&CK 战术（如投递→初始访问 TA0001，利用→执行 TA0002，安装→持久化 TA0003 与提权 TA0004，C2→命令与控制 TA0011，目标行动→泄露 TA0010 与影响 TA0040），并枚举观察到的具体技术。
- 为每阶段确定防御行动方案（COA）：detect、deny、disrupt、degrade、deceive、destroy。
- 输出报告：攻击叙事（阶段时间线）、逐阶段分析与证据、检测点分析、按成本效益排序的逐阶段建议、控制改进路线图。
工具与系统：MITRE ATT&CK Navigator、Elastic Security EQL、Splunk ES、MISP。
常见陷阱：假设线性推进（攻击者可能跳过或回退阶段）；忽视侦察与武器化阶段（发生在防御者可见范围之外，需 OSINT 与威胁情报）；遗漏内部威胁（该模型针对外部攻击者）；将七阶段与 ATT&CK 战术混淆。价格、收费与更多细节暂未提供。