本技能围绕 MITRE ATT&CK 框架，提供对威胁行为者 TTP（战术、技术与程序）进行系统化分析与映射的流程。
用途 用于在安全事件调查中分析威胁行为者的 TTP，构建检测规则或威胁狩猎查询，为 SOC 分析师提供结构化分析程序，并验证相关攻击技术的安全监控覆盖情况。
主要能力
- 通过 attackcti 客户端程序化查询 ATT&CK 数据（企业技术、威胁组织、特定组织所用技术）。
- 将威胁行为者映射到 ATT&CK 技术，并记录技术 ID、名称、战术和描述。
- 生成 ATT&CK Navigator 图层 JSON，用于可视化威胁组织 TTP 覆盖（含技术 ID、颜色、评论、评分、元数据、渐变图例等字段）。
- 识别检测缺口：对比行为者技术与已有检测能力，计算覆盖与缺口比例，列出未检测技术。
- 跨组织技术对比：比较多个威胁组织（如 APT29、APT28、Lazarus Group）的技术集合，找出共同技术与各自独有技术。
使用方式 技能以 Python 代码示例展示各步骤，使用 attackcti 的 attack_client 查询数据，使用 json 生成和保存 Navigator 图层文件。示例覆盖：查询企业技术与威胁组织、映射 APT29 所用技术、生成并保存 Navigator 图层、进行检测缺口分析、执行跨组织技术对比。技能还给出验证标准，要求 ATT&CK 数据成功查询、威胁行为者映射到具体技术并附程序示例、Navigator 图层 JSON 有效且正确渲染、检测缺口分析识别出未监控技术、跨组织对比揭示共享与独有 TTP，并且输出可用于检测工程优先级排序。
适用场景 适用于安全事件调查、检测工程、威胁狩猎、SOC 分析流程制定，以及安全监控覆盖验证。相关矩阵涵盖 Enterprise、Mobile 和 ICS。
前置条件与限制 需要 Python 3.9+ 及 mitreattack-python、attackcti、stix2 库；需要 MITRE ATT&CK Navigator（基于 Web 或本地部署）；需要理解 ATT&CK 矩阵结构（战术、技术、子技术）；需要可访问威胁情报报告或 MISP/OpenCTI 以获取威胁行为者数据；需要熟悉 STIX 2.1 Attack Pattern 对象。其他具体限制暂未提供。
参考 MITRE ATT&CK、ATT&CK Navigator、attackcti Python 库、ATT&CK STIX 数据、ATT&CK Groups。