用途
本技能面向威胁情报与安全运营场景，核心目标是把高级持续性威胁（APT）组织的战术、技术与程序（TTP）映射到 MITRE ATT&CK 框架中。通过 attackcti Python 库查询 ATT&CK 的 STIX/TAXII 数据，结合 MITRE ATT&CK Navigator 的可视化能力，分析师可以程序化地生成 Navigator 图层文件，用于标注特定威胁组织的 TTP、对比多个组织，并评估针对已知对手的检测覆盖缺口。
主要能力
- 使用 attackcti 查询 ATT&CK STIX 数据，定位目标威胁组织。
- 通过 STIX 关系提取与该组织关联的技术。
- 生成带技术标注的 ATT&CK Navigator 图层 JSON。
- 叠加检测覆盖信息，识别覆盖缺口。
- 导出图层供团队评审与防御规划使用。
使用方式
技能给出的操作步骤为：
- 使用 attackcti 查询目标威胁组织的 ATT&CK STIX 数据。
- 通过 STIX 关系提取与该组织关联的技术。
- 生成带技术标注的 ATT&CK Navigator 图层 JSON。
- 叠加检测覆盖以识别缺口。
- 导出图层供团队评审与防御规划。
前置条件包括：Python 3.8+，并安装 attackcti 与 stix2 库；具备 MITRE ATT&CK Navigator（Web UI 或本地实例）；理解 STIX 2.1 对象与关系。
预期输出示例为 Navigator 图层 JSON，包含名称、域（如 enterprise-attack）以及技术列表，每条技术含 techniqueID、score 与 comment 字段，例如 T1566.001（Spearphishing Attachment）与 T1059.001（PowerShell）。
适用场景
- 调查需要分析威胁组织 TTP 的安全事件。
- 为该领域构建检测规则或威胁狩猎查询。
- SOC 分析师需要针对此类分析的结构化流程。
- 验证相关攻击技术的安全监控覆盖情况。
限制
资料未提供关于收费、价格、平台支持范围、实际效果或额外使用步骤的信息，暂未提供。