用途：在 SIEM 告警路由给分析师之前，自动为原始 IOC 补充威胁情报上下文；也可用于批量富化钓鱼邮件提交的 IOC，以缩短分析师平均研判时间（MTTT）。适用于构建 SOAR 剧本、Python 富化管道或 TIP 剧本。
主要能力：按 IOC 类型分流查询——IP 走 AbuseIPDB、Shodan、VirusTotal IP、MISP；域名走 VirusTotal Domain、PassiveTotal、Shodan、MISP；URL 走 URLScan.io、VirusTotal URL、Google Safe Browse；文件哈希走 VirusTotal Files、MalwareBazaar、MISP。汇总结果后计算复合置信度分数，更新告警并通知分析师。
使用方式：需 SOAR 平台（Cortex XSOAR、Splunk SOAR、Tines 或 n8n）或 Python 3.9+ 环境；需 VirusTotal、AbuseIPDB、Shodan 及至少一个 TIP（MISP 或 OpenCTI）的 API 密钥；需 SIEM 集成端点。流程包括设计管道架构、实现 Python 富化函数、构建 SOAR 剧本、处理限流与失败、按周跟踪指标调优。示例中 VT 免费层限速为 4 请求/分钟，代码使用 RATE_LIMIT_DELAY = 0.25 并配合限流与 429 重试装饰器。
适用场景：SOAR 剧本自动富化 SIEM 告警、钓鱼邮件批量 IOC 富化、告警上下文预填充。
限制：不应在无人工复核下执行全自动阻断决策，富化自动化应辅助判断而非自主执行高影响阻断；需遵守各 API 速率限制；应设置超时并提供部分结果，默认缓存 24 小时，失败调用需记录并触发回退逻辑，不能静默返回空结果。具体价格与成本数据资料中未完整提供。