building-attack-pattern-library-from-cti-reports

用途：将 CTI 报告中的自然语言描述转化为结构化的攻击模式库。主要能力包括：从报告中提取行为动词、工具与恶意软件名称、基础设施指标，并映射到 ATT&CK 技术 ID；创建 STIX 2.1 Attack Pattern 对象，关联战术、恶意软件与工具；按战术、技术、威胁行为者建立可检索库；基于已记录模式生成 Sigma 等检测规则模板。使用方式：需 Python 3.9+ 及 stix2、mitreattack-python、spacy、requests 库，准备 PDF/HTML/文本格式的 CTI 报告与 MITRE ATT&CK STIX 数据。流程为解析报告提取行为、映射 ATT&CK 技术、构建 STIX 库并导出、生成检测模板。适用场景：部署或配置该能力、建立符合合规要求的安全控制、改进该领域安全架构、开展需要此实现的安全评估。限制：资料未提供具体收费、价格、平台支持范围与效果数据；实际映射准确度依赖报告质量与关键词覆盖，需人工校验。