用途：面向网络威胁情报与事件响应，被动收集并综合公开来源情报，围绕威胁行为体、恶意域名/IP、钓鱼活动与外部攻击面进行调查与关联分析。
主要能力：定义情报需求（IR/PIR）；被动 DNS 与 WHOIS 历史查询；通过证书透明度日志（crt.sh）发现子域；使用 Shodan 映射互联网设备与服务、按 ASN/产品特征聚类基础设施；用 Maltego 做图谱化链接分析与枢轴（域名→IP→共享托管→WHOIS→注册邮箱→更多域名）；用 SpiderFoot 自动化关联；监控粘贴站、暗网论坛与 GitHub/GitLab 泄露信息。
必要用法：先明确目标与优先级情报需求及法律授权。示例命令： whois -h whois.arin.net evil-domain.com curl "https://crt.sh/?q=%.evil-domain.com&output=json" | jq '.[].name_value' Shodan 可用 Python 库 apisearch；SpiderFoot 命令行： python sf.py -s evil-domain.com -m sfp_shodan,sfp_virustotal,sfp_passivetotal -o TF -R result.json 所需条件包括：Maltego CE 或商业授权、Shodan API key、熟悉 OSINT Framework、SpiderFoot HX 或开源版。
适用场景：针对本组织的钓鱼基础设施调查、威胁行为体画像补全（WHOIS、ASN、SSL 证书）、授权的外部攻击面发现。
限制与注意：无书面授权不得主动扫描目标，OSINT 应保持被动；避免留下数字足迹（使用 Tor/VPN 与专用 OSINT 虚拟机）；图谱分析需防确认偏误，独立验证每个枢轴；WHOIS 隐私与防弹托管更迭快，须核对数据时间戳；基础设施重叠不等于同一行为体，可能为假旗；部分工具会主动扫描，使用前须确认其行为是否越界。其他细节暂未提供。