用途：当多个看似无关的事件共享 IOC（相同 C2 IP、恶意软件哈希、相似 TTP），或 ISAC 伙伴共享的指标与自身历史事件吻合，或需将数周至数月的对手活动关联为一次行动并生成活动报告时使用。不宜基于弱信号强行关联，错误归因会误导防御方。
前提：具备含历史指标与事件数据的 TIP 或 SIEM（建议 90 天以上）；启用 MISP 关联引擎并配置事件共享；需 Maltego、Neo4j 或 OpenCTI 等图分析工具；参考 MITRE ATT&CK 的 intrusion set 与 campaign 对象组织输出。
流程：1）从内部 SIEM、TIP、ISAC 共享（MISP/TAXII）及商业情报收集候选事件，统一规范为 STIX 2.1，时间戳用 UTC，指标需有来源与采集日期。2）在基础设施（同 IP、/24、注册邮箱、ASN、SSL 指纹）、能力（哈希、YARA、C2 协议、漏洞利用代码、混淆/加壳）、时间（时间窗、杀伤链顺序、编译时间聚集）、受害者（行业、地域、目标技术）四个维度做枢纽分析。3）按加权评分计算关联置信度，代码示例为 calculate_campaign_confidence，基础设施 40、能力 35、时间 15、受害者 10，总分 ≥70 为 HIGH，≥45 为 MEDIUM，否则 LOW。4）在 OpenCTI 或 Maltego 构建活动图，以 Campaign 为中心节点，连接 Intrusion Set、Malware、Infrastructure、Identity，并按需标注 attributed-to、indicates 及证据与置信度。5）产出报告，含活动命名、时间线、归因与置信度、目标画像、TTPs 摘要、共享指标与 Sigma/YARA 检测规则。
关键概念：Campaign、Intrusion Set、Pivot、Clustering、False Correlation。
常见陷阱：CDN 与共享托管产生的误报；多对手共用 Cobalt Strike 等工具导致的混淆；在证据不足时过早归因；忽略时间分析，误将不同年份中复用的基础设施视为同一活动。