用途：用于对威胁情报平台（TIP）进行正式选型或RFP评估，判断现有平台（如MISP）是否需替换或补充，并建立与组织成熟度、预算匹配的评估标准。不适用于单独评估情报源质量，那属于另一套工作流。
主要能力与流程：
- 定义评估标准，区分强制项（M）与期望项（D）：核心功能含STIX 2.1导入导出与TAXII 2.1服务器、REST API自动化IOC接入导出、指标去重与TTL管理、TLP分级强制执行；期望项含MITRE ATT&CK集成、关系图可视化、分析师分诊自动化。集成方面强制项含SIEM（Splunk、Sentinel、QRadar）与EDR（CrowdStrike、Defender、SentinelOne）对接，期望项含SOAR与工单系统。运维强制项含基于角色的访问控制与审计日志，期望项含多租户。
- 对比主流产品：MISP（开源免费，自托管）、OpenCTI（开源免费，付费SaaS约3000–15000美元/年）、ThreatConnect（约5万–50万美元/年）、Anomali ThreatStream（约3万–20万美元/年）、EclecticIQ（约4万–30万美元/年），各自列出优势、不足与适用场景。
- 进行30天PoC，测试情报源接入、SIEM集成延迟、ATT&CK映射、报告生成与API性能。
- 用加权评分矩阵选型，示例权重含STIX合规20%、SIEM集成25%、ATT&CK映射15%、成本20%、UI体验10%、支持质量10%。
- 制定90天实施计划：基础设施部署、情报源接入与去重调优、SIEM/SOAR集成测试、分析师工作流配置与培训、运营验证与上线。
限制与提醒：文档要求有明确CTI需求、预算与采购时间表、具备Python/API能力的技术人员及集成清单。常见误区包括未定义需求就选型、低估运维负担（MISP与OpenCTI至少需0.25 FTE）、忽视数据迁移成本、PoC未测SIEM集成。