用途：在已确认入侵的事后或并行情报分析中，用Diamond Model把对手活动结构化为对手、能力、基础设施、受害者四个顶点，并关联多起事件、支撑归因。不适用于事件遏制等响应流程。
主要能力：填充四顶点（对手区分操作者与客户并标注置信度；能力含恶意软件家族、YARA、CVE、ATT&CK技术编号；基础设施含C2、投递设施、ORB；受害者含行业、地域、技术栈、目标资产）；识别顶点间边关系，每条边需至少两个独立数据点支撑；应用时间戳、杀伤链阶段、方向、结果、资源等元特征；用基础设施、能力、对手、受害者枢轴聚类事件；输出结构化分析，含Diamond事件图、活动线程、活动组、竞争性假设分析（ACH）。
使用方式：需已完成调查数据（日志、取证产物、样本、流量捕获），可访问MITRE ATT&CK、VirusTotal、Shodan、被动DNS，并具备Maltego、Analyst's Notebook或Neo4j等关联分析平台，熟悉Caltagirone、Pendergast、Betz（2013）原始论文。按五步工作流执行。
适用场景：已确认入侵的完整关系分析、多事件关联到同一威胁行为者、以正式框架撰写成品情报。
限制与常见误区：需区分操作者与客户；共享IP不等于同一行为者；结论须带置信度；不可忽视受害者顶点；Diamond图应带时间戳并随证据演进。具体命令与安装方式资料未提供。