用途：基于菱形模型（Diamond Model of Intrusion Analysis）以编程方式对入侵事件进行分类与关联，构建连接相关事件的活动线程、绘制活动—攻击图，并从入侵数据中生成可用于 pivot 的情报。
主要能力：
- 定义含四个核心特征（Adversary、Capability、Infrastructure、Victim）及元特征（Timestamp、Phase、Result、Direction、Methodology、Resources）的事件数据结构。
- 按时间顺序将事件链接为活动线程（activity thread），归集为同一对手的活动组（activity group）。
- 通过共享基础设施、能力或对手查找枢纽点（pivot），发现事件之间的关联。
- 生成包含事件总数、唯一对手/受害者/基础设施数量及枢纽的分析报告。
- 用 networkx 构建有向图，结合 graphviz 可视化活动—攻击图；可将能力映射到 MITRE ATT&CK，并支持 STIX 2.1 Campaign 对象。
使用方式：需 Python 3.9+ 及 networkx、stix2、graphviz 库，理解菱形模型核心与元特征，具备威胁情报数据（如 MISP/OpenCTI 事件）访问权限，并熟悉 MITRE ATT&CK。典型工作流为：先定义 DiamondEvent 数据类，再添加事件并调用 build_activity_thread 构建活动线程、find_pivots 查找枢纽、generate_report 生成报告。
适用场景：在环境中部署或配置菱形模型分析能力时；建立符合合规要求的安全控制时；构建或改进该领域安全架构时；开展需要此实现的安全评估时。
限制：资料未提供具体产品价格、收费、部署平台差异或实际效果数据；需自行准备威胁情报数据源，且分析质量依赖数据完整性。