用途：面向 SOC 与安全团队，用 MITRE ATT&CK 框架把对手 TTP 映射到组织资产，评估检测覆盖缺口并排定优先级，支撑威胁情报驱动的防御决策。适用场景包括检测覆盖评估、云迁移或 OT 集成前的检测策略规划、紫队演练、年度风险评估。资料强调不应作为一次性工作，需随对手 TTP 与攻击面变化持续更新。
主要能力：从 ATT&CK STIX 数据提取入侵集合（intrusion-set）及其关联技术；生成 ATT&CK Navigator 图层展示威胁行为体 TTP 画像；从 SIEM（如 Splunk ES 关联搜索）导出已映射 ATT&CK 技术 ID 的检测规则并生成覆盖图层；将威胁技术集与覆盖集做差集，按杀伤链阶段和优先级输出缺口；形成分阶段修复路线图（如 30/60/90 天）；用 Atomic Red Team 或 MITRE Caldera 做对手模拟验证。
使用方式：先准备 ATT&CK 矩阵知识、Navigator、检测规则清单、行业威胁情报与资产清单；再按六步流程执行：识别威胁行为体、构建 TTP 画像、映射检测覆盖、差距分析、制定修复计划、对手模拟验证。示例命令包括 Invoke-AtomicTest T1566.001、Invoke-AtomicTest T1059.001 -TestNumbers 1,2,3、Invoke-AtomicTest T1053.005、Invoke-AtomicTest T1547.001、Invoke-AtomicTest T1003 -TestNumbers 1,2，并检查 SIEM 是否在 15 分钟内告警。
限制：资料未提供具体收费、价格、平台支持范围或效果保证；实际覆盖率和修复周期取决于组织自身检测规则与数据源，需自行验证。