用途：该技能用于端到端管理网络威胁情报（CTI）生命周期，适用于建立正式CTI项目并定义运营模式、与业务相关方开展季度情报需求评审、依据FIRST CTI-SIG成熟度模型评估CTI项目成熟度。日常IOC分诊或事件级情报任务应使用运营情报工作流，而非本技能。
前提条件：需要高管支持与明确的CTI团队结构（至少1名专职分析师）、识别情报消费者的相关方地图（SOC、IR、高管团队、漏洞管理）、现有订阅源或ISAC会员资格作为收集基线，以及CTI平台（MISP、ThreatConnect、OpenCTI）用于生命周期管理。
工作流：第一步规划与方向，与相关方访谈并定义优先级情报需求（PIR），每季度优先5至10个PIR并每月评审；第二步收集规划，将PIR映射到技术、人力和内部来源，记录收集缺口与成本；第三步处理与规范化，按“摄取→规范化为STIX 2.1→去重→丰富→置信度评分”流程，拒绝不可验证或重复指标，并标注来源、收集日期和过期时间；第四步分析与产出，分战略（季度威胁态势报告）、运营（每周活动报告）、战术（每日IOC公告）三个层级，可应用竞争假设分析等结构化方法；第五步分发，按受众匹配格式并应用TLP分类；第六步反馈与评估，在分发后5个工作日内收集反馈，并按季度跟踪PIR覆盖率、IOC真阳性率、分发时效和满意度等指标。
关键概念：PIR为驱动收集与分析的具体可操作问题；情报生命周期为六阶段迭代过程；战略情报时间跨度为6至24个月，运营情报为1至6个月，战术情报为小时至天。
工具：ThreatConnect、MISP、OpenCTI、Recorded Future。
常见陷阱：无方向的收集、缺少反馈回路、仅关注战术情报、没有指标项目、收集资金不足。
限制：资料未提供具体收费、价格、平台支持范围或效果数据，暂未提供。