用途：把观察到的攻击者行为、安全告警和检测规则映射到 MITRE ATT&CK 技术与子技术，量化检测覆盖率并指导安全建设。适用于生成 ATT&CK 覆盖率热力图、为 SIEM 用例或 Sigma 规则打 ATT&CK 技术 ID 标签、将安全路线图对齐到针对本行业的攻击组织。不适用于实时事件分诊，ATT&CK 映射属于检测后或威胁狩猎规划阶段的分析活动。
主要能力：获取 ATT&CK STIX 数据并程序化查询技术；将现有检测规则映射为技术 ID；结合威胁情报按攻击组织优先级排序覆盖缺口；导出 ATT&CK Navigator 图层生成热力图；按战术类别生成覆盖率报告。
使用方式：需可访问 MITRE ATT&CK 知识库或本地 STIX 数据包、ATT&CK Navigator、现有检测规则清单，并安装 pip install mitreattack-python。下载数据：curl -o enterprise-attack.json https://raw.githubusercontent.com/mitre/cti/master/enterprise-attack/enterprise-attack.json。用 MitreAttackData 查询技术、组织及其使用技术；Sigma 规则可用 attack.t1059.001 等标签；覆盖率矩阵标记为 Detected、Logged、Blind；导出 Navigator JSON 图层后导入 https://mitre-attack.github.io/attack-navigator/ 可视化。
限制与注意：记录数据源不等于检测到技术，规则须真正触发；仅打战术级标签会妨碍细粒度缺口分析；覆盖父技术不代表覆盖子技术；ATT&CK 每年发布大版本，映射会过时；通用覆盖图无法区分针对本行业的 APT 与普通恶意软件所用技术。