用途：用于对组织域名、高管姓名、产品品牌等进行暗网持续监控，调查勒索软件泄露站或粘贴站上的数据泄露声明，并为事件调查补充被盗凭证或计划攻击的背景信息。无适当操作安全措施时不应使用。
主要能力：通过商业暗网监控服务（Recorded Future、Flashpoint、Intel 471、Cybersixgill）配置关键词监控；对需直接访问的调查提供操作安全环境方案；监控明文粘贴站；核查勒索软件泄露站声明；通过 Have I Been Pwned Enterprise、SpyCloud、Flare Systems 等做凭证暴露监控；对发现内容分级（P1/P2/P3）、记录证据并按 SLA 上报。
使用方式：在 CTI 平台配置域名变体、高管全名、产品名、内部代号、邮箱域等监控关键词。需直接访问时使用 Whonix 或 Tails 虚拟机、Tor 浏览器、掩护身份，绝不使用真实凭证登录。粘贴站可用如下命令检索： curl "https://psbdmp.ws/api/search/company.com" | jq '.data[].id' curl "https://pastebin.com/search?q=company.com"
勒索软件泄露站建议经商业服务监控而非直接访问；确认凭证暴露后应立即强制重置密码、检查是否可访问 SSO/VPN 等系统，并审查暴露到发现期间的访问日志。发现内容需截图存证、分级、通知相关方、建单并关联证据，涉高管姓名或具体攻击计划的内容标记 TLP:RED。
适用场景：建立持续暗网监控、调查泄露声明、充实事件调查背景。
限制：需商业监控服务、隔离操作环境、关键词清单、法律意见确认被动监控在所属司法辖区获授权等前提；暗网内容消失快，须及时存证；勒索软件团伙与论坛发帖常伪造声明，升级至应急响应前需核实；多数暗网情报项目易遗漏 Telegram、Discord 与粘贴站等明文来源；监控须经法律审查，被动监控通常合法，主动参与犯罪市场不合法。