用途：在 SOC 告警分诊、事件调查、威胁情报验证和 SOAR 自动化流程中，对 IP、域名、文件哈希等 IOC 进行多源富化，补充上下文并给出综合风险评分与处置建议。
主要能力：提供统一富化引擎，支持 enrich_ip、enrich_domain、enrich_hash 三类方法；聚合 VirusTotal、AbuseIPDB、Shodan、GreyNoise、URLScan.io、MalwareBazaar 等来源；计算复合风险评分并输出 MALICIOUS、SUSPICIOUS、LOW RISK、CLEAN 处置结论；支持批量富化、Splunk 内联富化查询和富化报告生成。
使用方式：需准备 VirusTotal、AbuseIPDB、Shodan、URLScan.io、GreyNoise 的 API key，Python 3.8+ 及 requests、vt-py、shodan 库，可选 MISP 实例或 TIP 及 SOAR 平台。按示例构建 IOCEnrichmentEngine，传入配置后调用对应富化方法，批量处理时注意限速（VT 免费 4 次/分钟、AbuseIPDB 1000 次/天、Shodan 1 次/秒）。
适用场景：告警分诊自动富化、事件范围评估、威胁情报质量验证、钓鱼 URL 分析、误报调查。
限制：富化仅提供上下文，不能替代分析师判断，不应在未经人工复核时用于批量阻断决策；需关注各 API 的速率限制与配额。