用途：当需要更新组织威胁模型、为高管准备APT简报，或帮助SOC分析师理解攻击者目标与TTP以改进检测规则时使用。资料明确提示：不用于实时事件归因，活跃事件期间应优先遏制，画像细化在事件结束后进行。
主要能力：识别相关威胁行为体（参考MITRE ATT&CK Groups、CrowdStrike年度威胁报告、Mandiant M-Trends、CISA KEV，筛选5–10个最可能针对本组织的组织）；按身份（ATT&CK Group ID、别名、疑似的国家支持方）、动机、目标、能力、历史战役、按ATT&CK阶段列出技术等维度收集数据；用mitreattack-python将TTP映射到ATT&CK；将组织技术清单与检测覆盖矩阵对比，找出无检测的关键缺口、部分覆盖项与补偿控制；最后为不同受众打包画像。
使用方式与前置条件：需要访问MITRE ATT&CK Groups数据库、商业威胁情报订阅（如Mandiant Advantage、CrowdStrike Falcon Intelligence、Recorded Future）、行业ISAC成员资格（FS-ISAC、H-ISAC、E-ISAC），并使用结构化画像模板。映射示例基于MitreAttackData与get_techniques_used_by_group等方法，命令与代码保持原样。
输出形式：高管摘要（1页：谁、动机、近期战役、对本组织首要风险、建议优先行动）、SOC分析师简报（3–5页：完整TTP清单与检测状态、IOC清单、狩猎假设）、技术附录（YARA规则、Sigma检测、用于TIP导入的STIX JSON）。内部按TLP:AMBER分发，对外共享前需ISAC批准。
关键概念：APT、TTPs、别名（同一组织不同厂商命名不同）、归因（需多个独立佐证，存在不确定性）、Cluster、Intrusion Set。常见误区：以IOC为中心导致画像迅速失效、厂商别名混淆、二元化归因（应标注低/中/高置信度）、忽视勒索软件等犯罪团伙、画像过期（建议按季度更新）。
限制：资料未提供具体价格、订阅费用或部署环境要求，需以各商业情报平台实际条款为准。