用途：监控并测绘攻击者控制的基础设施，包括 C2 服务器、钓鱼域名、漏洞利用工具宿主、防弹主机和暂存服务器，通过多种数据源发现、追踪并跨时间关联威胁行为者资产。
主要能力：基础设施横向关联（infrastructure pivoting），从已知 C2 IP 通过被动 DNS、反向 WHOIS、SSL 证书、SSH 密钥指纹、HTTP 响应指纹、JARM/JA3S 哈希和 WHOIS 注册人数据发现相关基础设施；被动 DNS 查询历史域名-IP 映射；证书透明度日志监控发现新签发证书；Shodan/Censys 扫描发现服务与元数据；网络指纹（JARM、JA3S、HTTP 头、favicon 哈希）。
使用方式：需 Python 3.9+ 及 shodan、censys、requests、stix2 库，准备 Shodan、Censys、VirusTotal、SecurityTrails、PassiveTotal 的 API 密钥，并理解 DNS、TLS/SSL 证书、IP 分配、ASN 结构。示例流程包括用 Shodan 发现基础设施并按 C2 框架签名搜索、用 SecurityTrails 或 PassiveTotal 进行被动 DNS 查询、通过 crt.sh 搜索证书透明度日志、构建基础设施时间线。
适用场景：安全运营中的威胁行为者基础设施追踪、安全项目成熟度与流程改进、安全团队工作流标准化、将威胁情报或漏洞数据整合进运营。
限制：资料未提供具体收费、价格、平台兼容性、实际效果或完整使用步骤；部分查询依赖第三方 API 密钥与配额，数据准确性依赖外部服务，且仅限合法授权用途。