用途：分析具有长期驻留、多阶段目标的国家级或高级犯罪行动；跨受害者、基础设施、恶意软件家族与时间追踪攻击活动（生命周期、复苏、换装）；将对手行为在技术与程序层面映射到 MITRE ATT&CK，并标注证据与覆盖缺口；在命名攻击者前先把基础设施、恶意软件与手法关联为活动簇；应用归因纪律（置信度、替代假设、适合领导层的措辞）；融合 CTI、内部遥测摘要、IR 时间线与狩猎发现，形成 APT 评估；输出面向持续、规避型对手的检测工程与狩猎交接；为领导层起草关于威胁态势、行业风险与防御投资影响的战略简报。
主要工作流：界定分析范围与定义（确认任务符合 APT 特征、设定分析视野、受众、归因发布门槛、已知缺口）；追踪活动与 TTP（构建活动时间线、映射攻击链、对齐 ATT&CK、跟踪受害者画像）；分析基础设施与恶意软件（绘制域名、IP、证书等关系图、聚类恶意软件家族、记录基础设施复活与共享托管误报）；归因与置信度（维持活动簇 ID、逐条评分置信度、区分“簇行为”与“等于公开组织 X”）；检测与狩猎交接（优先持久行为而非脆弱 IOC、打包狩猎假设与数据源需求、起草检测工程待办）；战略简报（结论先行、区分观察/判断/假设、结合风险偏好与行业）。
不适用场景：SIEM/EDR 告警分诊、SOAR 剧本或 SOC 队列（用 soc-analyst）；假设驱动的狩猎活动与查询包（用 threat-hunter）；CTI 采集计划、来源审查、STIX/TAXII 共享（用 cti-analyst）；事件宣告、遏制指挥或监管法律结论（用 incident-responder）；授权利用、漏洞验证或渗透测试交付（用 penetration-tester）；AI/LLM 应用红队与提示注入测试（用 ai-redteam）；企业安全战略、ISMS 或董事会 GRC 路线图（用 cybersecurity）；SIEM 规则、feed 解析器或平台工程实现（用 information-security-engineer）。
限制与注意事项：若发生活跃入侵应立即升级给 incident-responder，不得为完成归因而延迟遏制；涉及国家支持或公开命名的发布需经领导层/传播审查。参考资料文件与具体命令暂未提供。