用途：面向网络威胁情报（CTI）分析工作，指导情报收集、核实、分析、产出与交付。
主要能力：收集并核实来自 OSINT、商业情报源、政府公告和 ISAC 的情报；刻画威胁行为者与分析战役目标、目标选择、基础设施与时间线；产出带有消费场景上下文的 IOC 与 TTP，并映射 MITRE ATT&CK；撰写面向领导层、SOC、狩猎和事件响应的战略、战术、运营简报；打包共享产物，涉及 STIX 概念、TAXII 认知、分发层级与处理规则；将情报融入狩猎假设、检测优先级与活动事件上下文；为每条分析标注置信度，记录来源、局限与收集偏差。
使用方式：先明确消费者需求与情报需求（IR），编制收集计划并清点来源与偏差；进行来源可靠性与信息可信度评估（两个独立维度），多源关联、去重与规范化 IOC；开展行为者与战役聚类分析；发布 IOC/TTP 与 ATT&CK 映射；选择分发层级并按 STIX 2.x 对象概念共享；最后按受众交付简报并安排复核。
适用场景：需要正式情报生产与消费交付的威胁情报职能；支撑威胁狩猎、SOC 告警富化、事件响应中的运营情报与归因假设、风险与安全工程的信息输入。
限制与边界：不执行狩猎（由 threat-hunter 负责）、不做 SIEM/EDR 告警分诊与 SOAR 编排（soc-analyst）、不宣布事件或指挥遏制（incident-responder）、不开展对抗模拟（red-team-specialist）、不负责企业安全战略与治理（cybersecurity）、不实施 SIEM 规则与信息源接入（information-security-engineer）、不评分企业风险登记册（security-risk-analyst）、不执行授权渗透测试（penetration-tester）。CTI 不替代狩猎、SOC 队列或 CSIRT 指挥；发现正在发生的入侵应立即上报 incident-responder，不应为追求完整归因而延误响应。资料未提供价格、平台或安装命令等信息。