用途
CTI Domain Research 是一个面向网络威胁情报（CTI）研究的搜索技能，用于在 300 多个精选安全域名中检索威胁情报、CVE、恶意软件分析、数据泄露报告和安全研究内容，并可选将检索结果推送到 NotebookLM 进行后续整理。
主要能力
多来源域检索：内置 595 个安全来源域名，覆盖政府公告、厂商研究、新闻社区和专项情报等领域，并按权威性划分层级：
| 层级 | 用途 | 示例 |
|---|---|---|
| Tier 1 — 权威 | CVE、公告、政府警报 | cisa.gov、nvd.nist.gov、msrc.microsoft.com、access.redhat.com、cert.europa.eu、ncsc.gov.uk |
| Tier 2 — 厂商研究 | 深度技术分析 | unit42.paloaltonetworks.com、blog.talosintelligence.com、securelist.com、research.checkpoint.com、thedfirreport.com、mandiant.com |
| Tier 3 — 新闻与社区 | 态势感知 | bleepingcomputer.com、krebsonsecurity.com、therecord.media、thehackernews.com、reddit.com/r/cybersecurity |
| Tier 4 — 专项 | 恶意软件、PoC、OSINT | any.run、otx.alienvault.com、vulncheck.com、attackerkb.com、greynoise.io、packetstormsecurity.com |
查询路由：按查询类型自动选择域名层级，例如 CVE 查询优先 Tier 1 再 Tier 2；威胁行为者/恶意软件优先 Tier 2 再 Tier 4；新闻态势优先 Tier 3 再 Tier 2；PoC/漏洞利用为 Tier 4 + Tier 2；通用查询按权威性评分跨所有层级排序。
结果处理：检索结果经过去重，并按时效性和来源权威性排序，提取标题、来源、日期、摘要、涉及的 IOC/TTP/CVE 等信息。
NotebookLM 集成（可选）：通过 --notebooklm 标志可将检索到的来源推送到指定的 NotebookLM 笔记本。
使用方式
配置（Claude Code 插件目录）：
cd ${CLAUDE_PLUGIN_ROOT}
cp .env.example .env
# 编辑 .env 填入 API 密钥
可配置项包括：搜索服务提供方（默认 Brave Search）、Brave API 密钥、SerpAPI 密钥、Google CSE 密钥+ID、NotebookLM 笔记本 ID、默认结果数量（10）、默认时间范围（90 天）以及自定义域名。
添加自定义域名：
# 添加域名（每行一个）
echo "your-security-blog.com" >> data/domains.txt
# 添加层级映射
# 编辑 data/tier-map.json 并添加：
# "your-security-blog.com": { "tier": 3, "authority": 70 }
工作流程：解析查询与标志 → 根据查询类型选择域名层级 → 执行带 site: 限定的网络搜索 → 去重并按时效与权威性排序 → 提取标题、来源、日期、摘要及关键 IOC/TTP/CVE →（可选）推送到 NotebookLM → 返回结构化 CTI 简报。
查询参数：
- 主体：CVE ID、行为者名称、恶意软件家族、MITRE ATT&CK 技术、产品名称
- 时间过滤：默认最近 90 天，支持 "last week / month / year"
- 深度：默认前 10 条，--count N 覆盖
- 输出格式：默认简报表格+要点；--full 长文；--json 原始 JSON
斜杠命令（Claude Code）：创建 ~/.claude/commands/cti-search.md 后，可使用标志：--count N、--full、--json、--notebooklm、--notebook-id ID、--tier 1|2|3|4、--since DAYS。
安装脚本：运行 scripts/install.sh 可复制斜杠命令、复制域名列表并校验 NotebookLM 连接器插件。
输出格式
- 默认：CTI 简报（要点 + 来源表格 + IOC 摘要 + 后续建议）
- --full：长文简报，含执行摘要、逐来源分析段落、MITRE ATT&CK 映射表和检测规则建议
- --json：原始结果对象数组
错误处理
- 某层级无结果：跳过并尝试下一层级，全空时警告
- NotebookLM 连接器未安装：警告并回退到手工来源列表
- 搜索限流：等待 2 秒重试一次，返回部分结果
- 查询过宽（>1000 潜在结果）：自动收窄至 Tier 1+2 并建议细化
- CVE 尚未进入 NVD：提示可能为 pre-NVD，建议直接查看厂商公告
适用场景与限制
适用于安全研究人员、威胁情报分析师在指定可信来源范围内快速收集和整理 CTI 信息。使用需自备搜索 API 密钥（Brave 推荐，每月 2,000 次免费请求）。NotebookLM 推送依赖对应连接器插件，在 Claude.ai 等无插件运行时环境下仅能提供手工来源列表。实际功能、收费与价格等信息以官方资料为准，本介绍未提供部分暂未提供详情。