用途
该技能用于对威胁情报进行富化（enrichment），即围绕各类安全实体，借助搜索与提取能力补充权威且最新的证据。它聚焦于查询构造、来源优先级、验证与安全信息综合，具体的执行机制由配套的端点技能提供。
主要能力
- 识别输入类型：CVE、IOC、恶意软件/工具、威胁行为者、厂商/产品、公告 URL、事件或攻击活动。
- 将任务拆解为 400 字符以内的短子查询，涵盖标识符、受影响产品、利用状态、厂商公告、补丁、缓解措施、在野利用及近期报告。
- 优先使用精确匹配式查询检索 CVE、哈希、域名、IP、公告 ID 和恶意软件名称。
- 在提取前过滤来源，优先 NVD/CVE 记录、厂商公告、CISA/机构警报、安全研究博客、可信事件报告和官方补丁说明。
- 提取可支撑利用状态、影响、受影响版本、缓解措施、时间线或置信度的页面。
- 当相关页面难以找到时，使用站点导航定位厂商公告门户或文档站点。
- 仅在用户需要广泛覆盖时，收集限定范围的公告、变更日志、发行说明或文档章节。
使用方式
- 使用 search 检索 CVE、IOC、公告、利用状态、受影响版本、缓解措施和近期事件报告。
- 使用 extract 提取选定的厂商公告、CVE 记录、机构警报、补丁说明和安全研究页面。
- 当已知厂商门户或文档站点但难以定位具体公告时，使用 map。
- 仅当用户要求覆盖大量相关页面时，使用 crawl 处理公告/文档集。
- 仅对威胁态势报告或多攻击活动摘要使用 research。
研究预算方面：先以小型聚焦搜索集覆盖标识符、厂商公告、利用状态和缓解或补丁证据；起草前只提取最强的权威来源；仅针对明确缺口（如缺失受影响版本、缺失补丁说明或利用状态不明）增加搜索。除非已知厂商门户或文档站点有特定公告或发行说明需要定位，否则不使用 map；除非用户要求覆盖大量相关公告或文档页面，否则不使用 crawl。
查询与来源方面：查询中使用精确标识符，如 CVE ID、公告 ID、产品/版本名称、哈希、域名、IP、恶意软件名称和行为者别名；优先厂商公告、NVD/CVE 记录、CISA 或国家机构警报、CERT/CC、官方补丁说明和可信安全研究；将社交帖子、exploit-db 类引用和二手新闻视为辅助证据，除非得到权威来源确认；区分“在野利用”“公开 PoC”“理论可利用性”和“已修补”等不同状态；当失败或无法访问的来源影响厂商公告、CVE 记录、受影响版本证据或缓解指导时，应予以报告。
适用场景
适用于安全分析人员对漏洞、IOC、恶意软件、威胁行为者或安全事件进行情报富化，生成威胁情报简报，跟踪漏洞利用状态与补丁情况，以及为检测与狩猎提供依据。
输出模板
使用以下 markdown 结构并标注不确定性：
Threat Intelligence Brief: <entity>
Summary
- Current status:
- Confidence:
- Most important source:
Entity Details
- Type:
- Aliases/identifiers:
- Related products or systems:
Impact And Exposure
- Affected products/versions:
- Exploit status:
- Evidence quality:
Mitigation And Detection
- Patches or mitigations:
- Detection or hunting notes:
- Recommended checks:
Timeline
- <date>: <event> (source)
Sources And Gaps
- Sources:
- Gaps or unresolved claims:
限制
不要夸大归因、利用或失陷证据；对推测和未经证实的说法进行标注。