用途：本技能是路由器而非技术目录。它把 ATT&CK 技术映射到承载具体流程的技能，并串联攻防两侧的循环。适用于：请求中出现技术 ID（如 T1003.001）、技术名称（如 Kerberoasting）或战术（如横向移动覆盖）；把威胁情报报告或对手仿真计划转成工作；规划或报告对矩阵的覆盖；运行紫队演练；请求横跨攻防时选择合适技能。不适用：纯自然语言请求（领域技能会直接触发）；代码级漏洞工作（改用 CWE/ASVS）；AI/LLM 系统（用 MITRE ATLAS）；移动目标（Mobile 矩阵 ID 与 Enterprise 不对应）。
主要能力：secskills-core/ttp-index.json 是技术到技能索引的权威来源，每个技能带生成的 ## ATT&CK Coverage 段。可按 ID、战术或名称查询，例如 python3 -c 读取 JSON，或 rg -i 'kerberoast|pass the hash' secskills-core/ttp-index.json。解析流程：ID/名称→查索引→加载技能；战术→列出技术→询问具体流程；情报报告→提取 TTP 而非 IOC→逐个映射→按暴露面排序；组织/APT 名→取技术列表→与攻击面求交集→狩猎交集。
使用方式与限制：索引不声称覆盖所有技术；_unmapped 块说明使用其他框架的技能；不重复检测与狩猎内容；为人工维护，ID 随版本漂移，引用前需对 attack.mitre.org 复核。技术不等于流程：T1055 有众多实现，检测其一不覆盖其余，裸技术 ID 时应追问具体流程。紫队循环：选择→仿真→观测（数据源与字段）→检测→验证→狩猎→记录。覆盖报告分三态：已测试、未测试、无遥测，不要用单一百分比。生成 Navigator 层应标注为“声称的覆盖”，转成已测试覆盖需逐技术跑循环。读取外部资料可用 curl -sL "https://defuddle.md/<url>"，但 JSON/API 应直接取，认证或 JS 渲染页面直接取，且绝不可将对手基础设施、客户主机或演练 URL 经其路由。