用途：把原始 IOC 转化为能降低决策者不确定性的成品情报——做基础设施关联、跟踪攻击者与活动、富化与情境化指标、评估外部报告是否与本组织相关、构建威胁模型。
主要能力与流程：按情报生命周期推进——方向（PIR，写明消费者与决策）、收集、处理、分析、分发、反馈。先写 PIR 再收集；不写分发就没人据此决策。
被动关联（不要触碰对手在线设施，优先被动数据集）： 域名/IP 经 Passive DNS 查历史解析与同 IP 域名；域名经 WHOIS 查注册人、注册商、创建时间；域名/IP 经 crt.sh 查同一证书上的其他主机名；IP/服务查 JARM、JA3/JA3S 指纹；Web 服务用 favicon 哈希在 Shodan/Censys 找相同面板；IP 查 Shodan/Censys banner。示例命令： curl -s "https://crt.sh/?q=%25.example.com&output=json" | jq -r '.[].name_value' | sort -u shodan search "http.favicon.hash:-247388890" censys search "host.services.jarm.fingerprint: <jarm_hash>"
优先框架：钻石模型（adversary、capability、infrastructure、victim 四顶点）；痛苦金字塔（TTP、工具最难改，域名、IP、哈希易变、易过期）。
归因纪律：区分聚类（按共享可观测特征分组，可辩护）与命名（断言某集群即某已知攻击者，常出错）。未确认时用 UNC 或内部 CLUSTER-#### 标签；明确标注 High/Moderate/Low 置信度，置信度取决于证据与剩余备选解释数量，而非主观感觉。可用竞争性假设分析（ACH）找反证，警惕镜像思维、确认偏差、锚定。
结构化存储与标准：STIX 2.1 对象/关系模型；MISP 事件与属性、galaxies；OpenCTI 知识图谱；TLP 共享分类（RED/AMBER/AMBER+STRICT/GREEN/CLEAR），降级由分享方决定。
富化来源：VirusTotal、Passive DNS、Shodan/Censys、GreyNoise（区分全网背景扫描与针对你的活动）、URLScan。
成品报告：BLUF 开头两句给出结论与影响；标注置信度并区分观测与判断；给出“so what/建议行动”；按受众调整（高管看风险与决策，SOC 负责人看检测与关联点）。
限制与边界：不适用于搜索自身遥测（用 hunting-threats）、逆向样本（用 analyzing-malware）、解析 ATT&CK 技术 ID（用 mapping-attack-techniques）、已确认的活跃事件（用 responding-to-incidents）、把情报转为部署检测规则（用 engineering-detections）。切勿直接 curl 活跃 C2、从可归因网络解析其域名、把活跃样本提交公共多引擎、直接扫描基础设施；需要主动交互时应走不可归因设施并有记录。外部报告读取可 curl -sL "https://defuddle.md/<url>"，但勿用于对手设施、客户主机或参与系统 URL，JSON/API 响应与需认证或 JS 渲染的页面应直接抓取。本技能未提供收费与价格信息。