用途：将威胁检测、威胁模型、安全风险或网络威胁情报中的行为映射到 MITRE ATT&CK 战术、技术与子技术。资料基于 ATT&CK v18.1。
主要能力与资源：resources/attack_keywords.idx 为按字母排序的关键词索引，格式 keyword:technique_ids；resources/attack_techniques.md 为按 ID 排序的 Markdown 表格，包含 ID、名称、关键词、描述与平台；resources/attack_version_changelog.md 记录 v15 至 v18.1 变更，含废弃技术、平台改名及 v18 检测模型重构。战术缩写：REC、RD、IA、EX、PE、PRV、DE、CA、DIS、LM、COL、C2、EXF、IMP。
使用方式：可整体读取文件获取上下文，或用 grep/glob 检索关键词或 ID。按关键词（推荐用于发现）： grep -i "cron|bash|/proc/|cryptocurrency" resources/attack_keywords.idx 按技术 ID（用于验证）： grep "T1053" resources/attack_techniques.md 按战术缩写（查找某类技术）： grep "PE" resources/attack_techniques.md
分析建议：不假定自身知识完整或最新，需参照所提供资源；逐行深读材料；关键词需多次迭代搜索；结合攻击者或防御者意图判断战术技术；注意同一技术可属多个战术（如 T1078），相似但不同的技术需区分（如 T1213.003 与 T1593.003）；尽量映射到最具体子技术。分析 CTI 报告时应读完整个报告及 IOC 表、附录、STIX 文件，处理截图，拆解为细粒度过程，避免推断报告中不存在的内容，并在初析后做二次验证。分析检测时注意一段逻辑可能对应多个技术，分析日志来源与字段及检测意图。资料还列出常被遗漏的技术提示与红标志短语，如“downloads and executes”对应 T1105+T1059。限制：仅依据所提供的本地资源与检索，不保证覆盖所有情形，暂未提供自动化分析或其他集成能力。