用途：按“可交付优先”方法生成结构化威胁行为者（APT/勒索团伙等）画像，适用于画像研究、情报交付物、RFI 或事件响应、能力/意图/受害面评估。
主要能力：六步工作流——1) 定义范围与目的（画像类型、受众、触发来源）；2) 收集内外部数据源（SIEM、EDR/XDR、IAM/AD、NDR、云日志、蜜罐、TIP、OSINT、ISAC 等），用 Admiralty Code 评估来源可靠性与信息可信度；3) 应用 5W1H 与 Diamond Model：身份与归因（WHO）、动机与目标（WHY）、受害面（行业、地理、技术栈）、能力评估（High/Moderate/Low 等）、TTP 与 MITRE ATT&CK 映射、活动时间线、STIX 2.1 技术证据；4) 分析（What Next/So What/Now What）；5) 记录引用与审计线索；6) 按受众剪裁交付物并写 BLUF 执行摘要。
使用方式：先调用 visualize:read_me（module: diagram），再以 visualize:show_widget 生成内联可视化图（深色主题、卡片/面板布局），含头部、Diamond Model 四顶点图、动机、受害面、Kill Chain/TTP、时间线、能力仪表、So What/Now What、IOC 摘要与来源置信度。若用户明确要求 Markdown 或文件导出，则改用给定 Markdown 模板。
适用场景：外部情报画像、事件驱动分析、持续内部跟踪、威胁狩猎与红队参考。
限制：数据稀疏时须明示缺口与置信度，不得臆测；情报有时效性，须标注截断日期；TLP 与社区共享须遵守规范。具体收费、价格、平台支持暂未提供。