用途：把识别出的威胁与控制措施对应起来，支撑安全规划。适用时机包括：安全投资优先级排序、创建修复路线图、验证控制覆盖、设计纵深防御、安全架构评审、风险处置规划。
主要概念：一、控制类别分为预防性（在攻击发生前阻断，如防火墙、输入验证）、检测性（识别进行中的攻击，如 IDS、日志监控）、纠正性（响应并从攻击中恢复，如事件响应、备份恢复）。二、控制层级覆盖网络（防火墙、WAF、DDoS 防护）、应用（输入验证、身份认证）、数据（加密、访问控制）、终端（EDR、补丁管理）、流程（安全培训、事件响应）。三、纵深防御通过多层叠加实现，从边界、网络、主机、应用直到数据逐层设防。
完整模板库与详细的缓解/控制映射位于 references/details.md，需要具体模板时可阅读该文件，涉及：缓解模型、纵深防御评分、执行摘要框架、关键缺口报告、建议、实施路线图、按控制分类的结果。
最佳实践建议：映射所有威胁，不应有威胁未被映射；分层设置控制，纵深防御必不可少；混合使用预防、检测、纠正等控制类型；跟踪有效性并持续改进；定期评审，因为控制会随时间退化。应避免：依赖单一控制，形成单点故障；忽视成本，需考虑投资回报；跳过测试，未测试的控制可能失效；设置后不再维护；忽视人员与流程，仅靠技术不够。具体平台支持与限制暂未提供。