generating-threat-intelligence-reports

generating-threat-intelligence-reports 技能概览

generating-threat-intelligence-reports 技能的作用，是把已经分析过的网络安全数据整理成成品情报产品，而不是原始 IOC 转储。它面向为高管、SOC 负责人、IR 团队和威胁分析师撰写战略、运营、战术或快报的人，帮助你输出可以直接用于决策的内容。如果你需要用于报告写作的 generating-threat-intelligence-reports 技能，而目标是带有置信度措辞、TLP 处理和明确建议的精炼简报，那么它很合适。

这个技能最适合什么场景

当你已经有足够上下文可以真正写报告时，就适合用它：威胁摘要、事件评估、行业简报或管理层更新。它最适合在受众、报告类型和源数据都已先行明确的情况下使用。

它为什么不同于通用提示词

普通提示词也能生成文字，但这个技能更强调可重复的结构：面向特定受众的表述、经过验证的字段、置信度措辞，以及按报告类型选择内容。这能降低写出过于技术化、过于空泛，或篇幅不适合目标读者的内容的风险。

什么情况下不适合用它

不要把它用于自动化指标共享、原始案例笔记，或第一轮收集工作。如果你只是想分发 IOC，或者管理情报 feed，那么 TIP/MISP 流程比 generating-threat-intelligence-reports 技能更匹配。

如何使用 generating-threat-intelligence-reports 技能

安装并检查技能包

在 repo 上下文中运行 generating-threat-intelligence-reports 安装命令：npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill generating-threat-intelligence-reports。然后先阅读 SKILL.md，再看 references/api-reference.md 和 scripts/agent.py，了解真实的输入、报告类型和输出校验方式。

以正确的输入形状提供给技能

generating-threat-intelligence-reports 的使用方式在你提供以下内容时效果最好：

• 报告类型：strategic、operational、tactical 或 flash
• 受众：高管、安全总监、SOC 或分析师
• 源事实：事件、威胁组织、时间窗口、影响、证据
• 共享级别：TLP
• 期望结果：决策、简报、缓解措施或事后评估

像“写一份威胁报告”这种弱提示，应改成类似这样：Create an operational CTI report for IR leadership on the active ransomware campaign, using these incident notes, TLP:AMBER, and three recommended actions.

按仓库的工作流来走

这个仓库的使用逻辑很实用：先校验数据，再渲染报告，最后做质量检查。先确定报告类型和受众，然后把源材料映射成结构化 JSON 或等价的数据对象。references/api-reference.md 尤其有用，因为它列出了各类报告对应的预期字段，以及不同报告类型对应的篇幅。

把模板感知部分用到位

generating-threat-intelligence-reports 指南在你保留其内置结构时效果更好：

• 明确写出置信度，不要含糊地打太极
• 对关键判断给出证据
• 语气要匹配受众层级
• 建议要可执行，并带时间约束
• 在输出草稿中让 TLP 清晰可见

如果输入里缺少这些元素，即使文字很流畅，输出通常也会很泛。

generating-threat-intelligence-reports 技能常见问题

generating-threat-intelligence-reports 技能适合新手吗？

适合，但前提是你已经知道报告面向谁，并且手头有分析过的源数据。对于还在收集指标、或者仍在判断威胁到底意味着什么的人来说，它就没那么友好。

它相较于手动写提示词，主要优势是什么？

这个技能能给你更清晰的报告结构，以及更稳定的情报写作流程。在你需要一致的章节、置信度措辞和面向受众的篇幅控制时，这一点尤其重要，因为它避免了每次都重新发明格式。

安装前应该检查什么？

先看看你的团队是否已经有标准报告模板、必需的 TLP 处理方式，或者发布规则。generating-threat-intelligence-reports 技能最强的地方，是能和既有 CTI 流程对齐，而不是取而代之。

它能替代分析师吗？

不能。它可以加快报告初稿的撰写，但质量仍然取决于分析师判断、来源可信度和范围定义。如果底层事实很弱，报告也会一样弱。

如何改进 generating-threat-intelligence-reports 技能

提供更强的源材料

质量提升最大的来源，是更好的输入。加入简洁的事件时间线、关键指标、证据质量、受影响资产、置信度，以及这份报告必须支持的决策。这样 generating-threat-intelligence-reports 技能才有足够上下文写出超越摘要的内容。

让报告类型和真实读者匹配

不要在受众是管理层时要求战术简报，也不要在请求目的是 SOC 行动时却写战略报告。报告类型会改变细节层级、篇幅和建议方向。受众不匹配，是最容易拿到一份无法使用草稿的原因之一。

加入能提升输出质量的约束

有用的约束包括字数限制、TLP 级别、必备章节、日期范围，以及报告应更强调业务风险还是技术细节。例如：Write a strategic report for the board, 2 pages max, TLP:GREEN, focused on business impact and investment priorities.

优化结构，而不只是润色文字

如果第一版已经接近可用，但还差一点，就要求更紧凑的执行摘要、更有力的证据支撑，或更清晰的缓解步骤。generating-threat-intelligence-reports 的使用效果，通常在你修改报告骨架和决策逻辑时提升最快，而不只是改句子风格。