威胁归因（APT Attribution）

何时使用 / 何时不用

• 用：情报归因请求（「谁干的」）、多事件串并（判断几起事件是否同一活动）、基础设施关联分析、样本/能力到攻击者的推理
• 用：受害环境的攻击者画像（时间线、TTP、基础设施特征综合）
• 用：同组活动排查（一次事件 → 找同基础设施/同能力的其他事件，先关联再定级）
• 不用：单个 IOC 查询（转 [[re-ti]]）；恶意行为判定（转 [[re-behavior]]）
• 不用：司法证据链（刑事标准高于情报归因，本技能结论不能直接作为司法证据，见 [[gotchas]]）
• 不用：只有单角证据时做组织级归因（仅样本或仅域名不支撑归因声明，分支判断见 [[decision-tree]]）

工具准备

关联查询工具（Passive DNS / 证书透明 / Whois）