在前幾天的實作中，我們已經成功透過 fetchers.py 多型態爬蟲抓取了四面八方的原始情資。然而，未經篩選的情報往往伴隨著大量的雜訊。本篇將進入「情資清洗與正規化」的關鍵階段，深入探討 processor.py 如何擔任系統的決策大腦，將雜亂無章的資料轉化為可 actionable 的威脅預警。

一、 系統架構與設計理念

在軟體工程與自動化管線的設計中，保持程式碼的整潔與可維護性至關重要。processor.py 的設計徹底落實了「配置與邏輯分離（Decoupling）」的理念。

• 知識與邏輯解耦：我們將資安領域的 Domain Knowledge（如關鍵設備清單、威脅關鍵字）獨立封裝於 keywords.py 中。processor.py 則專注於執行「分析」與「評估」的運算邏輯。當未來出現新型態威脅時，維護人員無需更動此處理器的底層程式碼，只需更新關鍵字字典即可。
• 多維度評估模型：有別於單一的關鍵字比對，processor.py 採用了「威脅技術分（Threat Score）」與「目標資產（Asset）」的交叉評估模型（維度：威脅技術分 x 目標資產）。這種標靶式的情境收斂機制，能有效過濾雜訊，防止防守方陷入警報疲勞。

二、 重點功能與運作機制解析

processor.py 主要由以下幾個核心函式構成，逐步對原始內容進行清洗與標記：

**1. 精準字詞比對：match_keyword**
面對不同的語系與關鍵字特性，必須採取不同的比對策略。此函式會判斷輸入的關鍵字是否為英數字詞彙，若是，則透過正規表示式要求「單字邊界（Word Boundary）」，避免將 salesforce 誤判為 rce，或將 broadcast 誤判為 ad。若是中文詞彙，則維持子字串比對。
**2. 量化風險評分：evaluate_threat_score**
將文字描述的威脅轉化為可運算的數值是預警系統的靈魂。此函式會遍歷 IMPORTANCE_WEIGHTS 字典，比對內容中是否包含特定等級的攻擊特徵。若命中，則賦予對應的最高風險分數（例如 T1 級別的 0-day 漏洞賦予 10 分）。
**3. 資產命中檢測：detect_device_match**
此函式負責檢查情報內容是否命中了 CRITICAL_EQUIPMENT 中定義的關鍵設備或廠牌。除了回傳命中的設備名稱，還會進一步檢查是否同時命中了 EQUIPMENT_CRITICAL_THREATS 中針對該設備的高危詞彙，為後續的決策樹提供關鍵判斷依據。
**4. 核心決策與標籤分流：process_item_logic**
這是整個檔案中最核心的決策引擎。它整合了上述所有的運算結果，並依據嚴密的決策樹判定最終的標籤與發布狀態：

• 【P0: 核心高分警示】：觸發條件極為嚴苛，僅在「金融遭受高危威脅」或「關鍵設備出現重大/利用中漏洞」時啟動。此級別會標記為 🔥高分警示，並強制發送通知。
• 【P2: 通用重大漏洞】：若系統偵測到威脅分數高達 10 分（命中 T1 級別如未驗證 RCE），即使非特定關鍵設備，也會標記為 ⚡重大漏洞 並發送警報。
• 【P6: 靜默存檔】：對於特定來源（如 MSRC），系統會將其標記為 📦MSRC/備查，且設定 should_send = False，僅進行存檔而不發送即時通知，避免過度干擾。
  透過 processor.py 嚴謹的邏輯與多維度的風險評分矩陣，我們的系統得以精準萃取具備高衝擊性的威脅指標，大幅提升了數位鑑識與事件回應的效率。