Fallprüfung (Case Review)

Überprüfung des Beweisgraphen (Evidence Graph Review)

Verwenden Sie diese Fähigkeit, wenn ein Reverse-Engineering-, Forensik-, CTF- oder autorisierter Sicherheitsfall eine verteidigungsfähige Übergabe benötigt. Sie prüft das bestehende work/<case>/-Paket, ohne den Fall zu ändern oder ein Ziel zu berühren.

Umfang

Diese Fähigkeit umfasst:

• Metadaten zum Umfang und Bereitschaft von Ziel-Aktivitäten
• Struktur von Beweisaufzeichnungen und Reproduzierbarkeitsfelder
• Verweise von Arbeitspaketen und Zeitleisteneinträgen auf Beweise
• Strukturierte Befunde (Findings) und Pfade (Paths) im Berichts-Markdown
• Optionale SHA-256-Überprüfung für falllokale Artefakte
• Ein Markdown- oder JSON-Prüfergebnis für eine Berichtübergabe

Sie DARF KEINE Aufklärung, Ausnutzung, dynamische Instrumentierung oder Zieländerungen durchführen. Diese Aktionen gehören zur zugewiesenen Analysesfähigkeit und erfordern das Fallumfangstor.

ERFORDERLICHE MASSNAHMEN

1. JETZT: Lesen Sie ../field-journal/precedent-reverse.md und bestätigen Sie, dass es sich um eine Überprüfung eines bestehenden autorisierten Fallpakets handelt.
2. JETZT: Bestätigen Sie den Fallpfad und wählen Sie den schreibgeschützten Prüfmodus.
3. NÄCHSTER: Lesen Sie ../tool-index.md; diese Fähigkeit verwendet nur die Python 3-Standardbibliothek und benötigt kein Bootstrap.
4. NÄCHSTER: Führen Sie python3 scripts/review_case.py <case-root> --format markdown aus.
5. AKTION: Beheben Sie jeden Fehler und führen Sie die Prüfung erneut aus, bevor Sie eine Übergabe als abgeschlossen melden.

Tool-Abhängigkeiten

Tool	Erforderlich	Zweck	Auto-Bootstrap
Python 3.9+	Ja	Führt das schreibgeschützte Fallprüfungsskript aus	Nein, verwenden Sie die Python-Installation der Plattform

Es ist kein Netzwerkzugriff oder Drittanbieterpaket erforderlich.

Arbeitsablauf

Phase 1: Aufnahme (Intake)

Führen Sie die Prüfung gegen das vorhandene Fallverzeichnis aus:

python3 skills/case-review/scripts/review_case.py work/<case> --format markdown

Bestätigen Sie, dass scope.md, timeline.md, workitems.md und evidence/ vorhanden sind. Eine nicht strenge Prüfung meldet Umfangswarnungen, während eine strenge Prüfung Warnungen als Übergabeblocker behandelt.

建议下一步（选一个编号）

1. 修复 scope.md 中的授权、范围或 network_profile 字段
2. 继续检查 Evidence 记录的可复现命令和来源
3. 导出当前 review 结果并附到阶段性报告
4. 换 JSON 输出接入 CI 或其他审查工具
5. 暂停，先确认审查范围

Phase 2: Rückverfolgbarkeit (Traceability)

Überprüfen Sie die Prüfungen auf:

• Nicht vorhandene Beweis-IDs
• Befunde ohne evidence_ids
• Pfade ohne zulässigen path_type oder Beweisverweis
• Arbeitspakete und Zeitleisteneinträge, die auf unbekannte Beweise verweisen
• Nicht verknüpfte Beweisaufzeichnungen
• Validierte Befunde mit geringem Vertrauen

Eine Offline-Beobachtung darf repro_command: n/a nur dann verwenden, wenn das Feld notes die Offline-Einschränkung explizit dokumentiert.

Verwenden Sie JSON, wenn ein anderes Tool stabile Felder benötigt:

python3 skills/case-review/scripts/review_case.py work/<case> --format json

建议下一步（选一个编号）

1. 补写缺失的 Evidence，并保留原始命令
2. 将候选 Finding 绑定到 Evidence 后重新审查
3. 为调用链或攻击链补充 P-id 和 Path 步骤
4. 生成 Markdown handoff summary
5. 换回 PRIMARY skill 继续分析

Phase 3: Hash-Überprüfung (Fixity verification)

Wenn eine Beweisaufzeichnung sowohl content_hash als auch artifact_path enthält, überprüfen Sie das falllokale Artefakt:

python3 skills/case-review/scripts/review_case.py work/<case> --verify-hashes --strict

Das Skript akzeptiert sha256:<64 hex characters> und prüft, dass das Artefakt innerhalb des Fallverzeichnisses bleibt. Eine Hash-Abweichung ist ein schwerwiegender Fehler.

Der PowerShell-Beweishelfer kann einen Hash aufzeichnen, während ein Eintrag angehängt wird:

powershell -File skills/scripts/append-evidence.ps1 -CaseRoot work\<case> -Id E-001 -Title "Beispiel-Hash" -ReproCommand "sha256sum evidence/sample.bin" -ArtifactPath "evidence\sample.bin"

建议下一步（选一个编号）

1. 修复 hash mismatch 或替换已污染的工作副本
2. 为未固定的原始文件补充 SHA-256 和 artifact_path
3. 继续进入报告生成阶段
4. 导出 JSON 结果供 CI 保存
5. 暂停并请求人工复核

Phase 4: Übergabe (Handoff)

Verwenden Sie den strengen Modus vor einem endgültigen Bericht oder einer Spezialistenübergabe:

python3 skills/case-review/scripts/review_case.py work/<case> --strict --format markdown > work/<case>/report/case-review.md

Der Befehl ist in Bezug auf den Fall schreibgeschützt, es sei denn, die Shell-Umleitung wird explizit verwendet, um seine Ausgabe zu speichern. Die Prüfung ist keine Rechtsberatung und ersetzt keine organisatorischen Verfahren zur Beweismittelverwaltung.

建议下一步（选一个编号）

1. 将通过的 review 结果交给 docs-generator/ 生成正式报告
2. 回到 PRIMARY skill 补齐新的分析证据
3. 归档 Markdown 和 JSON review 结果
4. 暂停并请求人工复核

Sprachverhaltensvertrag

• Interne Überlegungen, Tool-Auswahl und Phasensteuerung: Englisch.
• Für den Benutzer sichtbare Nachrichten, Abschnittsbezeichnungen, Berichte und Menüs für die nächsten Schritte: Chinesisch, es sei denn, der Benutzer fordert eine andere Sprache an.
• Standardmäßige zweisprachige Bezeichnungen setzen Chinesisch an die erste und Englisch an die zweite Stelle, getrennt durch /.

Bootstrap-Grenze

Diese Fähigkeit hat keine Drittanbieterabhängigkeit. Wenn Python 3 nicht verfügbar ist, ist die einzige zulässige Wiederherstellungsmaßnahme der Repository-Bootstrap-Pfad, wenn eine Python-Fähigkeit für die aktuelle Plattform registriert ist. Wenn keine solche Fähigkeit registriert ist, stoppen Sie und melden Sie die fehlende Laufzeitumgebung. Erraten Sie keine ausführbaren Pfade, laden Sie keine Pakete herunter und führen Sie keine manuelle Installation innerhalb dieser Fähigkeit durch.

Routing-Kontext

Upstream-Einstieg: jeder Reverse-, Forensik-, CTF- oder autorisierte Sicherheitsskill, der ein Fallpaket erstellt hat.

Downstream-Ausgang: docs-generator/ für einen formalen Bericht oder der ursprüngliche PRIMARY-Skill, wenn der Graph unvollständig ist.

Verwandte Module: ops/evidence-finding-path.md, ops/timeline-workitem.md, digital-forensics/, reverse-engineering/ und docs-generator/.

Referenzen

• NIST SP 800-86: Guide to Integrating Forensic Techniques into Incident Response
• SWGDE Best Practices for Computer Forensic Acquisitions
• SWGDE Best Practices for Archiving Digital and Multimedia Evidence

任务完成自检

• 我是否审查了 scope.md、timeline.md、workitems.md 和 evidence/？
• 所有 Finding 是否引用了现存 Evidence？
• 所有 Path 是否包含合法 path_type 和 Evidence 引用？
• 是否执行了 hash verification，或记录了未执行原因？
• 是否以 strict 模式重新运行并保存了 review 结果？