証拠グラフレビュー
リバースエンジニアリング、フォレンジック、CTF、または認可されたセキュリティケースで、防御可能な引き渡しが必要な場合にこのスキルを使用します。既存の work/<case>/ パッケージを監査しますが、ケースを変更したりターゲットに触れたりすることはありません。
スコープ
このスキルは以下をカバーします:
- スコープメタデータとターゲットアクティビティの準備状況
- 証拠レコードの構造と再現性フィールド
- 作業項目とタイムラインエントリから証拠への参照
- 報告書Markdown内の構造化された所見とパス
- ケースローカルアーティファクトのオプションのSHA-256検証
- 報告書引き渡し用のMarkdownまたはJSON形式のレビュー結果
偵察、悪用、動的計装、ターゲットの変更を実行してはなりません。これらのアクションはルーティングされた分析スキルに属し、ケーススコープゲートが必要です。
必須アクション
NOW:../field-journal/precedent-reverse.mdを読み、これが既存の認可されたケースパッケージのレビューであることを確認してください。NOW: ケースパスを確認し、読み取り専用のレビューモードを選択してください。NEXT:../tool-index.mdを読んでください。このスキルはPython 3標準ライブラリのみを使用し、ブートストラップは不要です。NEXT:python3 scripts/review_case.py <case-root> --format markdownを実行してください。ACT: すべてのエラーを解決し、引き渡しが完了したと主張する前にレビューを再実行してください。
ツール依存関係
| ツール | 必須 | 目的 | 自動ブートストラップ |
|---|---|---|---|
| Python 3.9+ | はい | 読み取り専用のケースレビュースクリプトを実行 | いいえ、プラットフォームのPythonインストールを使用 |
ネットワークアクセスやサードパーティパッケージは不要です。
ワークフロー
フェーズ1: インテーク
既存のケースディレクトリに対してレビューを実行:
python3 skills/case-review/scripts/review_case.py work/<case> --format markdown
scope.md、timeline.md、workitems.md、evidence/ が存在することを確認してください。非厳格レビューではスコープ警告を報告しますが、厳格レビューでは警告を引き渡しブロッカーとして扱います。
次のステップの提案（番号を選択）
- scope.md の authorization、scope、network_profile フィールドを修正
- Evidence レコードの再現可能コマンドとソースを引き続き確認
- 現在のレビュー結果をエクスポートし、中間報告書に添付
- 出力をJSONに切り替え、CIや他のレビューツールと統合
- 一旦停止し、レビュースコープを確認
フェーズ2: トレーサビリティ
以下のチェック内容をレビュー:
- 存在しない証拠ID
evidence_idsのない所見- 許可された
path_typeや証拠参照がないパス - 未知の証拠を指す作業項目とタイムラインエントリ
- リンクされていない証拠レコード
- 信頼性の低い検証済み所見
オフライン観測では、notes フィールドにオフライン制限が明示的に文書化されている場合にのみ repro_command: n/a を使用できます。
別のツールが安定したフィールドを必要とする場合はJSONを使用:
python3 skills/case-review/scripts/review_case.py work/<case> --format json
次のステップの提案（番号を選択）
- 不足しているEvidenceを補完し、元のコマンドを保持
- 候補FindingをEvidenceにバインドした後、再レビュー
- 呼び出しチェーンまたは攻撃チェーンにP-idとPathステップを追加
- Markdownの引き渡しサマリーを生成
- PRIMARYスキルに戻り、分析を継続
フェーズ3: 固定性検証
証拠レコードに content_hash と artifact_path の両方が含まれている場合、ケースローカルアーティファクトを検証:
python3 skills/case-review/scripts/review_case.py work/<case> --verify-hashes --strict
スクリプトは sha256:<64 hex characters> 形式を受け付け、アーティファクトがケースルート内に残っていることを確認します。ハッシュ不一致は重大な失敗です。
PowerShellの証拠ヘルパーは、レコードを追加しながらハッシュを記録できます:
powershell -File skills/scripts/append-evidence.ps1 -CaseRoot work\<case> -Id E-001 -Title "サンプルハッシュ" -ReproCommand "sha256sum evidence/sample.bin" -ArtifactPath "evidence\sample.bin"
次のステップの提案（番号を選択）
- ハッシュ不一致を修正するか、汚染された作業コピーを置き換え
- 固定されていない元のファイルにSHA-256とartifact_pathを追加
- レポート生成フェーズに進む
- JSON結果をエクスポートし、CIで保存
- 一時停止し、手動レビューを依頼
フェーズ4: 引き渡し
最終報告書または専門家への引き渡しの前に厳格モードを使用:
python3 skills/case-review/scripts/review_case.py work/<case> --strict --format markdown > work/<case>/report/case-review.md
このコマンドは、シェルリダイレクトを使用して出力を明示的に保存しない限り、ケースに対して読み取り専用です。このレビューは法的助言ではなく、組織の証拠取り扱い手順を代替するものではありません。
次のステップの提案（番号を選択）
- 合格したレビュー結果を
docs-generator/に渡し、正式なレポートを生成 - PRIMARYスキルに戻り、新しい分析証拠を補完
- MarkdownとJSONのレビュー結果をアーカイブ
- 一時停止し、手動レビューを依頼
言語動作契約
- 内部推論、ツール選択、フェーズ制御: 英語。
- ユーザーに表示されるメッセージ、セクションラベル、レポート、次のステップメニュー: 日本語。ユーザーが別の言語を要求した場合はその言語。
- デフォルトの二言語ラベルは、日本語を先に、英語を後にし、
/で区切ります。
ブートストラップ境界
このスキルにはサードパーティの依存関係はありません。Python 3が利用できない場合、許可される唯一の回復アクションは、現在のプラットフォームにPython機能が登録されている場合のリポジトリブートストラップパスです。そのような機能が登録されていない場合は、停止して不足しているランタイムを報告してください。実行可能パスを推測したり、パッケージをダウンロードしたり、このスキル内から手動インストールを実行したりしないでください。
ルーティングコンテキスト
上流エントリ: ケースパッケージを生成したリバース、フォレンジック、CTF、または認可されたセキュリティスキル。
下流出口: 正式なレポートのための docs-generator/、またはグラフが不完全な場合の元のPRIMARYスキル。
関連モジュール: ops/evidence-finding-path.md、ops/timeline-workitem.md、digital-forensics/、reverse-engineering/、docs-generator/。
参考文献
- NIST SP 800-86: Guide to Integrating Forensic Techniques into Incident Response
- SWGDE Best Practices for Computer Forensic Acquisitions
- SWGDE Best Practices for Archiving Digital and Multimedia Evidence
タスク完了セルフチェック
- scope.md、timeline.md、workitems.md、evidence/ をレビューしましたか？
- すべてのFindingが存在するEvidenceを参照していますか？
- すべてのPathに有効なpath_typeとEvidence参照が含まれていますか？
- ハッシュ検証を実行しましたか、または未実行の理由を記録しましたか？
- 厳格モードで再実行し、レビュー結果を保存しましたか？