증거 그래프 검토은(는) 무엇을 하나요?
리버스 엔지니어링, 포렌식, CTF 또는 공인된 보안 케이스의 방어 가능한 인계가 필요할 때 이 스킬을 사용하세요. 기존 work/<case>/ 패키지를 케이스 변경이나 대상 접촉 없이 감사합니다.
범위
이 스킬이 다루는 내용:
- 범위 메타데이터 및 대상-활동 준비 상태
- 증거 레코드 구조 및 재현성 필드
- 작업 항목 및 타임라인 항목에서 증거로의 참조
- 보고서 Markdown의 구조화된 조사 결과(Findings) 및 경로(Paths)
- 케이스 로컬 아티팩트에 대한 선택적 SHA-256 검증
- 보고서 인계용 Markdown 또는 JSON 검토 결과
정찰, 익스플로잇, 동적 계측 또는 대상 변경을 수행해서는 안 됩니다. 이러한 작업은 라우팅된 분석 스킬에 속하며 케이스 범위 게이트가 필요합니다.
필수 조치
지금:../field-journal/precedent-reverse.md를 읽고 기존 공인된 케이스 패키지에 대한 검토인지 확인하세요.지금: 케이스 경로를 확인하고 읽기 전용 검토 모드를 선택하세요.다음:../tool-index.md를 읽으세요. 이 스킬은 Python 3 표준 라이브러리만 사용하며 부트스트랩이 필요하지 않습니다.다음:python3 scripts/review_case.py <case-root> --format markdown을 실행하세요.실행: 모든 오류를 해결한 후, 인계 완료를 주장하기 전에 검토를 다시 실행하세요.
도구 의존성
| 도구 | 필수 | 목적 | 자동 부트스트랩 |
|---|---|---|---|
| Python 3.9+ | 예 | 읽기 전용 케이스 검토 스크립트 실행 | 아니요, 플랫폼 Python 설치 사용 |
네트워크 액세스나 서드파티 패키지가 필요하지 않습니다.
워크플로
1단계: 수집
기존 케이스 디렉터리에서 검토를 실행하세요:
python3 skills/case-review/scripts/review_case.py work/<case> --format markdown
scope.md, timeline.md, workitems.md 및 evidence/가 있는지 확인하세요. 비엄격 검토는 범위 경고를 보고하는 반면, 엄격 검토는 경고를 인계 차단 요소로 처리합니다.
다음 단계 제안 (번호 선택)
- scope.md의 인증, 범위 또는 network_profile 필드 수정
- 증거 레코드의 재현 가능한 명령 및 출처 계속 확인
- 현재 검토 결과를 내보내고 중간 보고서에 첨부
- JSON 출력으로 전환하여 CI 또는 기타 검토 도구와 연동
- 일시 중지하고 검토 범위를 먼저 확인
2단계: 추적성
다음 확인 사항을 검토하세요:
- 존재하지 않는 증거 ID
evidence_ids가 없는 조사 결과- 허용된
path_type또는 증거 참조가 없는 경로 - 알 수 없는 증거를 가리키는 작업 항목 및 타임라인 항목
- 연결되지 않은 증거 레코드
- 낮은 신뢰도로 검증된 조사 결과
오프라인 관찰은 notes 필드가 오프라인 제한을 명시적으로 문서화한 경우에만 repro_command: n/a를 사용할 수 있습니다.
다른 도구가 안정적인 필드를 필요로 하는 경우 JSON을 사용하세요:
python3 skills/case-review/scripts/review_case.py work/<case> --format json
다음 단계 제안 (번호 선택)
- 누락된 증거를 보충하고 원래 명령 유지
- 후보 조사 결과를 증거에 바인딩한 후 재검토
- 호출 체인 또는 공격 체인을 위해 P-id 및 Path 단계 추가
- Markdown handoff 요약 생성
- PRIMARY 스킬로 전환하여 분석 계속
3단계: 고정성 검증
증거 레코드에 content_hash와 artifact_path가 모두 포함된 경우 케이스 로컬 아티팩트를 검증하세요:
python3 skills/case-review/scripts/review_case.py work/<case> --verify-hashes --strict
스크립트는 sha256:<64 16진수 문자>를 허용하며 아티팩트가 케이스 루트 내에 남아 있는지 확인합니다. 해시 불일치는 하드 실패입니다.
PowerShell 증거 도우미는 레코드를 추가하는 동안 해시를 기록할 수 있습니다:
powershell -File skills/scripts/append-evidence.ps1 -CaseRoot work\<case> -Id E-001 -Title "샘플 해시" -ReproCommand "sha256sum evidence/sample.bin" -ArtifactPath "evidence\sample.bin"
다음 단계 제안 (번호 선택)
- 해시 불일치를 수정하거나 손상된 작업 복사본 교체
- 고정되지 않은 원본 파일에 SHA-256 및 artifact_path 추가
- 보고서 생성 단계로 계속 진행
- CI 저장용 JSON 결과 내보내기
- 일시 중지하고 수동 검토 요청
4단계: 인계
최종 보고서 또는 전문가 인계 전에 엄격 모드를 사용하세요:
python3 skills/case-review/scripts/review_case.py work/<case> --strict --format markdown > work/<case>/report/case-review.md
해당 명령은 셸 리디렉션이 명시적으로 출력을 저장하는 데 사용되지 않는 한 케이스에 대해 읽기 전용입니다. 이 검토는 법적 조언이 아니며 조직의 증거 처리 절차를 대체하지 않습니다.
다음 단계 제안 (번호 선택)
- 통과된 검토 결과를
docs-generator/에 전달하여 공식 보고서 생성 - PRIMARY 스킬로 돌아가 새로운 분석 증거 보충
- Markdown 및 JSON 검토 결과 보관
- 일시 중지하고 수동 검토 요청
언어 행동 계약
- 내부 추론, 도구 선택 및 단계 제어: 영어.
- 사용자에게 보이는 메시지, 섹션 레이블, 보고서 및 다음 단계 메뉴: 사용자가 다른 언어를 요청하지 않는 한 한국어.
- 기본 이중 언어 레이블은 한국어를 먼저, 영어를 두 번째로 배치하며
/로 구분합니다.
부트스트랩 경계
이 스킬에는 서드파티 의존성이 없습니다. Python 3를 사용할 수 없는 경우, 허용되는 유일한 복구 작업은 현재 플랫폼에 Python 기능이 등록된 경우 저장소 부트스트랩 경로입니다. 해당 기능이 등록되지 않은 경우 중지하고 누락된 런타임을 보고하세요. 실행 경로를 추측하거나, 패키지를 다운로드하거나, 이 스킬 내에서 수동 설치를 수행하지 마세요.
라우팅 컨텍스트
상위 진입점: 케이스 패키지를 생성한 리버스, 포렌식, CTF 또는 공인된 보안 스킬.
하위 종료점: 공식 보고서를 위한 docs-generator/ 또는 그래프가 불완전한 경우 원래 PRIMARY 스킬.
관련 모듈: ops/evidence-finding-path.md, ops/timeline-workitem.md, digital-forensics/, reverse-engineering/, docs-generator/.
참고 자료
- NIST SP 800-86: Guide to Integrating Forensic Techniques into Incident Response
- SWGDE Best Practices for Computer Forensic Acquisitions
- SWGDE Best Practices for Archiving Digital and Multimedia Evidence
작업 완료 자가 점검
- scope.md, timeline.md, workitems.md 및 evidence/를 검토했습니까?
- 모든 조사 결과가 기존 증거를 참조하고 있습니까?
- 모든 경로에 유효한 path_type 및 증거 참조가 포함되어 있습니까?
- 해시 검증을 수행했거나, 수행하지 않은 이유를 기록했습니까?
- 엄격 모드로 재실행하고 검토 결과를 저장했습니까?