Revisão do Gráfico de Evidências

Quando Usar

• Antes de entregar um relatório de análise, verifique a rastreabilidade e a completude.
• Auditar se as conclusões são apoiadas por evidências registradas.

Use esta habilidade quando um caso de engenharia reversa, forense, CTF ou de segurança autorizado precisar de uma entrega defensável. Ela audita o pacote work/<case>/ existente sem alterar o caso ou tocar em um alvo.

Escopo

Esta habilidade abrange:

• Metadados de escopo e prontidão de atividade alvo
• Estrutura do registro de evidências e campos de reprodutibilidade
• Referências de itens de trabalho e entradas de linha do tempo para Evidências
• Achados Estruturados e Caminhos no Markdown do relatório
• Verificação opcional SHA-256 para artefatos locais do caso
• Uma revisão em Markdown ou JSON para entrega do relatório

NÃO deve realizar reconhecimento, exploração, instrumentação dinâmica ou alterações no alvo. Essas ações pertencem à habilidade de análise roteada e exigem o portão de escopo do caso.

Dependências de Ferramentas

Nenhum acesso à rede ou pacote de terceiros é necessário.

Fluxo de Trabalho

Fase 1: Entrada

Execute a revisão no diretório de caso existente:

python3 skills/case-review/scripts/review_case.py work/<case> --format markdown

Confirme que scope.md, timeline.md, workitems.md e evidence/ estão presentes. Uma revisão não rigorosa relata avisos de escopo, enquanto uma revisão rigorosa trata os avisos como bloqueadores de entrega.

Sugestão de Próximos Passos (Escolha um número)

1. Corrigir os campos de autorização, escopo ou network_profile em scope.md
2. Continuar a verificar os comandos reprodutíveis e as fontes dos registros de Evidências
3. Exportar o resultado da revisão atual e anexá-lo ao relatório de estágio
4. Mudar para saída JSON para integração com CI ou outras ferramentas de revisão
5. Pausar e confirmar primeiro o escopo da revisão

Fase 2: Rastreabilidade

Revise as verificações para:

• IDs de Evidências que não existem
• Achados sem evidence_ids
• Caminhos sem um path_type permitido ou referência de Evidência
• Itens de trabalho e entradas de linha do tempo apontando para Evidências desconhecidas
• Registros de Evidências não vinculados
• Achados Validados com baixa confiança

Uma observação offline pode usar repro_command: n/a somente quando seu campo notes documentar explicitamente a limitação offline.

Use JSON quando outra ferramenta precisar de campos estáveis:

python3 skills/case-review/scripts/review_case.py work/<case> --format json

Sugestão de Próximos Passos (Escolha um número)

1. Adicionar as Evidências ausentes e manter os comandos originais
2. Revisar novamente após vincular Achados candidatos às Evidências
3. Adicionar P-id e etapas de Caminho para a cadeia de chamadas ou cadeia de ataque
4. Gerar um resumo de entrega em Markdown
5. Voltar para a habilidade PRIMÁRIA para continuar a análise

Fase 3: Verificação de Fixidez

Quando um registro de Evidência contiver tanto content_hash quanto artifact_path, verifique o artefato local do caso:

python3 skills/case-review/scripts/review_case.py work/<case> --verify-hashes --strict

O script aceita sha256:<64 hex characters> e verifica se o artefato permanece dentro da raiz do caso. Uma incompatibilidade de hash é uma falha grave.

O helper de Evidência do PowerShell pode registrar um hash ao anexar um registro:

powershell -File skills/scripts/append-evidence.ps1 -CaseRoot work\<case> -Id E-001 -Title "Sample hash" -ReproCommand "sha256sum evidence/sample.bin" -ArtifactPath "evidence\sample.bin"

Sugestão de Próximos Passos (Escolha um número)

1. Corrigir a incompatibilidade de hash ou substituir a cópia de trabalho contaminada
2. Adicionar SHA-256 e artifact_path para arquivos originais não fixados
3. Continuar para a fase de geração de relatório
4. Exportar resultado JSON para o CI salvar
5. Pausar e solicitar revisão manual

Fase 4: Entrega

Use o modo rigoroso antes de um relatório final ou entrega a um especialista:

python3 skills/case-review/scripts/review_case.py work/<case> --strict --format markdown > work/<case>/report/case-review.md

O comando é somente leitura em relação ao caso, a menos que o redirecionamento do shell seja explicitamente usado para salvar sua saída. A revisão não é aconselhamento jurídico e não substitui os procedimentos organizacionais de manuseio de evidências.

Sugestão de Próximos Passos (Escolha um número)

1. Entregar os resultados da revisão aprovados para docs-generator/ gerar o relatório formal
2. Voltar para a habilidade PRIMÁRIA para adicionar novas evidências de análise
3. Arquivar os resultados da revisão em Markdown e JSON
4. Pausar e solicitar revisão manual

Contrato de Comportamento da Linguagem

• Raciocínio interno, seleção de ferramentas e controle de fase: Inglês.
• Mensagens visíveis ao usuário, rótulos de seção, relatórios e menus de próximos passos: Chinês, a menos que o usuário solicite outro idioma.
• Rótulos bilíngues padrão colocam o Chinês primeiro e o Inglês em segundo, separados por /.

Limite de Bootstrap

…