Revisão do Gráfico de Evidências

Use esta habilidade quando uma análise de engenharia reversa, forense, CTF ou um caso de segurança autorizado precisar de uma entrega defensável. Ela audita o pacote work/<case>/ existente sem alterar o caso ou tocar em um alvo.

Escopo

Esta habilidade abrange:

• Metadados de escopo e prontidão de atividade do alvo
• Estrutura de registro de evidências e campos de reprodutibilidade
• Referências de itens de trabalho e entradas de linha do tempo para Evidências
• Constatações Estruturadas e Caminhos no Markdown do relatório
• Verificação opcional SHA-256 para artefatos locais do caso
• Um resultado de revisão em Markdown ou JSON para entrega de relatório

NÃO deve realizar reconhecimento, exploração, instrumentação dinâmica ou alterações no alvo. Essas ações pertencem à habilidade de análise roteada e exigem o portão de escopo do caso.

AÇÃO NECESSÁRIA

1. NOW: leia ../field-journal/precedent-reverse.md e confirme que esta é uma revisão de um pacote de caso autorizado existente.
2. NOW: confirme o caminho do caso e escolha o modo de revisão somente leitura.
3. NEXT: leia ../tool-index.md; esta habilidade usa apenas a biblioteca padrão do Python 3 e não requer bootstrap.
4. NEXT: execute python3 scripts/review_case.py <case-root> --format markdown.
5. ACT: resolva todos os erros, então reexecute a revisão antes de declarar que a entrega foi concluída.

Dependências de Ferramentas

Nenhum acesso à rede ou pacote de terceiros é necessário.

Fluxo de Trabalho

Fase 1: Entrada

Execute a revisão no diretório de caso existente:

python3 skills/case-review/scripts/review_case.py work/<case> --format markdown

Confirme que scope.md, timeline.md, workitems.md e evidence/ estão presentes. Uma revisão não rigorosa relata avisos de escopo, enquanto uma revisão rigorosa trata os avisos como bloqueadores de entrega.

Sugestão de Próximo Passo (escolha um número)

1. Corrigir os campos de autorização, escopo ou network_profile em scope.md
2. Continuar a verificar os comandos reprodutíveis e a origem dos registros de Evidência
3. Exportar o resultado da revisão atual e anexá-lo ao relatório de fase
4. Mudar para saída JSON para integração com CI ou outras ferramentas de revisão
5. Pausar e confirmar o escopo da revisão primeiro

Fase 2: Rastreabilidade

Revise as verificações para:

• IDs de Evidência que não existem
• Constatações sem evidence_ids
• Caminhos sem path_type permitido ou referência de Evidência
• Itens de trabalho e entradas de linha do tempo apontando para Evidência desconhecida
• Registros de Evidência não vinculados
• Constatações validadas com baixa confiança

Uma observação offline pode usar repro_command: n/a apenas quando seu campo notes documenta explicitamente a limitação offline.

Use JSON quando outra ferramenta precisar de campos estáveis:

python3 skills/case-review/scripts/review_case.py work/<case> --format json

Sugestão de Próximo Passo (escolha um número)

1. Adicionar Evidências ausentes e manter os comandos originais
2. Revisar novamente após vincular Constatações candidatas à Evidência
3. Adicionar etapas de P-id e Caminho para a cadeia de chamadas ou cadeia de ataque
4. Gerar um resumo de entrega em Markdown
5. Voltar para a habilidade PRIMARY para continuar a análise

Fase 3: Verificação de Fixidez

Quando um registro de Evidência contiver tanto content_hash quanto artifact_path, verifique o artefato local do caso:

python3 skills/case-review/scripts/review_case.py work/<case> --verify-hashes --strict

O script aceita sha256:<64 hex characters> e verifica se o artefato permanece dentro da raiz do caso. Uma incompatibilidade de hash é uma falha grave.

O helper de Evidência do PowerShell pode registrar um hash ao anexar um registro:

powershell -File skills/scripts/append-evidence.ps1 -CaseRoot work\<case> -Id E-001 -Title "Sample hash" -ReproCommand "sha256sum evidence/sample.bin" -ArtifactPath "evidence\sample.bin"

Sugestão de Próximo Passo (escolha um número)

1. Corrigir a incompatibilidade de hash ou substituir a cópia de trabalho contaminada
2. Adicionar SHA-256 e artifact_path para arquivos originais não fixados
3. Continuar para a fase de geração de relatório
4. Exportar o resultado JSON para o CI salvar
5. Pausar e solicitar revisão manual

Fase 4: Entrega

Use o modo rigoroso antes de um relatório final ou entrega a um especialista:

python3 skills/case-review/scripts/review_case.py work/<case> --strict --format markdown > work/<case>/report/case-review.md

O comando é somente leitura em relação ao caso, a menos que o redirecionamento do shell seja explicitamente usado para salvar sua saída. A revisão não é aconselhamento jurídico e não substitui os procedimentos organizacionais de manuseio de evidências.

Sugestão de Próximo Passo (escolha um número)

1. Entregar o resultado da revisão aprovado para docs-generator/ gerar o relatório formal
2. Voltar para a habilidade PRIMARY para adicionar novas evidências de análise
3. Arquivar os resultados da revisão em Markdown e JSON
4. Pausar e solicitar revisão manual

Contrato de Comportamento de Linguagem

• Raciocínio interno, seleção de ferramentas e controle de fase: Inglês.
• Mensagens visíveis ao usuário, rótulos de seção, relatórios e menus de próximo passo: Chinês, a menos que o usuário solicite outro idioma.
• Rótulos bilíngues padrão colocam o Chinês primeiro e o Inglês em segundo, separados por /.

…