reverse-skills-max: initial public release (restored, redacted, hardened)

vendor-new/rev-skills/.claude/skills/re-attribution/references/decision-tree.md

@@ -0,0 +1,71 @@
+# 归因决策树与证据分级
+
+归因是推理链不是查询：每一步都要能回答「这条证据支持/反对哪个假设，强度多少」。本文档与 SKILL.md 步骤 1-4 配套使用。
+
+## 场景决策树（输入 → 分支）
+
+```
+输入请求
+├─ 单 IOC / 单个样本背景 → [[re-ti]]（查询即可，不进入归因）
+├─ 行为判定「在干什么」→ [[re-behavior]]
+├─ 「是不是同一伙」多事件串并 → 归因流程（钻石模型定位）
+└─ 「谁干的」组织级归因 → 归因流程 + 置信度分级
+```
+
+归因流程（钻石模型）：
+
+```
+四角信息盘点
+├─ 仅 1 角（只有样本或只有域名）→ 不出归因结论，输出「情报线索」级
+├─ ≥2 角且无独立证据交叉 → 「关联活动」声明（低置信度）
+├─ 2 类独立证据交叉 → 「疑似同一活动」（中置信度）
+└─ ≥3 类 + 时间线一致 + 无反证 → 「高度疑似归属」（高置信度）
+```
+
+证据收集子分支（每角都走）：
+
+```
+证据类型 → 区分「控制」与「共享」
+├─ 控制面证据（注册邮箱/证书私钥操作/唯一配置/自研工具）→ 可计强证据
+├─ 共享面证据（托管商/跳板/公共 C2 框架/公开工具）→ 仅弱证据，不可独立归因
+└─ 时间线（活动窗口/时区校准后对齐）→ 只能佐证，不能独立定案
+```
+
+## 分支逻辑说明
+
+- **入口分流**：归因请求先问「有没有两角以上」，不足则退回情报级输出（单 IOC 查询归 [[re-ti]]），这是防止「一个域名归一个组织」类错误声明的第一道闸
+- **证据独立性**：两条证据来自同一条数据链（如同一份 whois 记录里的邮箱与注册者）算一类证据，不交叉；交叉 = 不同来源（whois + 证书透明 + 行为分析）
+- **强证据门槛**：唯一性特征（罕见字符串、自研工具、唯一注册信息）才可作强证据；「共用 C2 框架」等商品化特征一律弱证据
+- **时间线只作佐证**：时间窗口重叠说明「可能同时活跃」，不说明同一归属（攻击者会复用时段）；时间线缺口必须显式标注
+
+## 证据分级表
+
+| 证据类型 | 弱 | 中 | 强 | 归因意义 |
+|---|---|---|---|---|
+| 基础设施 | 同托管商/同 C2 框架 | 共用 NS/ASN/证书 | 唯一注册邮箱/私钥/证书链 | 强证据可作核心，弱证据只作旁证 |
+| 能力/样本 | 同家族通用 TTP | 代码片段相似 | 唯一字符串/编译特征/自研模块 | 工具是商品化资源，单独不能定案 |
+| 行为/TTP | 同大类技术（ATT&CK 一级） | 同技术组合序列 | 罕见流程顺序+参数习惯 | 需要叠加其他角才升档 |
+| 时间线 | 活跃时段相近 | 时段重叠+节奏一致 | 事件序列交错（互为前置） | 只能佐证，不能独立定案 |
+| 反证 | 一条矛盾证据 | 多条矛盾证据 | 结构性矛盾（能力与声明不符） | 任何等级都要列出反证 |
+
+## 置信度判定流程（组合套路）
+
+1. 把每条证据按上表标档（弱/中/强）
+2. 合并同类来源（同一数据链只算一次）
+3. 统计独立证据类数（基础设施/能力/行为/时间线）
+4. 对照分级：1 类弱 = 低；2 类交叉或 1 类强 = 中；≥3 类 + 无反证 = 高
+5. 检查反证：有矛盾证据 → 降一级并写进报告「未决项」
+6. 措辞与置信度严格对应（见 [[gotchas]] 声明边界）
+
+## 实现教训（内化）
+
+- 「控制 vs 共享」是第一判断，不是相似度判断——先问这条证据能不能被第三方买到/租到/偷到，再谈强度
+- 证据要能复现：每条证据标注来源与查询时间（whois 记录会过期，截图存档）
+- 分级结果不是终点：高置信度声明也要写「假设前提」（如「假设该基础设施未被劫持」）
+- 归因输出是概率化陈述，报告里禁用绝对化断言
+
+## 使用注意
+
+- 全部在授权范围与脱敏要求内执行（不点名真实组织/受害者，见 SKILL.md 红线）
+- 结论按 [[re-analyze/analysis-contract]] 格式交付；对外报告与内部结论分离
+- 本技能结论是情报判断，不是司法证据（标准不同，见 [[gotchas]]）