reverse-skills-max: initial public release (restored, redacted, hardened)

vendor-new/rev-skills/.claude/skills/re-hunting/references/decision-tree.md

@@ -0,0 +1,66 @@
+# 狩猎决策树与证据分级
+
+狩猎是「假设 → 验证 → 归档」的闭环，不是日志翻找。本文档与 SKILL.md 步骤 1-4 配套使用。
+
+## 任务类型决策树
+
+```
+狩猎请求
+├─ 有具体情报线索（新威胁/新技术）→ 假设驱动（情报 → 技术 → 遥测 → 验证）
+├─ 无线索，想找未知 → 基线驱动（先建基线 → 找偏离 → 解释偏离）
+└─ 已知环境 + 已知技术清单 → 模型辅助（规则匹配 / ATT&CK 覆盖审查）
+```
+
+## 假设生成分支
+
+```
+假设输入源
+├─ 外部情报（[[re-ti]]）→ 提取技术 X → 映射环境内遥测痕迹 Y
+├─ 内部事件复盘 → 找同类未发现（假设「还有更多」）
+└─ 环境特征（暴露面/新技术上线）→ 针对新增攻击面生成
+
+假设句式必须可证伪：X 技术 → Y 痕迹 → 验证方法 → 反证形态
+（写不出反证形态的假设不查，见 [[gotchas]] 认知偏差坑）
+```
+
+## 遥测可用性分支
+
+```
+遥测盘点
+├─ EDR/进程日志 → 进程链/命令行假设（4688、Sysmon 1）
+├─ 认证日志 → 登录假设（4624/4625、域认证）
+├─ 网络流量 → 外联/协议假设（[[re-netcap]] 深挖）
+├─ 文件系统监控 → 文件落地假设（Sysmon 11）
+└─ 都缺 → 不进入狩猎，输出「采集缺口」清单（见 [[gotchas]] 盲区坑）
+```
+
+## 命中判定分级表
+
+| 级别 | 判据 | 处置 |
+|---|---|---|
+| 确认命中 | 多源证据一致 + 恶意特征明确（行为链完整） | 事件报告 + IOC 沉淀（[[re-ioc]]） |
+| 可疑 | 单源异常 + 无法用环境解释 | 深挖（[[re-behavior]]）后复判；记录但不下结论 |
+| 未证实 | 异常但可被合法场景解释 | 白名单标注，保留记录（环境变化后可能转可疑） |
+| 未命中 | 无偏离或偏离全解释 | 假设归档（可复跑），标注盲区 |
+
+## 验证闭环流程（组合套路）
+
+1. 命中 → 拉原始证据（时间窗口前后 ±24h 上下文）
+2. 环境解释：问业务方/查变更记录/对照维护窗口
+3. 恶意特征核对（行为链、TTP 对齐）
+4. 定级（上表）→ 处置
+5. 存档：证据路径 + 结论 + 置信度（[[re-analyze/analysis-contract]] 格式）
+6. 复盘：假设是否可复用（转规则 / 转 [[re-ioc]] 沉淀）
+
+## 实现教训（内化）
+
+- 假设的可证伪性是第一质量指标：写不出「若为假应看到什么」的假设不查
+- 盲区与结论绑定：交付时永远带「在已采集遥测内」限定
+- 异常先解释再定性：多数异常是环境噪声，确认命中要过「环境解释」关
+- 归档假设是资产：未命中的假设+查询保留可复跑，下轮狩猎直接复用
+
+## 使用注意
+
+- 全部在授权范围内执行（环境/数据源/范围确认先行）
+- 结论按 [[re-analyze/analysis-contract]] 交付；结论带置信度与盲区
+- 涉及样本处置转 [[re-behavior]] / [[re-malware]] 流程，本技能不展开样本分析

vendor-new/rev-skills/.claude/skills/re-hunting/references/gotchas.md

@@ -0,0 +1,34 @@
+# 狩猎方法论坑与边界
+
+## 假设与认知偏差坑
+
+- **确认偏误**：先有了「某活动存在」的结论，检索时只收集支持证据——每个假设强制列「若为假应看到什么」，反证与支持证据同等记录
+- **假设过窄/过宽**：只查一个技术漏掉家族；或假设太泛（「攻击者可能做了坏事」）无法检索——按 ATT&CK 技术族展开，每假设限定到可观测痕迹
+- **先狩猎后假设**：没有假设直接翻日志找「奇怪的」，结果被噪声淹没、无法判定——狩猎是验证不是观光，假设先行
+- **结论外推**：把「未发现 X」说成「环境安全」——未发现 ≠ 不存在（遥测盲区、规则逃逸、样本不落地）
+
+## 基线构建坑
+
+- **基线污染**：环境早已被攻陷时，恶意活动混入「正常」分布——基线窗口选已知干净时段；标注基线假设；新环境先声明「无基线」
+- **窗口代表性**：只取工作日或只取白天，节假日/夜间行为成异常——基线覆盖业务周期（周/月/季节），标注采样窗口
+- **噪声与阈值**：阈值过低 → 误报疲劳；过高 → 漏报——按基线分布（百分位）校准，先宽后严两轮
+
+## 遥测与数据坑
+
+- **盲区沉默**：没有采集的数据源不会报异常——交付时显式列出「已采集」与「未采集」，结论限定在已采集范围
+- **时钟偏差/时区**：端侧时钟未校准导致事件序列错位（先归一 UTC）；NTP 不可达的隔离网段尤其常见
+- **日志截断/轮转**：日志保留期短导致回溯窗口有限——标注可查窗口；对长期狩猎需求提出采集留存建议
+- **规则逃逸 ≠ 干净**：攻击者会针对监控规则变体绕过——规则命中率低时要补充基线异常检测，不能只信规则
+- **告警系统被关闭/降级**：先验证遥测管道本身健康（收一条已知测试事件），再信「无告警」
+
+## 结论表述边界
+
+- 概率化表述：确认/可疑/未证实/未命中，禁用「肯定/绝对干净」类断言（措辞规范见 [[decision-tree]] 分级表）
+- 限定语必备：「在已采集遥测内」「截至查询时间」「基于当前基线」
+- 反证同样归档：支持证据与反证都进报告，未决项列出原因
+
+## 使用注意
+
+- 授权与范围确认先行（环境、数据源、时间窗）
+- 产物存档（查询、证据、结论，路径 + 时间 + sha256，见 [[re-triage]]）；结论按 [[re-analyze/analysis-contract]] 交付
+- 命中样本深挖转 [[re-behavior]]；指标沉淀转 [[re-ioc]]