reverse-skills-max: initial public release (restored, redacted, hardened)

vendor-new/rev-skills/.claude/skills/re-hunting/references/decision-tree.md

@@ -0,0 +1,66 @@
+# 狩猎决策树与证据分级
+
+狩猎是「假设 → 验证 → 归档」的闭环，不是日志翻找。本文档与 SKILL.md 步骤 1-4 配套使用。
+
+## 任务类型决策树
+
+```
+狩猎请求
+├─ 有具体情报线索（新威胁/新技术）→ 假设驱动（情报 → 技术 → 遥测 → 验证）
+├─ 无线索，想找未知 → 基线驱动（先建基线 → 找偏离 → 解释偏离）
+└─ 已知环境 + 已知技术清单 → 模型辅助（规则匹配 / ATT&CK 覆盖审查）
+```
+
+## 假设生成分支
+
+```
+假设输入源
+├─ 外部情报（[[re-ti]]）→ 提取技术 X → 映射环境内遥测痕迹 Y
+├─ 内部事件复盘 → 找同类未发现（假设「还有更多」）
+└─ 环境特征（暴露面/新技术上线）→ 针对新增攻击面生成
+
+假设句式必须可证伪：X 技术 → Y 痕迹 → 验证方法 → 反证形态
+（写不出反证形态的假设不查，见 [[gotchas]] 认知偏差坑）
+```
+
+## 遥测可用性分支
+
+```
+遥测盘点
+├─ EDR/进程日志 → 进程链/命令行假设（4688、Sysmon 1）
+├─ 认证日志 → 登录假设（4624/4625、域认证）
+├─ 网络流量 → 外联/协议假设（[[re-netcap]] 深挖）
+├─ 文件系统监控 → 文件落地假设（Sysmon 11）
+└─ 都缺 → 不进入狩猎，输出「采集缺口」清单（见 [[gotchas]] 盲区坑）
+```
+
+## 命中判定分级表
+
+| 级别 | 判据 | 处置 |
+|---|---|---|
+| 确认命中 | 多源证据一致 + 恶意特征明确（行为链完整） | 事件报告 + IOC 沉淀（[[re-ioc]]） |
+| 可疑 | 单源异常 + 无法用环境解释 | 深挖（[[re-behavior]]）后复判；记录但不下结论 |
+| 未证实 | 异常但可被合法场景解释 | 白名单标注，保留记录（环境变化后可能转可疑） |
+| 未命中 | 无偏离或偏离全解释 | 假设归档（可复跑），标注盲区 |
+
+## 验证闭环流程（组合套路）
+
+1. 命中 → 拉原始证据（时间窗口前后 ±24h 上下文）
+2. 环境解释：问业务方/查变更记录/对照维护窗口
+3. 恶意特征核对（行为链、TTP 对齐）
+4. 定级（上表）→ 处置
+5. 存档：证据路径 + 结论 + 置信度（[[re-analyze/analysis-contract]] 格式）
+6. 复盘：假设是否可复用（转规则 / 转 [[re-ioc]] 沉淀）
+
+## 实现教训（内化）
+
+- 假设的可证伪性是第一质量指标：写不出「若为假应看到什么」的假设不查
+- 盲区与结论绑定：交付时永远带「在已采集遥测内」限定
+- 异常先解释再定性：多数异常是环境噪声，确认命中要过「环境解释」关
+- 归档假设是资产：未命中的假设+查询保留可复跑，下轮狩猎直接复用
+
+## 使用注意
+
+- 全部在授权范围内执行（环境/数据源/范围确认先行）
+- 结论按 [[re-analyze/analysis-contract]] 交付；结论带置信度与盲区
+- 涉及样本处置转 [[re-behavior]] / [[re-malware]] 流程，本技能不展开样本分析