用途：该技能用于安全事件后的数字取证工作，指导从授权范围确认到证据保全、工件分析、时间线关联和报告输出的完整流程。
主要能力：
- 范围与协调：确认授权、定义待回答目标、识别保管人/系统/数据类别，先保全后修复并记录取证前操作。
- 证据获取与证据链：按易失性优先级采集，使用写阻断器或云原生快照，记录 who/what/when/where/how 并维护主证据日志与逐项工作表。
- 主机、磁盘与内存工件分析：优先易失数据（内存、网络连接、登录用户），解析注册表、Prefetch、Shimcache、事件日志、Shellbags、浏览器和执行痕迹，并记录工具版本与解析假设。
- 网络、日志与云取证：时间戳统一为 UTC 并引用日志来源与保留期限制，关联防火墙、代理、DNS、IdP、EDR 与云审计日志，导出云证据并明确标注保留或传感器缺口。
- 时间线关联与报告：构建主机/网络/云/身份事件超级时间线，区分事实与推断并标注确认、可能、推测三级置信度，产出执行摘要、技术附录、IOC 清单和待解问题，并准备专家证人提纲（证据清单、方法论摘要）。
- 恶意样本分诊：在隔离实验室处理，禁止在生产网络执行未知样本，采集哈希、字符串、元数据和沙箱输出，可映射 MITRE ATT&CK，并打包 IOC 交由 SOC 使用。
使用方式：按需加载对应参考文件，包括范围与参与类型、获取与证据链、主机与内存工件、网络日志与云取证、时间线与报告、恶意软件分诊。
适用场景：安全事件调查、内部或法律相关取证、保险索赔所需的事实性报告、专家证人准备。
限制：不负责实时事件指挥、SOC 告警分级、主动威胁狩猎、授权渗透测试、二进制/固件/协议逆向工程、LLM 对抗测试、企业安全战略设计、IAM/SIEM/EDR 实施、合规审计映射或云安全护栏建设。该技能不提供法律建议，法律问题应交由律师，不得对责任或罪行发表意见。