artifact-collection 是一个数字取证工件采集与保全技能，来源包为 sherifeldeeb/agentskills，项目地址为 https://www.skills.sh/sherifeldeeb/agentskills/artifact-collection。其目标是在事件响应、调查取证等场景中，系统性地采集和保存来自系统与设备的数字取证证据，并在整个采集过程中维护证据链与取证完整性。
用途 该技能用于在调查或事件响应过程中，从端点、设备或远程系统采集易失性与非易失性工件，并对证据进行打包、校验与登记，以支持后续分析。资料描述其适用场景包括 incident response（事件响应）、收集调查证据，以及相关取证活动。
主要能力 资料列出的能力包括：易失性数据采集（RAM、运行中的进程、网络连接）；磁盘工件采集（注册表、事件日志、浏览器数据）；日志采集（系统、应用程序、安全日志）；配置采集（系统配置与状态）；证据打包（带完整性校验）；证据链管理（记录并维护保管链）；远程采集；Triage 快速采集；选择性采集（针对特定工件类型）；采集校验（验证已采集工件的完整性）。
使用方式 该技能以 Python 库形式提供，示例中通过 from artifact_collection import ArtifactCollector, WindowsCollector, ChainOfCustody 等方式导入。快速开始示例流程为：初始化 WindowsCollector 并指定输出目录，调用 collect_volatile() 采集易失性工件，调用 collect_disk_artifacts() 采集磁盘工件，最后用 ChainOfCustody 生成保管链报告（PDF）。
资料按任务给出了多个用法示例：
- 易失性数据采集：使用 VolatileCollector，指定 output_dir、case_id、examiner，调用 collect_memory、collect_processes、collect_network_connections、collect_network_interfaces、collect_dns_cache、collect_arp_cache、collect_clipboard、collect_environment_variables，并可生成 HTML 报告。
- Windows 工件采集：使用 WindowsCollector，调用 collect_registry、collect_event_logs、collect_prefetch、collect_amcache、collect_srum、collect_scheduled_tasks、collect_services、collect_startup_items、collect_browser_artifacts、collect_usb_history、collect_recent_files、collect_jumplists，并可生成 manifest JSON。
- Linux 工件采集：使用 LinuxCollector，调用 collect_system_logs、collect_auth_logs、collect_user_homes、collect_cron_jobs、collect_systemd_units、collect_network_config、collect_installed_packages、collect_ssh_config、collect_web_logs、collect_docker_artifacts，并可生成 HTML 报告。
- macOS 工件采集：使用 MacOSCollector，调用 collect_unified_logs、collect_fsevents、collect_user_artifacts、collect_spotlight、collect_keychain_metadata（仅元数据）、collect_launch_items、collect_quarantine_events、collect_safari_artifacts、collect_terminal_history、collect_installed_apps，并可生成 HTML 报告。
- 远程工件采集：使用 RemoteCollector，指定 target、credentials、output_dir，调用 connect、collect_volatile、collect_disk_artifacts（可指定 artifact_types）、transfer_artifacts（含本地/远程哈希校验）、disconnect，并可生成 HTML 报告。
- Triage 采集：使用 TriageCollector，调用 run_triage，读取 system_info、duration_seconds、alerts、iocs、suspicious_processes、suspicious_connections、persistence，并可生成 triage 报告。
- 证据链管理：使用 ChainOfCustody，指定 case_id、case_name、custodian，调用 add_evidence、record_transfer、record_access、verify_all、generate_report（PDF）、export_log（JSON）。
- 证据打包：使用 EvidencePackager，指定 case_id、examiner，调用 add_directory、add_file、set_metadata、create_package（可 compress、encrypt 并设置 encryption_password）、generate_manifest、seal_package（生成防篡改记录）。
- 选择性采集：使用 SelectiveCollector，通过 spec 字典定义 registry、event_logs、directories、files、file_patterns、date_range 等采集范围，调用 collect(spec) 执行定向采集。
适用场景 资料指出适用于事件响应、调查取证证据收集、快速评估（Triage）、远程采集、按需定向采集，以及需要维护证据链和完整性校验的取证流程。
限制与暂未提供的信息 资料未说明该技能的具体收费、价格、支持的平台版本范围、性能指标、许可协议或实际采集效果。上述未提及事项暂未提供。