SuperAPI AI 工具集
合作ENAI 行业资讯收藏
Skill 广场case-review

case-review

安全与审计

查看项目

更新于 10-26 02:45

技能介绍

用途

case-review 是一个质量门禁审查技能，用于在交付逆向工程、取证、CTF 或授权安全案例的分析报告之前，验证可追溯性与完整性。它审查已有的 work/<case>/ 案例包，不更改案例、不接触目标。适用场景包括：交付分析报告前确认结论有记录证据支撑；审计结论是否由证据支撑；需要可辩护的交接时。

主要能力

该技能覆盖以下审查内容：

  • 范围元数据与目标活动就绪度
  • 证据记录结构与可复现字段
  • 工作项和时间线条目对证据的引用
  • 报告 Markdown 中的结构化发现（Findings）与路径（Paths）
  • 可选的案例本地工件 SHA-256 校验
  • 生成 Markdown 或 JSON 审查结果用于报告交接

它明确不得执行侦察、利用、动态插桩或目标更改；这些操作属于被路由的分析技能，并需要案例范围门禁。

使用方式

阶段 1：接收

对已有案例目录运行审查：

python3 skills/case-review/scripts/review_case.py work/<case> --format markdown

确认 scope.md、timeline.md、workitems.md 和 evidence/ 存在。非严格审查报告范围警告，严格审查将警告视为交接阻塞项。

阶段 2：可追溯性

审查以下检查项：

  • 不存在的证据 ID
  • 没有 evidence_ids 的发现
  • 没有允许的 path_type 或证据引用的路径
  • 指向未知证据的工作项和时间线条目
  • 未链接的证据记录
  • 低置信度的已验证发现

离线观察只有在 notes 字段明确记录离线限制时，才可使用 repro_command: n/a。

需要稳定字段供其他工具使用时，使用 JSON：

python3 skills/case-review/scripts/review_case.py work/<case> --format json

阶段 3：固定性校验

当证据记录同时包含 content_hash 和 artifact_path 时，校验案例本地工件：

python3 skills/case-review/scripts/review_case.py work/<case> --verify-hashes --strict

脚本接受 sha256:<64 位十六进制字符>，并检查工件仍在案例根目录内。哈希不匹配为硬失败。

PowerShell 证据辅助脚本可在追加记录时记录哈希：

powershell -File skills/scripts/append-evidence.ps1 -CaseRoot work\<case> -Id E-001 -Title "Sample hash" -ReproCommand "sha256sum evidence/sample.bin" -ArtifactPath "evidence\sample.bin"

阶段 4：交接

在最终报告或专家交接前使用严格模式：

python3 skills/case-review/scripts/review_case.py work/<case> --strict --format markdown > work/<case>/report/case-review.md

除非显式使用 shell 重定向保存输出，该命令对案例是只读的。审查不构成法律建议，也不替代组织的证据处理程序。

工具依赖

工具 必需 用途 自动引导
Python 3.9+ 是 运行只读案例审查脚本 否，使用平台 Python 安装

无需网络访问或第三方包。

导入范围说明

本树仅捆绑 SKILL.md。scripts/review_case.py、skills/scripts/append-evidence.ps1 和路由模块未包含。在任何依赖命令之前，需获取经过审查的匹配上游安装；否则手动执行内联可追溯性检查，并将脚本/哈希/严格模式验证报告为未运行。下文描述的脚本行为是上游声明，不是本导入的测试结果。

语言行为约定

  • 内部推理、工具选择和阶段控制：英语。
  • 用户可见消息、章节标签、报告和下一步菜单：中文，除非用户要求其他语言。
  • 默认双语标签中文在前、英文在后，以 / 分隔。

引导边界

该技能无第三方依赖。如果 Python 3 不可用，唯一允许的恢复操作是当当前平台注册了 Python 能力时走仓库引导路径。如果未注册此类能力，停止并报告缺失的运行时。不要猜测可执行路径、下载包或从该技能内部执行手动安装。

路由上下文

  • 上游入口：任何已产生案例包的逆向、取证、CTF 或授权安全技能。
  • 下游出口：docs-generator/ 用于正式报告，或当图不完整时返回原始 PRIMARY 技能。
  • 相关模块：ops/evidence-finding-path.md、ops/timeline-workitem.md、digital-forensics/、reverse-engineering/ 和 docs-generator/。

参考

  • NIST SP 800-86: Guide to Integrating Forensic Techniques into Incident Response
  • SWGDE Best Practices for Computer Forensic Acquisitions
  • SWGDE Best Practices for Archiving Digital and Multimedia Evidence

限制

  • 期望结构化的案例布局（范围、证据、发现）；临时笔记需要预先整理。
  • 审查文档质量，而非发现的技术正确性。
  • 改编自 zhaoxuya520/reverse-skill (MIT)。