| 结构 | 结论句 → 依据（证据编号）→ 置信度/限制 |
|---|---|
| 要求 | 与发现章节一一对应 |
结论示例
结论示例
问题 1：主机 H1 是否被未授权访问？
结论：存在一次来自 203.0.113.10 的未授权 SSH 登录成功（证据 E01、E03）。
置信度：高（日志与防火墙会话一致）。
限制：该 IP 的归属未核实。结论超出证据边界时补限制条件，而非删改证据。
结论章节写法（回答委托问题）
结论逐条回答委托问题，每条控制在一段内：先给结论、再列依据证据编号、最后加置信度与限制条件。
易错点
- 结论与发现编号错位是常见低级错误
- 限制条件与置信度缺一不可
数据来源与参考
- NIST SP 800-86（结论写作）
- SANS 报告资料