置信度分级表述
每条推断都应带置信度，这不是措辞讲究，而是让读者知道结论能推到多远。做法是先用统一的分级标准描述推断，等级取决于来源数量、是否互相印证、以及是否还存在其他合理解释；标准本身要写进报告的方法章节，这样不同写作人之间的口径才能保持一致。
基本信息
| 分级维度 | 来源数量、是否互证、有无其他合理解释 |
|---|---|
| 高 | 多来源一致，且不存在冲突的解释 |
| 中 | 单来源可靠，但缺少交叉印证 |
| 低 | 线索弱，或存在其他更合理的解释 |
| 呈现要求 | 每条推断后写明等级与判断依据 |
典型使用场景
- 为每条结论标注强度，避免被接收方过度引用
- 多人协作撰写报告时统一口径，减少主观差异
- 向管理层或法务说明哪些结论仍待进一步验证
- 新证据出现时据此判断原结论是否需要修订
- 把事实与推断分开表述，让报告结构更清楚
使用示例
使用示例
推断 A（高）：03:22Z 的登录来自外部地址；认证日志与防火墙会话记录一致。
推断 B（中）：该账号在此时段执行过系统信息收集；仅有命令行记录，缺少进程侧印证。
推断 C（低）：主机可能曾被扫描；仅见少量失败登录，也可能是健康检查误触。分级参考
| 等级 | 条件 | 示例触发 |
|---|---|---|
| 高 | 多来源一致且无冲突解释 | 日志、文件时间与内存痕迹互相印证 |
| 中 | 单来源可靠但缺交叉印证 | 只有一个日志来源记录该动作 |
| 低 | 线索弱或存在其他合理解释 | 残留文件无法定位来源与时间 |
分级标准要写在方法章节里，读者才能正确理解每条结论的强度；只给等级不写标准，读者会按自己的习惯解读，反而更容易误判结论的适用范围。
不要用模糊措辞代替分级：类似“可能存在一定风险”这样的表述既不说明证据来源，也不说明强度，读者无法判断该结论能否作为处置或追责的依据。