分级参考
| 等级 | 条件 | 示例触发 |
|---|---|---|
| 高 | 多来源一致且无冲突解释 | 日志 + 文件时间 + 内存痕迹互相印证 |
| 中 | 单来源可靠但缺交叉印证 | 只有一个日志来源记录 |
| 低 | 线索弱或存在其他合理解释 | 残留文件无法定位来源 |
使用示例
使用示例
推断 A（高）：03:22Z 的登录来自外部 IP；日志与防火墙会话表一致。
推断 B（低）：该主机可能被扫描；仅有少量失败登录记录，也可能是健康检查。分级标准写在报告方法章节，读者才能正确理解每条结论的强度。
置信度分级表述
用统一的置信度分级（高/中/低）描述每条推断，条件写清楚，不同写作人之间保持同一口径。
易错点
- 同一等级在不同章节含义要一致
- 低置信结论不要放进执行摘要的核心结论
数据来源与参考
- NIST SP 800-86（结论强度）
- SANS 报告写作资料