| 事实句 | 直接来自日志/元数据的可复核内容 |
|---|---|
| 推断句 | 明示“推断”，附依据与置信度 |
写法对照
写法对照
事实：auth.log 于 03:22:10Z 记录来自 1.2.3.4 的 Accepted password (user: ops)
推断：该时间点攻击者取得 ops 账号的交互式访问（置信度：中；依据：其后 03:24 出现 sudo 记录，但未见上传）把推断写成事实是报告被质疑的常见原因，交付前专门过一遍措辞。
事实与推断分离写法
同一段里混写事实与推断会放大误读风险：事实句只写记录内容，推断句单独标注并给置信度与依据。
易错点
- 引号里的原始记录不要改写
- 置信度不能只在心里有，要落文字
数据来源与参考
- SANS 报告写作资料
- NIST SP 800-86（结论表述）