报告中的范围与局限声明
报告开头要写清分析范围与局限：委托对象、覆盖的时间窗、实际执行了哪些动作，以及未采集的证据类型、未覆盖的时间段与依赖的假设。把这些前置说明写清楚，比事后解释主动得多，也能避免结论被引用到它并不支持的场景里。
基本信息
| 范围 | 委托对象、时间窗、实际执行的采集与分析动作 |
|---|---|
| 局限 | 缺失的证据来源、工具限制、未能验证的假设 |
| 假设 | 时间基准、时钟偏移修正值、数据来源可信度 |
| 更新路径 | 新证据出现时如何触发报告修订 |
| 呈现位置 | 正文开头的范围与局限章节，附录列具体缺口 |
典型使用场景
- 在报告开头交代覆盖范围，避免结论被过度引用
- 交接时说明还有哪些证据尚未采集
- 复核时确认分析动作与委托要求是否一致
- 新证据出现时判断是否需要修订报告
- 应对质询时说明已知局限与依赖的假设
局限示例
局限示例
# 范围与局限的写法示例
范围：主机 H1 的全盘镜像，以及 H1 与 H2 的安全日志
局限 1：H2 未做内存镜像，其进程级结论以前两者为限
局限 2：日志保留策略为 30 天，此前的记录不可得
假设：分析以 UTC 进行，H1 的时钟偏移已按 3.2 秒修正范围与局限要素
| 项目 | 要写清的内容 | 常见缺失 |
|---|---|---|
| 范围 | 对象、时间窗、执行动作 | 只写对象不写时间窗 |
| 局限 | 未采集类型、未覆盖时段 | 笼统写成“数据可能不完整” |
| 假设 | 时间基准、修正值、来源可信度 | 假设不写，读者只能猜 |
| 修订 | 新证据出现后的更新路径 | 修订规则不明确 |
局限写得具体才有意义：“H2 未做内存镜像”能让读者判断结论适用范围，写成“数据可能不完整”则几乎什么都没说，也挡不住结论被引用到不支持的场景。
假设一旦变化就要触发报告修订：例如时钟偏移修正值被重新测算，此前基于旧值的时间线全部需要复核。不能只在新版里悄悄改动而不留下修订记录。