| 范围 | 委托对象、时间窗、可操作动作 |
|---|---|
| 局限 | 缺失来源、工具限制、未验证假设 |
局限示例
局限示例
范围：主机 H1 全盘镜像、H1/H2 的安全日志
局限 1：H2 未做内存镜像，进程级结论以前两者为限
局限 2：日志保留策略为 30 天，此前记录不可得
假设：分析以 UTC 进行，H1 时钟偏移已按 3.2s 修正局限写进后，后续新证据出现时的更新路径也一并注明。
报告中的范围与局限声明
报告开头写清分析范围与局限：未采集的证据类型、未覆盖的时间段、依赖的假设，这比事后解释主动得多。
易错点
- 局限不写会让结论被过度引用
- 假设变化要触发报告修订
数据来源与参考
- NIST SP 800-86（范围声明）