报告按委托问题组织
取证报告的结构服务于一个目的：让读者能沿着同一条链条复核结论。常规骨架是概述、证据清单、方法与环境、时间线、发现、结论、附录七部分。章节顺序可以按委托问题调整，但「发现要能回指证据、结论要能回指发现」这条链路不能断。正文必须自洽，不能把关键论证全部推到附录里。
基本信息
| 前四块 | 概述 / 证据清单 / 方法与工具 / 时间线 |
|---|---|
| 后三块 | 发现 / 结论与局限 / 附录（哈希、命令、工具版本、IOC） |
| 概述要素 | 委托方、目标、范围、时间窗、交付时间 |
| 证据清单要素 | 编号、来源、获取方式、哈希、保管状态 |
| 写作原则 | 事实与推断分句表述，推断标注依据与置信度 |
| 交付格式 | 正文与附录分离，附录承载可复核的原始材料 |
各章节要回答的问题
- 概述：谁委托、查什么、覆盖哪段时间与哪些资产
- 证据清单：用了哪些材料，各自如何取得、如何保管
- 方法与工具：分析怎么做、工具版本与参数是什么、环境是什么
- 时间线：关键节点有哪些，依据来自哪条证据
- 发现：按委托问题逐条回答，每条挂上证据编号
- 结论与局限：能确认什么、不能确认什么、精度受什么限制
- 附录：哈希清单、命令记录、IOC 列表等可复核材料
目录骨架
目录骨架
1. 概述（委托方、目标、范围、时间窗）
2. 证据清单（编号、来源、哈希、保管状态）
3. 方法与工具（版本、参数、环境、时间基准）
4. 时间线（关键节点表 + 附件引用）
5. 发现（按委托问题逐条，附证据编号）
6. 结论与局限（含未能确认事项与精度说明）
7. 附录（哈希清单、命令记录、IOC、工具版本）章节与常见缺陷
| 章节 | 作用 | 常见缺陷 |
|---|---|---|
| 概述 | 界定范围与效力边界 | 范围写得过宽，实际未覆盖却未说明 |
| 证据清单 | 支撑可复核性 | 缺哈希或缺保管状态，材料来源不清 |
| 方法与工具 | 保证可复现 | 只写工具名不写版本与参数 |
| 时间线 | 给出因果链 | 未标时区与修正量，跨源时间不可比 |
| 发现 | 逐条回答问题 | 不挂证据编号，读者无法回溯 |
| 结论与局限 | 明确能与不能 | 把推断写成事实，未提精度与缺口 |
附录比正文长是常见现象，但正文必须自洽：读者只看正文也应能理解结论，附录用来支撑而非替代论证。
每条发现都要挂上证据编号，且引用原始记录时不改写原文。措辞上把事实句与推断句分开，交付前专门通读一遍表述。