范围说明的两重作用
范围说明把时间窗、目标主机、数据类型与排除项逐条写清楚，它在项目开始时是执行依据，在报告中则用来界定结论的适用边界。写清范围不是为了限制自己，而是为了让人知道这次分析覆盖了什么、没有覆盖什么——后者往往比前者更重要，因为未覆盖部分不能因为「没有发现问题」而被当成安全。
时间窗宁宽勿窄
时间窗设置的经验是把事件发现时刻向前延伸足够长：单纯的破坏动作往往只持续几分钟，但准备阶段（探测、凭证获取、工具投递）可能发生在数周之前。窗口过窄会系统性地漏掉早期行为，而这类行为决定了对入口点的判断。
基本信息
| 适用平台 | 与工具无关，属于委托与项目管理层面 |
|---|---|
| 时间窗 | 事件发现前后各留缓冲，向前多留是常见做法 |
| 对象范围 | 主机、账号、网络段、云资源、业务系统 |
| 数据类型 | 系统日志、Web 日志、进程与网络状态、磁盘与内存镜像 |
| 排除项 | 明确写出并说明理由（如另行委托、涉及第三方） |
典型使用场景
- 项目启动：用范围说明确认工作量与可行性，避免期望错位
- 跨团队协作：让网络、系统、业务各方明确自己要提供什么数据
- 报告写作：把范围作为结论适用条件写进开头
- 发现越界证据：范围外的信息单独说明来源，不擅自扩大分析
- 变更管理：范围调整时更新说明并重新确认
范围模板
范围模板
时间范围：2026-01-01 00:00 ~ 2026-01-08 24:00 (UTC+8)
对象范围：10.0.3.0/24 共 12 台主机（清单见附件 A）
数据类型：
- 系统日志与审计日志（全部 12 台）
- Web 访问日志（其中 3 台）
- 磁盘镜像（H1、H2）与内存镜像（H1）
排除项：
- 财务系统数据库（另行委托，未纳入）
- 第三方 SaaS 日志（待提供授权）
授权：委托书编号 2026-001，联系人见附件 B范围要素与风险
| 要素 | 写清什么 | 写不清的风险 |
|---|---|---|
| 时间窗 | 起止时刻与时区 | 早期行为被漏掉或跨时区换算错误 |
| 对象范围 | 主机、账号、网段、云资源清单 | 边界主机遗漏，结论覆盖不全 |
| 数据类型 | 每类对象要采集的数据 | 缺少关键数据源导致结论强度不足 |
| 排除项 | 不纳入的对象与理由 | 越权采集或结论被误用 |
| 授权 | 委托文书与联系人 | 采集合法性存疑 |
边界资产最容易被遗漏：网段里那些不属于业务但可达的主机、测试机、临时云主机，都要在对象清单里明确写出来或明确排除。
范围之外的证据即使被发现，也应当单独说明其来源与采集前提，而不是悄悄并入结论；这既是合规要求，也让报告经得起复核。