本包目录（137 条）

假设-验证循环

对每个疑点先写出可证伪的假设，再去指定日志/痕迹验证：验证结果无论正否都记录，逐步收敛到结论。

用途	让排查过程可回溯
循环	假设→取证→判定→更新

记录格式

假设: 攻击者用弱口令登录
验证: auth.log 失败/成功序列 + 来源 IP
结论: 支持/否定/证据不足
# 否定结论同样归档

多个假设并行推进比单线等待更高效。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌