影响面界定与证据支持是什么
影响面结论必须逐项有证据：受影响资产、被访问的数据范围、暴露的账号与凭据。三类对象各自分级，无证据的部分单列待查，不与已证实项混写。这样既避免过度反应，也避免漏报，是决定通报、清理与加固范围的直接依据。
基本信息
| 用途 | 给出可行动的影响面结论 |
|---|---|
| 输出 | 资产、数据、凭据三张清单 |
| 分级口径 | 已证实 / 待查 / 已排除 |
| 证据要求 | 每条结论附证据位置与获取时间 |
典型使用场景
- 决定是否需要通知数据主体或监管机构
- 确定清理与加固范围：涉及哪些主机、哪些账号
- 向业务方承诺恢复时间，需要知道还剩多少未验证主机
- 报告评审时回答「还有没有别的机器受影响」
- 与法务、合规对接时说明确定性与不确定性
- 事件收尾时把待查项转为长期监控项，明确责任人与复查时间
结论分级的写法
结论分级的写法
已证实: 有直接证据的资产与数据访问（列主机名 + 证据引用）
待查: 有线索指向但证据不足（写明缺哪份证据、怎么补）
已排除: 验证后排除的对象（写明验证方式，避免重复排查）
# 三类分开写，禁止把待查项描述成已受影响影响面三张清单
| 清单 | 要素 | 证据来源 |
|---|---|---|
| 资产 | 受影响主机、涉及系统、暴露时长 | EDR 遥测、登录日志、流量记录 |
| 数据 | 被访问的库表与目录、敏感级别 | 数据库审计、文件访问审计 |
| 凭据 | 被读取或复用的账号、密钥、令牌 | 凭据访问遥测、登录事件 |
影响面随证据更新，报告应带版本号与更新记录，避免不同时间的两个版本同时在外流转，造成口径不一致。
待查项要写清「缺哪份证据、下一步去哪取、预计耗时」，否则清单无法指导决策，只能停在描述层面。
分级不是一次性的：随着取证推进，待查项会转成已证实或已排除，报告应记录每一次转移的时间与依据，保持前后版本可比。