样本归因的表述纪律是什么
归因结论要写成「与某家族特征一致性高」，而不是「就是某组织所为」：保留证据链与不确定性表述，报告才经得起复核。每条结论按证据逐级给出置信度，写清基于什么、不确定在哪里。
基本信息
| 用途 | 避免过度归因带来的报告风险 |
|---|---|
| 表述结构 | 证据 → 一致性 → 置信度，逐级留痕 |
| 分级 | 高置信、中置信、低置信三档 |
| 适用场景 | 事件报告、对外通报、跨团队协作 |
典型使用场景
- 报告中涉及攻击者归属判断时
- 向管理层或外部机构说明结论强度时
- 多团队对同一结论存在分歧时
- 复盘时评估历史结论是否需要修正
- 需要为后续调查保留空间时
示例表述
示例表述
高置信：与已知家族共享独特的互斥体命名与代码特征
中置信：复用同批命令控制域名的注册商与注册时段
低置信：仅战术手法相似（可被模仿，不作为归因依据）
# 每档都写清依据与不确定点，结论与证据分节位置要能对应表述对照
| 写法 | 问题 | 建议 |
|---|---|---|
| 「就是某组织所为」 | 无法复核，被推翻后报告失信 | 改为一致性表述加置信度 |
| 「疑似某家族」 | 没有说明依据，等于没写 | 补上共享特征与来源 |
| 「手法相同故同一团伙」 | 战术可被模仿，单一线索不成立 | 降为低置信或列为待查 |
| 「与某情报标签一致」 | 忽略本地证据 | 两者矛盾时以本地证据为主 |
归因争议较大时，把原始证据列全、把判断过程写清，结论交给复核人判断，而不是由分析者单方面下定论。
报告里结论与证据的分节位置要能对上，方便复核人按条核对；结论在前、证据在附录时，必须给出明确引用关系。
归因部分的措辞在定稿前统一过一遍，避免同一份报告里出现两种强度不一致的表述。