case-review について
case-review は、リバースエンジニアリング、フォレンジック、CTF、または許可されたセキュリティ案件の既存パッケージを読み取り専用で確認するスキルです。証拠の構造と追跡可能性を点検し、ハッシュ検証や Markdown・JSON での引き継ぎ結果出力にも対応します。
主な機能
- 01スコープと案件ファイルの確認
- 02Evidence 参照関係の検査
- 03Findings と Paths の監査
- 04SHA-256 ハッシュの任意検証
- 05Markdown・JSON 結果の出力
活用シーン
- 01報告書や専門家への引き継ぎ準備
- 02Finding と Evidence の関連確認
- 03案件内ファイルのハッシュ検証
- 04審査結果の CI 連携
インストール
コマンドをコピーしてターミナルで実行します。
npx skills add https:/インストール後、Claude Code で/case-reviewを入力して読み込まれたか確認します。
同梱ファイルscripts/review_case.pytests/test_review_case.py
詳細
Evidence Graph Review
リバースエンジニアリング、フォレンジック、CTF、または許可されたセキュリティ案件で、説明責任を果たせる引き継ぎが必要なときにこのスキルを使用します。既存の work/<case>/ パッケージを、ケースを変更したりターゲットに触れたりすることなく監査します。
スコープ
このスキルが対象とするもの:
- スコープのメタデータとターゲット活動の準備状況
- 証拠レコードの構造と再現性フィールド
- 作業項目およびタイムラインエントリから Evidence への参照
- レポート Markdown 内の構造化された Findings と Paths
- ケースローカルな成果物に対する任意の SHA-256 検証
- レポート引き継ぎ用の Markdown または JSON のレビュー結果
偵察、エクスプロイト、動的インストルメンテーション、またはターゲットの変更を実行してはなりません（MUST NOT）。これらの操作はルーティングされた分析スキルに属し、ケーススコープゲートが必要です。
ACTION REQUIRED
NOW:../field-journal/precedent-reverse.mdを読み、これが既存の許可されたケースパッケージのレビューであることを確認します。NOW: ケースパスを確認し、読み取り専用レビューモードを選択します。NEXT:../tool-index.mdを読みます。このスキルは Python 3 標準ライブラリのみを使用し、ブートストラップを必要としません。NEXT:python3 scripts/review_case.py <case-root> --format markdownを実行します。ACT: すべてのエラーを解消し、引き継ぎが完了したと主張する前にレビューを再実行します。
ツール依存関係
| ツール | 必須 | 目的 | 自動ブートストラップ |
|---|---|---|---|
| Python 3.9+ | はい | 読み取り専用のケースレビュースクリプトを実行します | いいえ、プラットフォームの Python インストールを使用してください |
ネットワークアクセスやサードパーティパッケージは必要ありません。
ワークフロー
フェーズ 1: 受け入れ
既存のケースディレクトリに対してレビューを実行します:
python3 skills/case-review/scripts/review_case.py work/<case> --format markdown
scope.md、timeline.md、workitems.md、および evidence/ が存在することを確認します。非厳格なレビューではスコープの警告が報告されますが、厳格なレビューでは警告が引き継ぎのブロッカーとして扱われます。
建议下一步（选一个编号）
- 修复 scope.md 中的授权、范围或 network_profile 字段
- 继续检查 Evidence 记录的可复现命令和来源
- 导出当前 review 结果并附到阶段性报告
- 换 JSON 输出接入 CI 或其他审查工具
- 暂停，先确认审查范围
フェーズ 2: トレーサビリティ
以下のチェックをレビューします:
- 存在しない Evidence ID
evidence_idsのない Findings- 許可された
path_typeまたは Evidence 参照のない Paths - 未知の Evidence を指す作業項目およびタイムラインエントリ
- リンクされていない Evidence レコード
- 信頼度の低い検証済み Findings
オフラインの観察では、その notes フィールドがオフラインの制約を明示的に文書化している場合に限り、repro_command: n/a を使用できます。
別のツールが安定したフィールドを必要とする場合は JSON を使用します:
python3 skills/case-review/scripts/review_case.py work/<case> --format json
建议下一步（选一个编号）
- 补写缺失的 Evidence，并保留原始命令
- 将候选 Finding 绑定到 Evidence 后重新审查
- 为调用链或攻击链补充 P-id 和 Path 步骤
- 生成 Markdown handoff summary
- 换回 PRIMARY skill 继续分析
フェーズ 3: 固定性の検証
Evidence レコードに content_hash と artifact_path の両方が含まれる場合、ケースローカルな成果物を検証します:
python3 skills/case-review/scripts/review_case.py work/<case> --verify-hashes --strict
スクリプトは sha256:<64 hex characters> を受け入れ、成果物がケースルート内に留まっていることを確認します。ハッシュの不一致はハード障害です。
PowerShell の Evidence ヘルパーは、レコードを追加しながらハッシュを記録できます:
powershell -File skills/scripts/append-evidence.ps1 -CaseRoot work\<case> -Id E-001 -Title "Sample hash" -ReproCommand "sha256sum evidence/sample.bin" -ArtifactPath "evidence\sample.bin"
建议下一步（选一个编号）
- 修复 hash mismatch 或替换已污染的工作副本
- 为未固定的原始文件补充 SHA-256 和 artifact_path
- 继续进入报告生成阶段
- 导出 JSON 结果供 CI 保存
- 暂停并请求人工复核
フェーズ 4: 引き継ぎ
最終レポートまたは専門家への引き継ぎの前に厳格モードを使用します:
python3 skills/case-review/scripts/review_case.py work/<case> --strict --format markdown > work/<case>/report/case-review.md
このコマンドは、その出力を保存するためにシェルリダイレクションが明示的に使用されない限り、ケースに対して読み取り専用です。このレビューは法的助言ではなく、組織の証拠取り扱い手順に代わるものでもありません。
建议下一步（选一个编号）
- 将通过的 review 结果交给
docs-generator/生成正式报告 - 回到 PRIMARY skill 补齐新的分析证据
- 归档 Markdown 和 JSON review 结果
- 暂停并请求人工复核
Language behavior contract
- Internal reasoning, tool selection, and phase control: English.
- User-visible messages, section labels, reports, and next-step menus: Chinese unless the user requests another language.
- Default bilingual labels place Chinese first and English second, separated by
/.
ブートストラップ境界
このスキルにサードパーティ製の依存関係はありません。Python 3 が利用できない場合、許可される唯一の復旧アクションは、現在のプラットフォームに対して Python ケイパビリティが登録されているときのリポジトリブートストラップ経路です。そのようなケイパビリティが登録されていない場合は、停止して不足しているランタイムを報告してください。実行ファイルのパスを推測したり、パッケージをダウンロードしたり、このスキル内から手動インストールを実行したりしないでください。
ルーティングコンテキスト
上流エントリ: ケースパッケージを生成した、あらゆるリバース、フォレンジック、CTF、または許可されたセキュリティスキル。
下流出口: 正式なレポート用の docs-generator/、またはグラフが不完全な場合は元の PRIMARY スキル。
関連モジュール: ops/evidence-finding-path.md、ops/timeline-workitem.md、digital-forensics/、reverse-engineering/、docs-generator/。
参考資料
- NIST SP 800-86: フォレンジック技術をインシデント対応に統合するためのガイド
- SWGDE コンピュータフォレンジック取得のベストプラクティス
- SWGDE デジタルおよびマルチメディア証拠のアーカイブに関するベストプラクティス
タスク完了セルフチェック
- scope.md、timeline.md、workitems.md、evidence/ を確認しましたか？
- すべての Finding が既存の Evidence を参照していますか？
- すべての Path に正当な path_type と Evidence 参照が含まれていますか？
- hash verification を実行しましたか、または未実行の理由を記録しましたか？
- strict モードで再実行し、review 結果を保存しましたか？