关于 competition-forensic-timeline
面向 CTF 的取证技能，将日志、主机、网络和邮件等工件整理为可复核的时间线。它依赖 `$ctf-sandbox-orchestrator` 预先设定沙箱和证据优先级。
主要功能
- 01选择可靠的时间线锚点
- 02统一时间戳和标识符
- 03关联多个来源的事件
- 04区分已确认顺序与推断
适用场景
- 01重建从初始访问到持久化的事件链
- 02关联主机与邮件工件以还原事件顺序
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/competition-forensic-timeline确认已加载。
附带文件agents/openai.yamlreferences/forensic-timeline.md
详细介绍
竞赛取证时间线
仅当 $ctf-sandbox-orchestrator 已经激活，并已建立沙箱假设、节点归属和证据优先级之后，才将此技能作为下游专业化使用。如果尚未发生，请先返回 $ctf-sandbox-orchestrator。
当难点不在于找到一个工件，而在于将许多工件转化为一条可重放的时间线时，请使用此技能。
除非用户明确要求英文，否则用简体中文回复。
快速开始
- 选择最小且可靠的锚点：首次执行、首次登录、首次网络会话、首次文件写入或首次邮箱操作。
- 在关联之前，先规范化时间戳、时区、主机名、用户、进程 ID、消息 ID 和文件路径。
- 从立足点到持久化、执行、访问或数据外泄，构建一条最小链路。
- 将已确认的事件顺序与推断出的空白区分开。
- 复现能得出工件或权限结论的决定性时间线段。
工作流
1. 建立时间线锚点
- 只收集处于活动状态的表面：EVTX、Sysmon、注册表、Amcache、prefetch、浏览器工件、邮件痕迹、PCAP、内存或文件系统元数据。
- 记录时钟来源、时区，以及任何可能导致事件重排的漂移或截断。
- 跨来源链接共享标识符：PID、登录 ID、GUID、消息 ID、主机名、用户名、IP 或哈希。
2. 关联执行图
- 将进程树、服务或任务创建、网络会话、文件写入、注册表更改、邮箱规则或令牌使用作为一条路径来跟踪。
- 通过匹配标识符和邻接关系，而不仅仅是相近时间戳，来区分因果边与巧合。
- 将原始工件与解析后的摘要并排保留，以便每一步都可追溯。
3. 压缩为决定性叙事
- 将时间线缩减为能证明初始访问、持久化、横向移动、收集或工件恢复的最短序列。
- 将缺失的验证步骤单独指出，而不是混入已确认的时间顺序中。
- 如果任务主要变成恶意软件配置提取或 Windows 转向边缘，请切换到更专门的专业化技能。
阅读此参考
- 加载
references/forensic-timeline.md，了解锚点选择、跨来源关联和证据打包。 - 如果难点是数据包重组、协议帧定界或从捕获中提取传输对象，请优先使用
$competition-pcap-protocol。
需要保留的内容
- 源文件路径、事件 ID、登录 ID、消息 ID、PID、哈希，以及注明时区的时间戳
- 用于决定性片段的一张紧凑时间线表或有序列表
- 原始工件、解析输出和推断出的边保持分开
评论
支持 Markdown