write-the-intel-brief

撰写情报简报

报告是调查中唯一会被其他人看到的部分，因此也是唯一可能在公开场合出错的部分。真正损害可信度的失败，不是漏掉某个来源，而是某个句子读起来像事实，实际上却是推断。“该账号由里斯本的人运营”与“发帖时间集中在 UTC+0/+1，与伊比利亚地区的工作时间相符。”后者经得起交叉质询。

第 1 步——将每项主张归为观察、推断或评估

分为三类，绝不混淆，最好在文本中以不同方式明确标示。

• 观察——你看到的内容，以及来源和时间戳。“2024-03-11 检索到的登记记录列出 A. Kestrel 为董事。”
• 推断——基于观察得出的逻辑结论，并展示推理过程。“同一注册人邮箱出现在两个域名上，因此这两个域名由同一方注册。”
• 评估——你的分析判断，注明概率和置信度。“我们评估认为，这两家公司很可能由同一方控制。”

任何无法归类的句子，都可能把结论偷渡进证据中。请重写。动词会暴露句子的类别：观察用 是、列出、显示；推断用 表明、暗示；评估用 我们评估、我们判断。留意“似乎是”，它假装是观察，实际却是推断。

完成标准：每项主张都已标注，且没有任何推断以观察的语法形式写出。

第 2 步——为每项主张附上来源、时间戳和存档副本

没有来源的主张不得写入报告。不能放在脚注里，也不能只写“多个来源”——必须为每项主张注明具体来源。

每个来源都需要：URL 或工具及其精确查询；检索时的 UTC 日期和时间；来源可靠性等级（参见 investigate-anything）；以及存档引用。动态 URL 会失效，敌对对象会删除内容。引用内容时，立即使用 read-deleted-pages 对其进行存档——在实时 URL 旁引用快照，并保留一份本地副本，因为公共存档也可能应要求被删除。

对于任何可能成为证据的内容，都要添加保管链信息：由谁收集、何时收集、使用了什么工具及版本，以及存储文件的加密哈希（Linux 上使用 sha256sum file，macOS 上使用 shasum -a 256 file）。在报告中记录哈希，原件保持不变，并在副本上开展工作。没有哈希、时间戳和采集方法的截图价值很低；底层 HTML、标头和图像文件则更有价值。

完成标准：每项保留的主张都有来源、检索时间戳、等级和存档引用；证据材料还附有哈希。

第 3 步——先写判断

假设读者读到第一页的一半就会停下——因为他们确实会这样。BLUF：先用平实的语言回答目标问题，并注明概率和置信度。然后写出两三项影响决策的判断。背景、方法和细节放在后面，供需要核查的读者查阅。

关键判断应是一句话、一项判断，包含估计用语、置信度，并用一个从句简要说明理由。如果一项判断需要一整段铺垫才能说清，那它还算不上判断。

完成标准：在第一段中回答目标问题，而且即使读者不再往下读，这个答案仍经得起推敲。

第 4 步——使用概率阶梯，且只使用它

到处都说“可能”，只会让报告长篇累牍却什么也没说。请统一使用一组有序术语，并始终保持一致：

几乎确定 · 极有可能 · 很可能 · 机会大致相等 · 不太可能 · 极不可能 · 微乎其微

以下规则有助于落实这一做法：绝不使用阶梯以外的术语；句子中使用文字术语时，绝不同时加入数字百分比，因为读者会被数字锚定；绝不把“可能”用作估计，因为凡未被排除的事情都有可能；并在报告中列出概率阶梯，让读者像你一样将这些词对应到相同的范围。包含范围、应避免的近义词和改写示例的完整表格：reference/estimative-language.md。

概率和置信度是两个不同的维度。 概率指判断为真的可能性。置信度指其依据的证据有多可靠——包括来源质量、佐证情况，以及是否存在信息缺口或可信的欺骗可能。你完全可以写“极有可能，低置信度”：证据强烈指向一个方向，但依据仅是一个无法核实的来源。这样的表述既诚实又有用。把两者混成一个词则不然。

完成标准：每项评估都包含一个概率阶梯术语和明确说明的置信度，并给出置信度判断的理由。

第 5 步——写明否定性发现

初级分析师会删掉这些内容，因为觉得它们意味着失败。但它们往往是报告中最有用的内容：它们能避免下一位分析师重复工作；而在尽职调查和入职前调查中，未发现不利信息本身就是交付成果。

说明你查找了什么、在哪里查找，以及没有发现什么——区分“已核查，未发现”和“无法核查”。“已于 2024-03-11 核查 OFAC、英国和欧盟综合名单，未发现与该对象有关的制裁或执法记录”就是一项发现。如果不注明检索过的来源、语言和日期范围，仅写“未发现负面媒体报道”就不算发现，只是含糊其辞。也要记录被排除的线索和候选对象，并说明排除理由。

完成标准：对检索后无结果、无法核查和已排除的候选对象，分别说明范围和日期。

第 6 步——记录方法和信息缺口

可复现性是情报产品与个人观点的分界线。记录所用工具及其版本、确切的查询词和搜索技巧、数据库及其覆盖日期、检索语言，以及所有影响结果的因素：速率限制、受地理位置限制的内容、付费墙、某个身份设定的访问级别，以及只能从存档中恢复的已删除材料。

信息缺口应写在正文中，而非藏在末尾：说明无法确认什么、原因是什么（该司法管辖区没有公共登记处、平台要求身份验证、记录已封存），以及如何补足缺口——提出记录申请、申请传票或实地访问。指出无法访问的来源，是在为报告读者提供帮助。

完成标准：其他分析师仅凭报告就能重新进行信息收集并得出相同结果；每个尚未解答的客观问题都有明确说明的原因和解决途径。

步骤 7 — 精简、脱敏，并按受众调整格式

广泛收集，精简发布。删除所有与目标无关的内容，尤其是收集过程中涉及的无关第三方数据：家庭成员、邻居、同一地址的其他住户、照片中的旁观者，以及与目标同名但无关的人。如果某项内容有助于说明推理过程，应脱敏而非删除，并说明脱敏了什么以及原因，以便对脱敏本身进行审计。切勿发布泄露数据中的完整国家身份证号码、支付卡号、凭据或明文密码；应按类型和部分数值引用。将未脱敏的案件文件单独加密保存，并遵守 ../../ETHICS.md 中的保留期限。

然后根据读者选择格式：

受众	形式
客户或高管	一页 BLUF，给出带概率和置信度的判断、业务影响，正文中不出现工具名称
事件响应人员	判断加上机器可用的指标表（选择器、首次/最后出现时间、置信度）和原始材料
法律或监管人员	正文仅陈述观察结果，将推论分开标注，每份证物附保管链记录和哈希值，附方法说明，不得在没有日志的情况下脱敏
内部交接	graph-the-network 生成的关系图、注明已执行和未执行事项的收集计划，以及所有无果的调查方向

包含所有章节的模板及证据版本： reference/report-template.md。

完成标准： 报告中不含目标不需要的第三方数据，且格式符合指定受众的需求。

容易出错之处

• 推论洗白。 一项推论在第 2 页提出，在第 5 页作为背景重复，到第 8 页就被引用为既定事实。留意自己的主张是否被重新包装成事实。
• 因数量而夸大置信度。 四十条低质量材料看起来很多。评估质量，而非数量；在声称有佐证之前，先检查是否存在循环引用。
• 毫无意义的保留说法。 “不能排除这种可能”适用于任何事情。要么估算其可能性，要么删除这句话。
• 把截图当作证据。 截图极易伪造，也容易被误读。引用存档原件；只有在原件旁边作为示意时才使用截图。
• 凭记忆撰写报告。 事后重建来源，会导致引用的页面已不再表达你记得的内容。收集时就做好引用。
• 认错人的灾难。 以上工作都做得没问题，但调查对象却是错的人。请在报告中重述识别要点，并展示哪些证据具体将调查结果与该个人联系起来。
• 分发。 报告一经发送，就会被永久复制。注明处理要求，列明接收者，并假定内容会被继续分享。

置信度分级

• 高置信度 — 多个独立收集的来源，其中至少一个是权威的一手记录；信息一致，没有可信的欺骗可能，也不存在实质性缺口。
• 中等置信度 — 来源可信且有部分佐证，或存在不影响核心判断的缺口。
• 低置信度 — 只有单一来源、来源无法核实、存在重大缺口，或仍有被操纵的可能。仍可发布——说明置信度低的原因，以及哪些信息可以提高置信度。

将置信度与判断一同注明，不要放在读者会略过的前言里。

完整示例

目标：供应商是否与被禁实体共享控制权？

结论先行：“Nordvale Trading 与被禁实体很可能共享受益控制权”（置信度中等）。

观察：两份备案文件均列出同一家会计事务所；两个域名均解析到注册人邮箱 [email protected]（检索于 2024-03-11，已存档）。推断：共享注册人邮箱表明由同一方注册。评估：可能存在共同控制——置信度中等，而非高，因为该司法管辖区未公开受益所有人信息，且尚未核实是否存在代持安排。

包含负面发现：三家寻人网站报告的共同住址，经追溯发现来自同一个带有相同拼写错误的经纪商数据源；该信息被记录为循环引用并予以排除。已删去：该地址的两名共同居住者，与目标无关。指出的信息缺口：UBO 登记册不公开；正式申请即可弥补这一缺口。

信息延伸

报告是最终产物；它使用选择器，而非生成选择器。获取 graph-the-network 的实体关系图、read-deleted-pages 的存档副本，以及 investigate-anything 的范围说明。未解决的指标应返回到生成它们的工作流。

法律说明

关于在世人士的 OSINT 报告本身就是个人数据，在某些司法管辖区，相关人士可能有权访问该报告——撰写每一行时都应假设当事人会读到，因为他们可能有权查看。可能用于诉讼程序的报告需要采用步骤 7 中的证据格式，并保持完整的保管链；随意整理、之后再重新排版的报告，无法补回它从未具备的保管链。源自数据泄露的材料有其自身的处理限制——参见 what-leaked-about-you——将凭据引用到报告中本身也可能构成违法处理。