指標要放回行為脈絡
檔名、雜湊、網域與程序事件都可能成為指標。檔名容易改；雜湊可精確識別某組 bytes，卻會隨內容變動。指標未命中不代表系統安全，命中也要確認來源、時間與適用脈絡。
行為紀錄補上執行過程，例如不預期的程序關係、設定變動或資料存取。分析時應把「看到這個事件」與「因此懷疑某種目的」分開。良性維護也可能產生部分相似事件。
延伸閱讀：NIST SP 800-83 Rev. 1: Malware Incident Prevention and Handling
先控制風險，再保留可追查性
依組織程序選擇隔離、通報與證據保存，避免任意刪除讓時間線消失。不要在日常工作環境打開可疑檔案來「看看會怎樣」；動態分析需要受控隔離環境與專門流程。
此單元只練習合成事件。完成分類代表你對這份資料提出了有界線的判斷，不代表已完成真實事件的根因分析或清除。
例子：更新工具啟動指令程序
合成紀錄顯示 updater.exe 啟動命令程序並修改啟動設定。使用者說當時正在更新軟體。
事件可能值得調查，但檔名和一個使用者說法不足以決定良惡。需要核對來源、簽章或已知套件、程序路徑及變更內容，同時依風險決定是否隔離。
判斷：記為待核對的異常行為，保留時間線，不先聲稱已感染或已排除。
離線練習：三層事件筆記
只用上面的文字紀錄；不下載、執行或上傳任何可疑檔案。
- 列出直接觀察到的兩個事件。
- 提出一個良性與一個惡意的可能解釋。
- 寫出兩項能區分解釋的後續證據與通報窗口。
預期結果
兩種假設都保留；套件來源與實際變更內容可以改善判斷。
自行檢核
你的紀錄是否把「可疑」誤寫成「已證實入侵」？
結束與清理
保存文字分析即可，沒有惡意樣本或系統變更。