investigation-techniques

name	investigation-techniques
description	调查工具与技术全景 — 财务数据分析、数字取证、外勤调查、监控技术、公开信息检索(OSINT)、通讯分析、关系图谱分析、资产追踪
origin	cc-investigation

调查工具与技术

一套顺手的调查工具箱 — 不同场景选不同的工具。

配置前置检查

在执行本技能的业务操作前，按以下流程检查用户配置：

检查 ~/.claude/plugins/config/cc-investigation/team-profile.md
├── 不存在 / 含 [PLACEHOLDER] / 含 PAUSED 标记
│   └── 停止操作，提示: "请先运行 /cc-investigation:cold-start-interview 完成设置"
└── 配置就绪 → 继续

详细规则参见 config-templates/config-loader.md。

此技能当前无需读取特定配置项，仅检查配置就绪状态。

When to Activate

• 设计具体调查执行方案时选择调查手段
• 需要跨领域调查工具知识时
• 评估调查资源（需要什么技术/工具/外部资源）
• 选择数字取证方案时
• 设计数据采集策略时

工具技术分类总览

调查技术工具箱
│
├── 数据分析类
│   ├── 财务数据分析 (Benford定律/JE测试/比率分析)
│   ├── 异常交易检测 (统计方法/机器学习)
│   ├── 资金流向追踪 (资金图谱/关联账户)
│   └── 采购数据挖掘 (价格/供应商/招标分析)
│
├── 数字取证类
│   ├── 计算机取证 (硬盘镜像/内存分析/文件分析)
│   ├── 移动设备取证 (手机提取/应用数据/通讯记录)
│   ├── 网络取证 (日志分析/流量分析/DNS追踪)
│   ├── 电子邮件取证 (头部分析/元数据/时间线)
│   └── 云取证 (SaaS数据/S3/Office365)
│
├── 信息收集类
│   ├── OSINT (公开信息检索/社交媒体/WHOIS)
│   ├── 商业数据库查询 (工商信息/涉诉/征信)
│   ├── 实地调查 (现场勘查/物证采集)
│   ├── 监控技术 (合法合规前提下)
│   └── 背景调查 (个人/公司/供应商)
│
├── 分析技术类
│   ├── 关系图谱分析 (社交网络/组织关系/资金关系)
│   ├── 时间线分析 (事件重构/时序分析)
│   ├── 通讯分析 (通话记录/通讯模式/联系人网络)
│   ├── 文本分析 (文档比对/元数据/语言分析)
│   └── 流程分析 (内控流程图/价值链/异常节点)
│
└── 辅助技术类
    ├── 访谈技术 (详见 interview-analysis 技能)
    ├── 资产管理 (证据管理系统/案件管理系统)
    └── 可视化 (数据可视化/关系图谱/时间线)

关键技术详述

财务数据分析

技术	适用场景	关键指标
Benford定律	大规模数据异常检测	首位数字分布偏离
JE测试	期末异常分录	非工作时间/非常用科目/非常用用户
比率分析	财务报表异常	毛利率突变/周转率偏离
资金追踪	资金流向	闭环/循环/异常通道
T&E分析	费用报销	重复提交/超额/周末消费

数字取证流程

识别 → 保全 → 采集 → 分析 → 报告

• 识别： 确定可能的证据源（设备/系统/云）
• 保全： 写保护接入 → 计算哈希 → 镜像复制
• 采集： 按照优先级收集（易失性数据优先：内存→网络连接→磁盘）
• 分析： 文件系统分析 → 关键词搜索 → 时间线重构 → 关联分析
• 报告： 取证过程记录 → 发现汇总 → 结论 → 保管链完整性声明

OSINT调查框架

层面	来源	工具
个人层面	社交媒体/论坛/博客	社交搜索/反向图片搜索
公司层面	工商注册/年报/招聘	企业信息查询平台
技术层面	WHOIS/DNS/SSL证书	域名查询/IP溯源
关系层面	社媒关系/合作网络	关系图谱工具
深网层面	法院记录/公共数据库	专业数据库

工具选型决策树

调查需要什么类型的信息？
├── 财务数据 → 财务分析工具 (Excel/ACL/IDEA/Python)
├── 数字证据 → 数字取证工具 (FTK/EnCase/Autopsy)
├── 社交关系 → OSINT + 关系图谱 (Maltego/手动分析)
├── 通讯记录 → 通讯分析 (通话日志/邮件头分析)
├── 现场信息 → 实地调查 (观察/访谈/取证)
└── 综合分析 → 案件管理 + 可视化 (i2/Tableau/自定义)

分析辅助工具

以下工具类型可辅助加速调查操作。这些工具不是必须的——未配置时，由模型按调查标准直接完成。

如环境中配置了以下类型的 MCP 服务器，可辅助加速：

• 网络搜索类 MCP：可用于 OSINT 公开信息检索、背景调查
• 深度搜索类 MCP：可用于更深入的互联网数据挖掘（通常需要 API Key）
• 邮件分析类 MCP：可用于解析邮件头、分析元数据
• 图表生成类 MCP：可用于生成调查发现的可视化展示

工作流示意（OSINT 背景调查，工具可选）：

1. 收到调查目标名称 → 搜索公开信息（由搜索类 MCP 辅助或浏览器手动搜索）
2. 获取搜索结果 → 读取具体页面内容
3. 如需更深层数据 → 尝试深度搜索（或进入公开数据库查询）
4. 汇总分析 → 输出背景调查报告

注意：MCP 可用性取决于环境配置。搜索工具不可用时，描述信息来源为"手动搜索"即可。

Related

• Skills: 调查哲学与方法论, 数据分析与审计技术, 证据链与底稿管理, 访谈与问话分析
• Agents: evidence-analyzer for 数字取证, investigation-planner for 公开信息检索
• Commands: /technique 调查技术参考, /tool-select 工具选择

References

• Casey, E. "Digital Evidence and Computer Crime"
• Bazzell, M. "Open Source Intelligence Techniques"
• NIST "Guide to Integrating Forensic Techniques into Incident Response"