V. 證據與稽核

證據指南

跑 ATR 的組織可以拿出八類證據，用在內部審查、客戶問卷或第三方稽核。這些是偵測的證據，不是合規保證。

任何引擎指令以參考引擎為例，也就是 npm 上 MIT 授權的 agent-threat-rules。任何符規引擎都能用自己的方式產生同樣的證據。ATR 不指定、也不推薦任何產品。

ID	證據	參考引擎的指令	通常放在
EV-01 Config	規則集與版本部署的是哪一版 ATR。每條規則還有自己的 rule_version。	`npm ls agent-threat-rules`	相依套件鎖定檔
EV-02 Config	lane 與阻擋設定 lane 決定哪些成熟度的規則可以觸發，分 enforce、alert、hunt。設定裡也寫了命中時要不要阻擋。阻擋預設是關的。	`atr guard --lane enforce --blocking # or ATR_LANE / ATR_BLOCKING`	部署設定
EV-03 Logs	偵測紀錄每筆命中都寫著規則 ID 和嚴重度，追得回一條公開的規則。	`atr scan events.json --json # or --sarif`	日誌系統或 SIEM
EV-04 Test	規則自測部署中的規則，仍然會命中自己的正例，碰到反例也不會觸發。	`atr test rules/`	CI 輸出
EV-05 Test	引擎符規引擎照規格評估規則。結果是自我宣告的，可以重現。	`conformance/v1.0 runner`	符規報告
EV-06 Measurement	公開量測每個 lane 的召回率和誤報數字，綁定量測時的 ATR 版本，附上注意事項。	`data/measurements/<source>/latest.json`	ATR repository
EV-07 Config	資料外送偵測結果留在本機。要把報告送出去，得明確打開，端點也由營運者自己指定。沒有內建端點。	`--report-to-cloud is off by default; --tc-url is required with it`	部署設定
EV-08 Document	已知限制與勘誤規則沒涵蓋的範圍、不生效的規則，還有已發布版本裡找到的錯誤。	`LIMITATIONS.md · /errata · rules/index.json (lanes)`	ATR repository 與網站