REPLAY["DIRTY-HIVE REPLAY<br/>transaction logs applied to a working copy"]
PARSERS["ARTIFACT PARSERS<br/>18 artifact types · live and offline"]

OUT["LIVING REPORT<br/>CSV · JSON · HTML"]

I1 --> PARSERS
I2 --> PARSERS
I3 --> PARSERS

PARSERS -- "every registry hive,<br/>evidence never written to" --> REPLAY
REPLAY -- "the state Windows<br/>had not finished writing" --> PARSERS

PARSERS -- "parsed artifacts" --> CASE
I4 -- "verbatim copy or<br/>converted to feather" --> CASE

CASE -- "read-only" --> TL
CASE -- "read-only" --> UB
CASE -- "read-only" --> CE
CASE -- "read-only" --> DL
CE --> RES
DL --> INTEL

CASE -- "read-only queries" --> EYE
RES -. "queried on demand" .-> EYE
EYE <== "verdict · narrative · evidence" ==> NM

EYE -- "audited by" --> COMP

EYE -- "report_* tools" --> OUT

class S1,S2,S3,S4 src
class I1,I2,I3,I4,PARSERS ing
class CASE,RES,INTEL store
class TL,UB,CE,DL ana
class EYE,NM,COMP ai
class OUT out

linkStyle default stroke-width:2px

*Beweisquelle → Erfassung → Fall-Datenbanken → Analyse → KI-Ebene → Bericht*


**So liest man das:**

| Stufe | Worauf es ankommt |
|---|---|
| ① → ② | **Vier unabhängige Türen in einen Fall.** Du brauchst nie Crow-Eyes eigenen Collector — ein Ordner von Velociraptor, KAPE oder einem EDR-Paket läuft über den Offline-Importer, und CSV/JSON/SQLite von Drittanbietern läuft über Import Evidence. |
| ② → ③ | Alles läuft an einem Ort zusammen: **den Fall-Datenbanken**. Geparste Artefakte landen in `Target_Artifacts/`; importierte Drittanbieter-Beweise landen in `Imported_Evidence/` und werden automatisch erkannt. |
| ③ → ④ | **Die drei Analysepfade sind unabhängig voneinander.** Die Timeline und die UBA lesen die Fall-Datenbanken direkt — keiner von beiden benötigt einen Korrelationslauf. Die Korrelations-Engine ist eine *zusätzliche* Ebene, keine Voraussetzung. |
| ③ → ④ | **Dynamic Linking sitzt neben der Timeline und der UBA** — ein vierter, unabhängiger Leser der Fall-Datenbanken (er hat nichts mit der Timeline-Visualisierung zu tun). Er sammelt Identitätszuordnungen (SID → Benutzername, MAC → Netzwerk, Hash/GUID → App) in einer fallbezogenen `Crow_Intelligence.db` und legt diesen Kontext dann **inline in den Artefakt-Datentabellen** über nicht-destruktives `ATTACH` + `LEFT JOIN` darüber. Er verändert, wie Datensätze *gelesen* werden, niemals die Beweise. |
| ④ → ⑤ | Das Eye fragt die Fall-Datenbanken direkt ab und kann Korrelationsergebnisse **auf Abruf** abrufen. Es berührt die Beweise selbst nie — es gibt Tool-Aufrufe aus, die Crow-Eye ausführt und protokolliert. |
| ⑤ → Bericht | Der **Living Report wird allein vom Eye erstellt**, über seine `report_*`-Tools. Die Timeline und die UBA sind Analyse-Oberflächen — sie schreiben nicht in den Bericht. Fallbezogene Erkenntnisse können weiterhin separat über [Search & Export](#-search--export) exportiert werden. |
| ⑤ ↔ | Die **Narrative Map ist bidirektional**: Das Eye schreibt hinein, du schreibst hinein, und ihre Inhalte werden jede Runde in den Prompt des Eyes injiziert. Sie ist das Gedächtnis, und du kannst sie befehligen. |
| ⑤ ⟳ | Die **Compliance-Seite prüft das Eye.** Jeder Tool-Aufruf des Eyes ist an die **EvidenceSeal**-Hash-Kette verankert; die Seite rendert den Live-Status pro Regel (**GEP**) (10 Prinzipien), der aus dieser Kette und `EYE_Logs/` verifiziert wird, exportierbar als `audit_trail.json`. |

**Unabhängige Stufen.** Die Timeline und die UBA lesen die Fall-Artefakt-Datenbanken **direkt** — keiner von beiden benötigt einen Korrelationslauf, und die Timeline hängt nicht von der Korrelations-Engine ab (sie wendet ihre eigene leichtgewichtige zeitliche Gruppierung an). Korrelation ist eine zusätzliche Analyseeebene, deren Ergebnisse das Eye abfragen kann.

**Von Natur aus schreibgeschützt.** Das Parsen schreibt in die Fall-Datenbank; jede nachgelagerte Stufe (UBA, die Timeline, Korrelations-Viewer, das Eye) öffnet diese Datenbanken **schreibgeschützt**. Die ursprünglichen Beweise werden nie verändert — [Dynamic Linking](#-analysis-modes) liest die Fall-Datenbanken, um eine fallbezogene `Crow_Intelligence.db` mit Identitätszuordnungen aufzubauen, und reichert die Artefakt-Datentabellen inline über nicht-destruktive `ATTACH` + `LEFT JOIN`-Abfragen an, statt Zeilen neu zu schreiben.

**Von Natur aus gesteuert.** Jede Aktion des Eyes ist an die manipulationssichere **EvidenceSeal**-Hash-Kette verankert, und die **Compliance**-Seite verifiziert das Eye kontinuierlich gegen das [Ghassan Elsman Protocol (GEP)](https://github.com/ghassan-elsman/crow-eye/blob/main/eye/docs/GEP_standard.md) — Live-Status pro Regel, exportierbar nach `EYE_Logs/audit_trail.json`.

## 📥 Download & Installation

> **Empfohlen:** Hol dir den gepackten Windows-Build (**MSI-Installer / EXE**) von der offiziellen Website — kein Python-Setup, läuft sofort out of the box.

### ▶️ [Crow-Eye für Windows herunterladen → crow-eye.com/download](https://crow-eye.com/download)

Der **installierte MSI/EXE-Build ist die empfohlene Art, Crow-Eye auszuführen**, und er hat für uns **höchste Priorität bei Updates**:

- 🛡️ **Schnellste Fixes.** Wenn ein Problem gefunden oder ein Bug gemeldet wird, veröffentlichen wir so schnell wie möglich eine aktualisierte EXE — im gepackten Build landen Fixes zuerst.
- 🔄 **Integriertes Auto-Update.** Öffne in der installierten App **Settings → Updates**, um **nach Updates zu suchen und sie automatisch zu installieren** — keine manuelle Neuinstallation.
- 📦 **Null Setup.** Keine Python-, Node- oder Abhängigkeitsinstallation erforderlich.

> Du bevorzugst die Ausführung aus dem Quellcode? Siehe **[Quick Start](#-quick-start)** unten. Der Build aus dem Quellcode ist für Mitwirkende gedacht und **enthält keinen Auto-Updater** — nutze für automatische Updates die MSI/EXE.

## 🚀 Quick Start

### Option A — Installierter Build (empfohlen)
Lade die **MSI/EXE** von [crow-eye.com/download](https://crow-eye.com/download) herunter, installiere sie und starte **Crow-Eye** als Administrator. Erstelle einen Fall und beginne mit der Analyse.

### Option B — Aus dem Quellcode ausführen (Entwickler)

> Für Mitwirkende und fortgeschrittene Nutzer. Dieser Pfad **enthält keinen Auto-Updater** — nutze für automatische Updates die MSI/EXE.

**Anforderungen** (werden beim ersten Start automatisch installiert):
- Python 3.12.4
- **Node.js & npm** — erforderlich für die **Timeline-Visualisierung**
- Wichtige Pakete: PyQt5, python-registry, pywin32, pandas, streamlit, altair, olefile, windowsprefetch, sqlite3, colorama, setuptools

**Empfohlene Hardware**

| | Minimum | Empfohlen für große Fälle |
|---|---|---|
| **RAM** | 8 GB | 16 GB+ (MFT/USN-Sätze mit Millionen von Datensätzen) |
| **Festplatte** | 5 GB frei | Freier Speicher ≥ 2× der Größe der zu parsenden Beweise |
| **CPU** | 4 Kerne | 8+ Kerne |
| **OS** | Windows 10/11 (voll) · Linux (Offline- & Image-Analyse) | — |

> Korrelation streamt bei sehr großen Datensätzen mit konstantem Speicherverbrauch, sodass RAM selten die harte Grenze ist — Festplattendurchsatz und freier Speicher sind es meist.

**Start** (als Administrator ausführen, damit Crow-Eye auf System-Artefakte zugreifen kann):```bash
python "Crow Eye.py"

**Unterstützte Importformate:** CSV (beliebige Datei mit Kopfzeile), JSON (flach oder verschachtelt) und SQLite (direkter Import). Automatische Spaltenzuordnung, Datentyp-Erkennung, Zeitstempel-Normalisierung auf ISO, Validierung und optimierte Indizes.```
prefetch.db (Feather)
├── feather_metadata (artifact type, source, record count)
├── prefetch_data (executable_name, path, last_executed, hash)
└── Indexes (timestamp, name, path)

#### 3. ⚙️ Engines (Korrelationsstrategien)

**Zweck**: Ausführung von Korrelationslogik, um Beziehungen zwischen Artefakten zu finden. Strukturelle Verknüpfungen kommen **zuerst**; eine stufenbasierte Gewichtung wird als *Interpretation/Ranking* darübergelegt, nicht als Grundlage für einen Abgleich.

**Time-Window-Scanning-Engine** — am besten geeignet für zeitbasierte Analysen und systematische zeitliche Korrelation. Scannt die Zeit in festen Intervallen, sammelt Datensätze aus allen Feathers pro Fenster, wendet semantischen Feldabgleich + gewichtete Bewertung an und verhindert Duplikate durch MatchSet-Tracking. **O(N log N)** (indizierte Zeitstempelabfragen); Stapelverarbeitung (~2.567 Fenster/Sekunde).

**Identity-Based-Correlation-Engine** — am besten geeignet für große Datensätze (>1.000 Datensätze) und Identitätsverfolgung. Extrahiert und normalisiert Identitäten, gruppiert Datensätze nach Identität, baut zeitliche Anker innerhalb jedes Clusters auf, klassifiziert Beweise als primär/sekundär/unterstützend und streamt sehr große Mengen (>5.000 Anker) bei konstantem Speicher. **O(N log N)**; 40+ Identitätsfeldmuster pro Typ.

**Engine-Auswahl:** Verwenden Sie die Time-Window-Engine für zeitbasierte Analysen und die Identity-Based-Engine für Identitätsverfolgung — beide sind produktionsreif und für große Datensätze mit indizierten Abfragen optimiert.

#### 4. 🔄 Pipelines (Workflow-Orchestrierung)

**Zweck**: Automatisierung vollständiger Analyse-Workflows von der Feather-Erstellung bis zur Ergebnisgenerierung. Eine Pipeline liest ihre Konfiguration (Engine-Typ, Wings, Feathers), instanziiert die richtige Engine über den EngineSelector, führt jede Wing aus, aggregiert Übereinstimmungen, speichert Ergebnisse (DB + JSON) und zeigt sie in der GUI mit Filterung und Visualisierung an.```json
{
  "pipeline_name": "Investigation Pipeline",
  "engine_type": "identity_based",
  "wings": [{"wing_id": "execution-proof"}, {"wing_id": "file-access"}],
  "feathers": [
    {"feather_id": "prefetch", "database_path": "data/prefetch.db"},
    {"feather_id": "srum", "database_path": "data/srum.db"},
    {"feather_id": "eventlogs", "database_path": "data/eventlogs.db"}
  ],
  "filters": {
    "time_period_start": "2024-01-01T00:00:00",
    "time_period_end": "2024-12-31T23:59:59"
  }
}

### Beispiel-Anwendungsfall: Nachweis der Ausführung finden

**Szenario**: Beweisen, dass `malware.exe` auf einem System ausgeführt wurde.```json
{
  "wing_id": "malware-execution",
  "correlation_rules": { "time_window_minutes": 5, "minimum_matches": 2 },
  "feathers": ["prefetch", "shimcache", "amcache"]
}

### 2.2.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1.1```python
from correlation_engine.pipeline import PipelineExecutor
executor = PipelineExecutor(pipeline_config)
results = executor.execute()

### Leistungs-Benchmarks

| Datensätze | Zeitfenster-Engine | Identitätsbasierte Engine |
|---|---|---|
| 1.000 | 0,5 s | 2 s |
| 10.000 | 5 s | 15 s |
| 100.000 | 50 s | 2,5 Min. (Streaming) |
| 1.000.000 | — | 25 Min. (Streaming) |

### Erste Schritte mit der Korrelations-Engine

1. **Starten**: `python -m correlation_engine.main`
2. **Feathers erstellen**: Importieren Sie Ihre forensischen Artefakte (Prefetch, ShimCache, …).
3. **Wings erstellen**: Definieren Sie Korrelationsregeln für Ihre Untersuchung.
4. **Pipeline erstellen**: Konfigurieren Sie, welche Wings und Feathers verwendet werden sollen.
5. **Ausführen**: Führen Sie die Pipeline aus und betrachten Sie die korrelierten Ergebnisse.
6. **Analysieren**: Nutzen Sie den Ergebnis-Viewer, um zeitliche Beziehungen zu untersuchen.

### 📚 Dokumentation der Korrelations-Engine

- **[Überblick über die Korrelations-Engine](https://github.com/ghassan-elsman/crow-eye/blob/main/correlation_engine/docs/CORRELATION_ENGINE_OVERVIEW.md)** — Systemüberblick mit Architekturdiagrammen
- **[Engine-Dokumentation](https://github.com/ghassan-elsman/crow-eye/blob/main/correlation_engine/docs/engine/ENGINE_DOCUMENTATION.md)** — Dual-Engine-Architektur, Engine-Auswahl, Leistungsoptimierung
- **[Architektur](https://github.com/ghassan-elsman/crow-eye/blob/main/correlation_engine/ARCHITECTURE.md)** — Komponentenintegration und Datenfluss
- **[Feather-Dokumentation](https://github.com/ghassan-elsman/crow-eye/blob/main/correlation_engine/docs/feather/FEATHER_DOCUMENTATION.md)** — das Daten-Normalisierungssystem
- **[Wings-Dokumentation](https://github.com/ghassan-elsman/crow-eye/blob/main/correlation_engine/docs/wings/WINGS_DOCUMENTATION.md)** — Korrelationsregeln
- **[Pipeline-Dokumentation](https://github.com/ghassan-elsman/crow-eye/blob/main/correlation_engine/docs/pipeline/PIPELINE_DOCUMENTATION.md)** — Workflow-Orchestrierung
- **[Hinzufügen eines Artefakts](https://github.com/ghassan-elsman/crow-eye/blob/main/correlation_engine/docs/ADDING_AN_ARTIFACT.md)** — der Workflow zum Einbinden eines neuen Parsers in die Engine
- **[Registry der Standardfelder](https://github.com/ghassan-elsman/crow-eye/blob/main/config/standard_fields)** — kanonische Spaltennamen-Synonyme, die von beiden Engines und dem Eye geladen werden
- **[Beitragsleitfaden](https://github.com/ghassan-elsman/crow-eye/blob/main/correlation_engine/CONTRIBUTING.md)** — wie Sie zur Engine beitragen können
- Schnellzugriffe: [Engine-Auswahl](https://github.com/ghassan-elsman/crow-eye/blob/main/correlation_engine/docs/engine/ENGINE_DOCUMENTATION.md#engine-selection-guide) · [Fehlerbehebung](https://github.com/ghassan-elsman/crow-eye/blob/main/correlation_engine/docs/engine/ENGINE_DOCUMENTATION.md#troubleshooting) · [Leistungsoptimierung](https://github.com/ghassan-elsman/crow-eye/blob/main/correlation_engine/docs/engine/ENGINE_DOCUMENTATION.md#performance-and-optimization)

## 👁️ Eye — Der Forensik-KI-Assistent

> **Ein leistungsstarker Assistent, kein Ersatz.** Eye automatisiert und *verifiziert* die Hypothesen eines Ermittlers — es trifft die Entscheidung nie für Sie.

**Eye** ist der integrierte Forensik-KI-Assistent von Crow-Eye: ein erfahrener forensischer Ermittler, gestützt auf eine echte Wissensbasis über Windows-Artefakte. Es bietet Ihnen eine Schnittstelle in natürlicher Sprache, um alles in einem Fall abzufragen, zu korrelieren und zu dokumentieren — Prefetch, MFT, Registry, Ereignisprotokolle, AmCache, ShimCache, SRUM und mehr — und führt dabei einen prüfbaren, manipulationssicheren Nachweis darüber, was genau es getan hat. Eye kann vollständig auf Ihrer eigenen Hardware laufen (einschließlich **vollständig netzwerkisoliert**), im Einklang mit der Datenschutz-Haltung von Crow-Eye: **„0 ms Daten werden vom Gerät gesendet"**. Vollständige Architektur: [`eye/README.md`](https://github.com/ghassan-elsman/crow-eye/blob/main/eye/README.md).

| Fähigkeit | Was das für Sie bedeutet |
|---|---|
| **Untersuchung in natürlicher Sprache** | Fragen Sie in einfachem Englisch; Eye schreibt das SQL und sucht für Sie. |
| **Integration mehrerer Quellen** | Einheitlicher Zugriff auf alle geparsten Artefakte im Fall. |
| **RAG-gestützte Analyse** | Eye ruft artefaktspezifisches forensisches Wissen ab, bevor es antwortet. |
| **Living-Report-Arbeitsbereich** | Ergebnisse, Tabellen, Diagramme und Zeitlinien werden in Echtzeit dokumentiert. |
| **Human-in-the-Loop** | Kritische Aktionen (z. B. Berichtsexport) erfordern Ihre ausdrückliche Genehmigung. |
| **Chain of Custody** | Kryptografischer Nachweis darüber, was das Modell genau analysiert hat. |

Eye verwandelt Konversationsfragen („zeig mir, was nach 22:00 Uhr aus `C:\Temp` ausgeführt wurde") in echte forensische Arbeit: Es plant einen Ansatz, ruft relevantes Artefaktwissen ab, führt SQL- und artefaktübergreifende Suchen gegen Ihre Falldatenbanken aus und synthetisiert eine validierte Antwort. Jede Antwort wird **an zwei Orten gleichzeitig** erzeugt — eine Chat-Antwort für Sie und ein strukturierter Block, der in einen **Living-Report-Arbeitsbereich** geschrieben wird, sodass sich das Dossier während der Untersuchung von selbst aufbaut.

### Das Ghassan-Elsman-Protokoll (GEP)

Alles, was Eye tut, ist am **Ghassan-Elsman-Protokoll (GEP)** verankert — einem **herstellerneutralen, toolunabhängigen Standard** dafür, *wie KI in der digitalen Forensik eingesetzt werden sollte*. Es umfasst **10 Prinzipien**, die ein konformes System einhalten muss, damit KI-gestützte Ergebnisse **wahrheitsgemäß, auf Quelldatensätze rückführbar und durch eine prüfbare, manipulationssichere Kette abgesichert** bleiben — mit dem menschlichen Ermittler an der Kontrolle:

| # | Prinzip | In einem Satz |
|---|---|---|
| **GEP-1** | Vorrang der Beweise | Schlussfolgerungen stammen ausschließlich aus tatsächlich untersuchten Artefakten. |
| **GEP-2** | Rückverfolgbarkeit | Jede Tatsache ist mit einem bestimmten Quelldatensatz verknüpft. |
| **GEP-3** | Spezifität & Chronologie | Exakte UTC-Zeitstempel, Kennungen und Pfade, zeitlich geordnet. |
| **GEP-4** | Kreuzkorroboration | Auf mehreren Quellen beruhen; Übereinstimmung, Schweigen und Konflikt berichten. |
| **GEP-5** | Prämissen-Verifikation | Menschliche Behauptungen als Hypothesen behandeln, die zu beweisen oder zu widerlegen sind. |
| **GEP-6** | Vollständigkeit | Beweise niemals stillschweigend verwerfen oder kürzen. |
| **GEP-7** | Integrität & Nicht-Abstreitbarkeit | Beweise niemals verändern; aufzeichnen, was gesehen und getan wurde, manipulationssicher. |
| **GEP-8** | Transparenz & Erklärbarkeit | Begründung, verwendete Tools und gesehene Daten sind sichtbar und prüfbar. |
| **GEP-9** | Menschliche Autorität | Der Ermittler entscheidet; dauerhafte Aktionen sind zurechenbar. |
| **GEP-10** | Verteidigungsfähigkeit | Die Ausgabe ist objektiv, präzise und für die unabhängige Prüfung strukturiert. |

Das Eye von Crow-Eye ist die **Referenzimplementierung** des GEP; die im Produkt verankerten Verhaltensweisen, die es aufrechterhalten, sind **Betriebsregeln**. 📜 Lesen Sie den Standard: [`eye/docs/GEP_standard.md`](https://github.com/ghassan-elsman/crow-eye/blob/main/eye/docs/GEP_standard.md).

### Bereitstellungsmodi

Eye passt sich Ihrem Bedrohungsmodell über drei Bereitstellungsmodi an:

| Modus | Am besten geeignet für | Backends |
|---|---|---|
| ☁️ **Cloud-KI-Modelle** | Tiefgehende, komplexe Analysen mit maximaler Rechenleistung | OpenAI, Anthropic (Claude), Google Gemini |
| 🔒 **Offline-KI-Server** (netzwerkisoliert) | Untersuchungen ohne Datenabfluss, vor Ort | Ollama, LM Studio |
| ⚡ **CLI-Terminal-Agenten** | Wiederverwendung eines vorhandenen KI-Terminal-Agenten als Modell | Claude Code, Gemini CLI, ChatGPT CLI, llama.cpp, … |

Im **CLI-Agenten-Modus** steuert Crow-Eye einen **bestehenden KI-Terminal-/Kommandozeilen-Agenten als Modell** — statt einer Cloud-API oder eines lokalen Offline-Servers — sodass Sie mit dem Agenten untersuchen können, den Sie bereits verwenden.

**Die Untersuchungsschleife:**

1. **Fall öffnen oder erstellen** — Eye beschränkt sich auf die Artefaktdatenbanken und den Verlauf dieses Falls.
2. **Eine Frage** in natürlicher Sprache stellen oder eine Triage mit einem Klick starten.
3. **Eye führt seine Pipeline aus** — Absicht erkennen → Wissen abrufen → Tools ausführen → synthetisieren.
4. **Sie erhalten eine doppelte Ausgabe** — eine direkte Chat-Antwort *und* einen neuen Block im Living Report.
5. **Gesperrte Aktionen genehmigen** — Exporte und andere kritische Schritte warten auf Ihre Freigabe.

Sie können Modelle zur Laufzeit mit dem Tool `switch_model` wechseln. Das Wechseln ist **auf dasselbe Backend beschränkt**, sodass Beweise niemals stillschweigend an einen anderen Anbieter gesendet werden als den, den Sie gewählt haben.

### Nachverfolgung des LLM-Denkprozesses

Eye ist so aufgebaut, dass Sie sehen — und später beweisen — können, *wie* es zu einer Schlussfolgerung gelangt ist. Während Eye arbeitet, streamt es strukturierte `ThinkingStep`-Updates in Echtzeit an die Benutzeroberfläche; jedes trägt eine `step_id`, einen `type`, ein menschenlesbares `label`, einen `status` (`active` → `done` oder `error`) sowie optionale `tool`/`params`/`detail`.

| Schritttyp | Was Sie sehen |
|---|---|
| `thinking` | Eye plant — erkennt forensische Absicht, erstellt den System-Prompt, entscheidet über nächste Schritte. |
| `rag` | Eye ruft Artefaktwissen aus seiner Wissensbasis ab, um die Antwort zu untermauern. |
| `tool_call` | Eye führt ein forensisches Tool aus (eine SQL-Abfrage, eine Suche, eine Korrelationsabfrage). |
| `synthesis` | Eye validiert und setzt die finale, evidenzgestützte Antwort zusammen. |

Eine typische Abfrage verläuft als `thinking → rag → thinking → tool_call → synthesis`, und jeder Fall behält auf der Festplatte Nachverfolgungsartefakte, die Sie anschließend prüfen können:

| Datei | Was sie aufzeichnet |
|---|---|
| `<case>/EYE_Logs/eye_payload_seal.jsonl` | Die exakten Payloads, die an das Modell gesendet wurden, hash-verkettet. |
| `<case>/EYE_Logs/truncation_audit.log` | Welcher Kontext behalten, zusammengefasst, verworfen oder angeheftet wurde — und warum. |
| `<case>/case_history.json` | Der vollständige Konversationsverlauf mit Token-Zählungen pro Nachricht. |

### Tool-Ausführung

Eye ist **toolgesteuert**: Das Modell berührt Beweise nie direkt. Es gibt Tool-Aufrufe aus, und Eye führt sie gegen die Datenbanken des Falls aus und gibt die Ergebnisse zurück — sodass jede Aktion explizit, protokolliert und reproduzierbar ist. Tools sind in `configs/llm_config.json` definiert und werden über `eye/services/context_manager.py` verteilt.

**Ermittlungstools** — Beweise lesen und analysieren:

| Tool | Zweck |
|---|---|
| `query_database` | Führt ein `SELECT` gegen eine forensische Datenbank aus. |
| `search_artifacts` | Datenbankübergreifende Text-/Regex-Suche. |
| `semantic_search_artifacts` | Semantische Suche über geparste Artefakte. |
| `get_schema` | Tabellenschemata einsehen. |
| `query_timeline` | Ein chronologischer Durchlauf über jede Datenbank im Fall — was geschah und wann. |
| `query_correlation_results` | Fragt die Ausgabe der Korrelations-Engine nach Zeit/Identität ab. |
| `read_imported_evidence` | Liest in den Fall importierte Drittanbieter-Beweise wörtlich (Berichte, E-Mails, Browser-Tool-Ausgaben). |
| `correlate_imported_evidence` | Korreliert in den Fall importierte Drittanbieter-Beweise mit nativen Artefakten. |
| `analyze_large_dataset` | Map-Reduce-Analyse großer Ergebnismengen — **keine stille Kürzung**. |
| `list_case_files` | Listet Dateien im Fallverzeichnis auf. |
| `internet_search` / `fetch_web_content` | Externen Bedrohungs-/technischen Kontext nachschlagen und abrufen. |
| `query_living_off_the_land_intel` | LOLBAS-/LOLDrivers-Abfragen. |
| `query_threat_intel` | VirusTotal-/Threat-Intel-Abfragen. |
| `switch_model` | Modell zur Laufzeit wechseln (nur gleiches Backend). |

**Berichtstools** bauen den Living-Report-Arbeitsbereich auf: `report_append_section`, `report_add_data_table`, `report_add_chart`, `report_add_timeline`, `report_add_heatmap`, `report_add_chain_of_custody`, `report_add_chat_transcript`, `report_add_image`, `report_edit_section`, `report_delete_section`, `chat_add_table` und `export_report` (Export erfordert menschliche Genehmigung).

**Autorentools** (reglementiert — siehe [Erstellen von Korrelations-Wings & semantischen Zuordnungen](#building-correlation-wings--semantic-mappings)): `correlation_create_wing`, `correlation_edit_wing`, `correlation_create_semantic_mapping`, `correlation_edit_semantic_mapping`. Tool-Aufrufe werden in das übersetzt, was das aktive Backend erwartet — natives Function-Calling für Cloud-APIs und lokale Server oder ein XML-`<tool_call>`-Wrapper für CLI-Agenten.

### Erstellen von Korrelations-Wings & semantischen Zuordnungen

Eye fragt die [Korrelations-Engine](#-correlation-engine) nicht nur *ab* — es kann helfen, sie **zu erweitern**. Wenn Eye ein wiederkehrendes artefaktübergreifendes Muster erkennt, kann es neue **Wings** (Korrelationsregeln) und **semantische Zuordnungen** (technisch-zu-menschliche Übersetzungen) vorschlagen. Dies ist *reglementiertes Autoren*: Eye schlägt vor, der Analyst prüft das gespeicherte Artefakt, und jede Änderung ist begründet und evidenzgestützt.

**Ein Wing** verbindet Feathers innerhalb eines Zeitfensters und einer Mindestübereinstimmungsschwelle, um eine Behauptung zu belegen:

| Feld | Bedeutung |
|---|---|
| `wing_name` | Menschenlesbarer Name für die Regel. |
| `proves` | Die forensische Behauptung, die es stützt (z. B. *Programmausführung*). |
| `feathers[]` | Zu korrelierende Artefakte — jeweils mit `artifact_type`, optionalem `weight` (0–1) und `tier` (1–4). |
| `time_window_minutes` | Korrelationsfenster (Standard **180** = 3 Stunden). |
| `minimum_matches` | Wie viele Feathers innerhalb des Fensters übereinstimmen müssen (Standard **1**). |
| `reason` *(erforderlich)* | Forensische Begründung für die Regel. |
| `related_evidence` *(erforderlich)* | Eine oder mehrere `database:table:rowid`-Referenzen, die sie motiviert haben. |

**Eine semantische Zuordnung** übersetzt einen rohen technischen Wert in eine menschenlesbare Bedeutung (z. B. *EventID 4624 → „Erfolgreiche Anmeldung"*). Sie kommt in zwei Varianten: ein einfaches `mapping` (einzelner Wert/Regex → semantischer Wert) oder eine mehrbedingige `rule` (Bedingungen, verbunden mit UND/ODER). Beide unterstützen `category`, `severity`, `confidence` und `scope`, und beide erfordern `reason` + `related_evidence`.

**Governance — Schreibseitige Regeln, die das GEP aufrechterhalten:**
- **Begründung erforderlich** (hält **GEP-9** + **GEP-2** aufrecht): Jedes Erstellen *und* Bearbeiten muss eine forensische `reason` enthalten.
- **Beweisverknüpfung** (hält **GEP-2** aufrecht): Jedes Erstellen muss mindestens eine `database:table:rowid`-Referenz anführen.
- **Eye-gestempelt / schreibgeschützt für andere** (hält **GEP-7** + **GEP-9** aufrecht): Eye stempelt seine Autorenschaft + Begründung + Bearbeitungshistorie und darf **nur das bearbeiten, was Eye verfasst hat** — integrierte und von Menschen verfasste Regeln bleiben **schreibgeschützt**.

### Selbstheilender Kontext

Lange Untersuchungen können das Kontextfenster eines Modells sprengen — insbesondere bei kleineren Offline-Modellen. Statt abzustürzen oder Beweise stillschweigend zu verwerfen, **verdichtet Eye seinen eigenen Kontext automatisch** vor jedem Modellaufruf (innerhalb seines geschützten Generierungspfads, vollständig geprüft).

Vor jedem Aufruf misst Eye den vollständigen Payload und reserviert Platz für die Antwort (**10 %** des Fensters, mindestens 512 Token, nie mehr als die Hälfte). Wenn es immer noch nicht passt, heilt es in zwei geordneten Durchgängen und berührt dabei nie **geschützte** Nachrichten (angeheftete, automatisch erkannte Beweise oder ein Tool-Ergebnis):

1. **Zusammenfassungsdurchgang** *(einmal)* — nicht geschützter Verlauf wird zu einer Zusammenfassung verdichtet, protokolliert als `SUMMARIZED`.
2. **Verwerfungsdurchgang** — die **älteste nicht geschützte** Nachricht wird einzeln entfernt, bis es passt, protokolliert als `TRUNCATED`.

Wenn der nicht reduzierbare **Beweiskern** (angeheftet + Tool-Ergebnisse + die aktuelle Frage) *immer noch* überläuft, **weigert sich Eye fortzufahren, statt Beweise zu kürzen** (`REFUSED_OVERFLOW`) und bittet Sie, die Abfrage einzugrenzen oder `analyze_large_dataset` zu verwenden. Was auch immer schließlich an das Modell geht, ist der exakte Payload, der für die Chain of Custody versiegelt wird.

### 🗺️ Narrative Map — Das persistente Fallgedächtnis des Eye

Das Eye ist **zwischen den Runden zustandslos** — daher ist die **Narrative Map** der Ort, an dem „was wir wissen und was wir geschlussfolgert haben" für einen Fall lebt. Sie ist das **persistente, prüfbare, manipulationssichere Arbeitsgedächtnis** des Eye, und ihre Inhalte werden **bei jeder Runde in den Prompt des Eye injiziert** (die Map *ist* buchstäblich das Gedächtnis).

- 🧭 **Verdikt → Narrativ → Beweis.** Eine strenge Hierarchie: ein Fall-**Verdikt**, die **Narrative** darunter (Behauptungen, jeweils mit einem Status — `proven` · `open` · `negative` · `needs` · `absolute`) und die artefaktgestützten **Beweise** darunter.
- 🪟 **Ein eigenes Fenster.** Öffnet sich über die Schaltfläche **„Narrative Map"** im Eye-Chatfenster, sodass Sie Chat, Living Report und Fallgedächtnis nebeneinander betrachten können; es aktualisiert sich live, wenn sich Dinge ändern.
- ↔️ **Bidirektional — ein Gedächtnis, das Sie steuern.** Sowohl die Bearbeitungen des Eye als auch Ihre eigenen Notizen fließen durch einen einzigen **GEP-validierten Commit** und werden in ein **hash-verkettetes Prüfprotokoll** (`narrative_map_audit.jsonl`) versiegelt. Sie können dessen Behauptungen und Beweise **hinzufügen, bearbeiten und entfernen** und so direkt prägen, wie das Eye den Fall versteht und interpretiert.
- 🚫 **Behauptet nie Unbelegtes.** Ein Eye-Narrativ kann während der Untersuchung `open` ohne Beweise bleiben, aber es kann nie ohne Beweise `proven` sein; ein Thema, das Eye geprüft, aber leer vorgefunden hat, wird automatisch in **`negative`** umgewandelt — denn eine dokumentierte Abwesenheit ist selbst ein Befund.

### Wie Compliance funktioniert

Compliance ist kein nachträglich aufgesetztes Feature — sie wird in der Pipeline durchgesetzt.

- **🔗 Chain of Custody (Beweisversiegelung).** Jeder Payload, den Eye an ein LLM sendet, wird versiegelt: der **SHA-256 der exakten Bytes**, die Token-Anzahl, das Modell + sein Kontextlimit sowie die Herkunft jeder Beweiszeile (`database:table:rowid`, plus berechnete Offsets für MFT-Datensätze). Siegel sind **append-only und hash-verkettet** in `<case>/EYE_Logs/eye_payload_seal.jsonl` — ein einziger veränderter oder entfernter Datensatz bricht die Kette, sodass das Protokoll *mathematisch* beweist, welche Bytes das Modell analysiert hat.
- **🚫 Keine stille Kürzung.** Wenn der Kontext knapp wird, [heilt sich Eye selbst](#self-healing-context) und weist Budgets in strenger Reihenfolge neu zu: **Priorität 1 (unbeweglich): Rohe Beweise + System-Prompt** › **Priorität 2 (opferbar): beiläufige Konversation** › **Priorität 3 (flexibel): RAG-Kontext**. Wenn der Beweiskern immer noch nicht passt, weigert sich Eye, statt Beweise stillschweigend zu verwerfen.
- **🧾 Kürzungs-Prüfprotokoll.** Jede Kontextentscheidung wird in `<case>/EYE_Logs/truncation_audit.log` protokolliert (`SUMMARIZED`, `TRUNCATED`, `PRESERVED`, `PINNED`, `UNPINNED`, `BUDGET_REDUCED`), jeweils mit einem Hash. Erkannte Beweise werden oberhalb einer Konfidenzschwelle automatisch angeheftet; Sie können Nachrichten auch manuell anheften.
- **📑 Beweis-zu-Bericht-Mandat.** Eye muss im Chat antworten **und** die unterstützenden Beweise im Bericht persistieren; das Versäumnis, Beweise aufzuzeichnen, wird als Protokollverletzung gekennzeichnet.
- **⚖️ Korrelations-Governance.** Jeder Wing oder jede Zuordnung, die Eye verfasst, muss eine forensische `reason` und `related_evidence` enthalten; außerhalb von Eye verfasste Regeln sind schreibgeschützt und können nicht stillschweigend neu geschrieben werden.
- **🔐 Datenschutz & Netzwerkisolation.** In Offline-Modi tätigt Eye **null ausgehende Aufrufe**; Cloud-API-Schlüssel liegen in betriebssystemeigenen Schlüsselbunden — nie hartcodiert, nie in Protokolle geschrieben.

📖 **Vollständige Eye-Architektur:** [`eye/README.md`](https://github.com/ghassan-elsman/crow-eye/blob/main/eye/README.md).

## 📖 Eye-Describe — Byte-Ebene-Artefakt-Wissensbasis

> 🔗 **[Eye-Describe erkunden → crow-eye.com/eye-describe](https://crow-eye.com/eye-describe)**

Historisch gesehen verfielen Ermittler der Falle, ihren forensischen Tools zu vertrauen, ohne zu verstehen, wie sich die zugrunde liegenden Artefakte verhalten oder wie das Tool sie geparst hat. Das Risiko heute besteht darin, einfach *„das Tool"* durch *„die KI"* zu ersetzen. Eine KI kann einen Datensatz mit perfekter technischer Genauigkeit parsen und ihn dennoch in den falschen Kontext stellen — was die gesamte Bedeutung der Beweise verändert.

**Eye-Describe** existiert, damit weder der Mensch noch das Modell raten müssen. Es ist eine interaktive Referenz auf Byte-Ebene für die rohen Binärstrukturen von Windows-Artefakten und erfüllt zwei Rollen gleichzeitig:

| Rolle | Was sie tut |
|---|---|
| 🧑‍🏫 **Der Bauplan für den Menschen** | Eine interaktive pädagogische Referenz zur tiefen Byte-Ebene-Anatomie von Windows-Artefakten — was jede Struktur ist, wie sie sich verhält, was sie beweisen kann und was nicht. Kostenlos nutzbar, ausgerichtet auf Studierende, Lehrende und Praktiker, die die Beweise verstehen wollen, statt die Ausgabespalte. |
| ⚖️ **Der Compliance-Anker für die KI** | Die Sichtbarkeit des Eye ist an die dokumentierten Artefaktverhaltensweisen in Eye-Describe gebunden. Das Modell argumentiert gegen eine fest verdrahtete Referenz dafür, was ein Artefakt *tatsächlich bedeutet*, statt Semantik selbst abzuleiten. |

Indem Crow-Eye die KI-Ebene an dokumentiertem Artefaktverhalten verankert, bittet es Sie nicht, einem Modell zu vertrauen — es zwingt das Modell, die rohe Forensik zu respektieren.

> **Ersetzen Sie Tool-Vertrauen nicht durch KI-Vertrauen. Verstehen Sie die Daten.**

## 🧪 Qualität & Validierung

Forensische Tools sind nur nützlich, wenn ihre Ausgabe verteidigt werden kann. Die Korrektheitsarbeit von Crow-Eye ist bewusst sichtbar:- **Regressions-Suiten.** Die Correlation Engine ist durch eine pytest-Suite abgesichert, die Zeitstempel-Parsing, Identitätsnormalisierung, Multi-Zeitstempel-Fan-out, den Writer-Vertrag, Eye-Authoring (Write-Side-GEP-Governance) und das Standard-Felder-Register abdeckt. Die UBA-Engine bringt ihre eigene Suite mit, einschließlich eines End-to-End-Laufs gegen einen echten Fall.
- **Validierungs-Harness.** Ein ganzheitlicher Harness testet alle 7 Standard-Wings gegen **beide** Engines an einem echten Windows-Fall mit ~700K Datensätzen.
- **Veröffentlichte Fehlerhistorie.** Genauigkeitsregressionen und ihre gemessenen Auswirkungen sind offen in [`RELEASE_NOTES.md`](https://github.com/ghassan-elsman/crow-eye/blob/main/RELEASE_NOTES.md) dokumentiert — einschließlich Fällen, in denen eine Korrektur die gesehenen Datensätze um Größenordnungen veränderte. Zu wissen, was falsch war und wann, ist Teil dessen, was ein Ergebnis verteidigbar macht.
- **Überprüfbare Beweisbuchhaltung.** Jeder Datensatz landet entweder in einem Match oder in einem benannten Drop-Bucket, und das Drop-Ledger pro Fenster macht „keine übrig gebliebenen Beweise“ zu etwas, das man aus dem Log prüfen kann, statt es auf Treu und Glauben anzunehmen.
- **Manipulationssichere Logs.** `verify_chain()` geht das Narrative-Map-Audit-Log und die Evidence-Seal-Kette erneut durch, um Modifikationen zu erkennen — einschließlich von menschenlesbaren Feldern.

## 🔬 Forschungsplattform

Crow-Eye ist mehr als Software — es ist eine **offene Forschungsplattform**, die das gesamte Feld der Windows-Forensik beschleunigt. Das Projekt konzentriert sich auf:

- Veröffentlichung detaillierter Dokumentation zu internen Artefaktstrukturen.
- Teilen von Korrelationslogik und Methodiken.
- Ermöglichung von Peer-Review, Transparenz und akademischer Zusammenarbeit.
- Beitrag zum kollektiven Wissen der Forensik-Community.

## 🛠️ Technische Hinweise

- Die Registry-Analyse erfordert vollständige Registry-Hive-Dateien.
- Einige Artefakte erfordern eine spezielle Handhabung aufgrund von Windows-Dateisperrmechanismen (siehe [Benutzerdefinierte Registry / gesperrte Dateien](#-unterstützte-artefakte)).
- LNK- und Jump-List-Parsing wird von Crow-Eyes eigenem dedizierten Parser übernommen.

## 📸 Screenshots

Eine Auswahl von Crow-Eyes Oberflächen- und Analyseansichten.

![Crow-Eye-Screenshot](https://assets.kitploit.com/production/public/readmes/9931/d631f2359d186d47eab815cc199d2c08c7c098cb8c64509d7c43185b6413d537.png)

![Crow-Eye-Screenshot](https://assets.kitploit.com/production/public/readmes/9931/140bd5b574f8b2d239f45be6b9d238a592da1cf3b7e6a0cf0a7450a653a75b88.png)

![Crow-Eye-Screenshot](https://assets.kitploit.com/production/public/readmes/9931/b7593c596ea437f84cdf476c147fc363a9a87fd821023b2c93559cdc56ceebee.png)

![Crow-Eye-Screenshot](https://assets.kitploit.com/production/public/readmes/9931/b67e55fc8c3bc87a5357add66c97e2b5d75310fe7ea5c1f571f5e8938c0a25ae.png)

![Crow-Eye-Screenshot](https://assets.kitploit.com/production/public/readmes/9931/8f10355f7d0f9f31e2e270ecf43fa70e94a6eda3b84b792d28479e0552eec000.png)

![Crow-Eye-Screenshot](https://assets.kitploit.com/production/public/readmes/9931/7bbf1b790d445d33a392b023cc14877e8ee0c72ed2aeec1aba1663da7d0419a2.png)

🎥 **Demo-Video:** [![Demo ansehen](https://assets.kitploit.com/production/public/readmes/9931/01aa6e4b5fb8732512fe81143b1dcd87d908401369284bad8cfaf1b119fcbf41.jpg)](https://youtu.be/hbvNlBhTfdQ)

## 🚧 Roadmap

Geplante und laufende Arbeiten (siehe [`RELEASE_NOTES.md`](https://github.com/ghassan-elsman/crow-eye/blob/main/RELEASE_NOTES.md) für veröffentlichte Änderungen):

- 📊 **Erweiterte GUI-Ansichten & Berichte** — reichhaltigere Visualisierung und Berichterstattung.
- 🔄 **Verbesserter Suchdialog** — erweiterte Filterung mit Unterstützung natürlicher Sprache.
- 🎯 **Erweitertes semantisches Mapping** — umfassende Feldzuordnung über alle Artefakttypen hinweg.
- 📈 **Erweiterte Korrelationsbewertung** — verfeinerte, erklärbare Konfidenzbewertung.
- ⚡ **Parallele Korrelation** — Prozess-Pool-Dispatch, standardmäßig aktiviert für große Arbeitslasten.

Hast du eine Idee oder möchtest ein Artefakt hinzufügen? [Öffne ein Issue](https://github.com/Ghassan-elsman/Crow-Eye/issues) oder siehe [Mitwirken](#-mitwirken).

## 📚 Dokumentation

- **[TECHNICAL_DOCUMENTATION.md](https://github.com/ghassan-elsman/crow-eye/blob/main/TECHNICAL_DOCUMENTATION.md)** — Architektur, Komponenten und Entwicklungsleitfaden.
- **[RELEASE_NOTES.md](https://github.com/ghassan-elsman/crow-eye/blob/main/RELEASE_NOTES.md)** — Was es in jeder Version Neues gibt (UBA, Narrative Map, Cloud-Eye-Backends, Case-Management-Härtung, …).
- **[Correlation-Engine-Dokumentation](https://github.com/ghassan-elsman/crow-eye/blob/main/correlation_engine/docs/CORRELATION_ENGINE_OVERVIEW.md)** — Überblick, Engine, Feathers, Wings, Pipelines.
- **[Timeline-Architektur](https://github.com/ghassan-elsman/crow-eye/blob/main/timeline/ARCHITECTURE.md)** — Interna des Timeline-Moduls.
- **[Eye-Architektur](https://github.com/ghassan-elsman/crow-eye/blob/main/eye/README.md)** und **[GEP-Standard](https://github.com/ghassan-elsman/crow-eye/blob/main/eye/docs/GEP_standard.md)** — der KI-Assistent und sein steuerndes Protokoll.

## 🤝 Mitwirken

Crow-Eye ist als offene Forschungsplattform aufgebaut, und Beiträge sind willkommen — neue Parser, Korrelationsregeln, Dokumentation und Artefaktforschung.

- **Allgemeine Beiträge:** [CONTRIBUTING.md](https://github.com/ghassan-elsman/crow-eye/blob/main/CONTRIBUTING.md)
- **Correlation Engine (Schwerpunktbereich):** [correlation_engine/CONTRIBUTING.md](https://github.com/ghassan-elsman/crow-eye/blob/main/correlation_engine/CONTRIBUTING.md)
- **Kontakt:** [[email protected]](mailto:[email protected]) · oder öffne ein Issue / einen Pull-Request.

## 🌐 Website & Community

- 🌍 **Offizielle Website:** [crow-eye.com](https://crow-eye.com/) — Ressourcen, Dokumentation und Downloads.
- 💬 **Discord:** [Tritt dem Crow-Eye-Discord bei](https://discord.gg/2vag2Udf) — direkte Hilfe, Artefaktforschung und Versionsankündigungen.

## 📄 Lizenz

Crow-Eye wird unter der **[GNU General Public License v3.0](https://github.com/ghassan-elsman/crow-eye/blob/main/LICENSE)** (GPL-3.0) veröffentlicht. Es ist frei zu verwenden, zu studieren, zu teilen und zu modifizieren unter den Bedingungen dieser Lizenz.

## 📝 Crow-Eye zitieren

Wenn du Crow-Eye in akademischen Arbeiten, veröffentlichter Forschung oder einem Fallbericht verwendest, zitiere es bitte:```bibtex
@software{elsman_crow_eye,
  author  = {Elsman, Ghassan},
  title   = {Crow-Eye: A Windows Forensics Engine},
  url     = {https://github.com/Ghassan-elsman/Crow-Eye},
  license = {GPL-3.0},
  year    = {2026}
}