Add streaming filesystem triage and German usage guide

FILESYSTEM_COVERAGE.txt

@@ -0,0 +1,36 @@
+Dateisystem-Erkennungsabdeckung – Quellenabgleich 05.10.2026
+
+Keine vollständige Erfassung aller weltweit bekannten oder privaten Herstellerregeln.
+Alle Treffer sind Fundkandidaten, kein automatischer Kompromittierungsbeweis.
+
+Neu: elf eigenständige Inhaltsregeln mit Quellenzuordnung in
+src/netscaler_triage/data/filesystem_rules.json. Ergänzte Konfigurationspfade:
+/nsconfig/httpd.conf, /flash/nsconfig/httpd.conf, /nsconfig/crontab,
+/nsconfig/rc.netscaler, /etc/master.passwd, /etc/inetd.conf sowie zusätzliche
+Cron-Verzeichnisse und Konfigurationsdateien. Zusätzlich sh.log und nsumond
+bei der optionalen Logauswahl. Reguläre Dateien werden unabhängig vom Namen gelesen.
+
+Quellen und abgeleitete Abdeckung:
+Google/Mandiant: PHP-Handler und Engine-Aktivierung, Web-Routing, Headerkanäle,
+Cron-Bereinigung, SUID-Shell, weitere getarnte Endungen und Konfigurationspfade.
+https://cloud.google.com/blog/topics/threat-intelligence/defending-against-active-exploitation-of-citrix-netscaler-adc-and-gateway-appliances
+LevelBlue/SpiderLabs: CSS-Aliase, sec_monitor, Reverse-Shell-/Staging-Referenzen.
+https://www.levelblue.com/blogs/spiderlabs-blog/citrix-netscaler-cve-2026-88771-observed-exploitation-artifacts-and-hunt-indicators
+Arctic Wolf: nsmon-Cron-Muster; vorhandene Pfad-/Hash-/Netzwerkindikatoren abgeglichen.
+https://raw.githubusercontent.com/rtkwlf/wolf-tools/main/pack_alerts/202609-citrix-netscaler-active-exploitation-cve-2026-88771/README.md
+Rapid7: /vpn/c-Staging und .ctxs.receiver-Hash bereits enthalten.
+https://www.rapid7.com/blog/post/etr-zero-day-exploitation-of-citrix-netscaler-adc-and-gateway-cve-2026-88771-and-cve-2026-88772/
+
+Öffentliche Hash-, Pfad- und Netzwerkindikatoren werden aus dem versionierten
+Indikatorpaket geladen. Vertrauliche Ergänzungen bleiben außerhalb des Repositorys.
+
+Weiterhin nicht vollständig automatisiert: Auflösung aller Apache-Includes und
+Aliasziele; semantischer Herstellervergleich; Binär-/RAM-Analyse; sämtliche
+verschachtelten Container; Nachweis von Loglöschung; Ende-zu-Ende-Korrelation mit
+externen Firewall- und Identitätsdaten. Generische SSH-/Start-Konfigurationen sind
+Prüfkontext, nicht automatisch eine veröffentlichte kampagnenspezifische IOC.
+Die neuen Regeln ersetzen keine vollständige Datenflussanalyse einer Webshell.
+404 und fehlende temporäre Dateien sind keine sicheren Misserfolgsbeweise.
+
+149 automatisierte Tests bestanden. Dies bestätigt die dokumentierte Funktion,
+keine universelle Erkennungsrate oder vollständige Unversehrtheit.