Expand offline review checks and fix relative output finalization

README.md

@@ -302,3 +302,36 @@ der oben beschriebenen CLI-Berichtsstruktur.
 Der Programmcode steht unter der [MIT-Lizenz](LICENSE.txt). Für Abhängigkeiten und
 zitierte Materialien gelten deren eigene Lizenzen. Quellenangaben bedeuten keine
 Zugehörigkeit zu Citrix oder den genannten Forschenden.
+
+
+## Ergänzende Prüfungen und ihre Grenzen
+
+Die zusätzlichen Sigma-Regeln prüfen ungewöhnliche ACS-/WS-Federation-Felder,
+Core-Datei-Löschbefehle, PHP-Handler, kommentierte Schutzdirektiven und auffällige
+Webartefakt-Antworten. Sie gelten auch für sicher dekodierte Textansichten.
+Erfasste Prozess- und Open-File-Listen können nach Prozessen unter Webkonten und
+NSPPE-Dateireferenzen durchsucht werden. Das Werkzeug erhebt diese Listen nicht
+live: Ohne entsprechende Sicherung ist dieser Zustand nicht prüfbar.
+
+Im Modus `filesystem` kommen Pfadprüfungen für PHP-/XHTML-Dateien in Webverzeichnissen,
+SIG-/DEB-Kandidaten, Startup-Python und BLX-Konfiguration hinzu. Die bestehenden
+Hash- und SUID/SGID-Prüfungen bleiben aktiv. Ursprüngliche Rechte und Eigentümer
+sind nur mit verlässlichen Archivmetadaten bewertbar; lokale Kopien können diese
+verändern. Logregeln werden im Dateisystemmodus auf passende Logpfade begrenzt,
+damit Zeichenketten in Herstellerpaketen nicht als Logereignisse erscheinen.
+
+Alle ergänzenden Verhaltensprüfungen liefern Prüfkandidaten. Ein HTTP-404, ein
+PHP-Dateiname, eine auskommentierte Direktive oder nicht-ASCII-Text ist allein kein
+Angriffsnachweis. Mit einem vertrauenswürdigen Stand desselben Builds vergleichen.
+Fehlende Logs, Prozesslisten oder Dateien bedeuten fehlende Prüfbarkeit.
+
+Zusätzliche private IOCs als CSV mit `type,value,status,description` laden:
+
+```sh
+netscaler-triage ./logs --ioc-file ./private/indicators.csv --output ./new-log-review
+netscaler-triage filesystem ./export-root --ioc-file ./private/indicators.csv --output ./new-file-review
+```
+
+Nicht unabhängig bestätigte Indikatoren als `reference_only` kennzeichnen.
+Sie werden gesucht, aber nicht automatisch als bösartig bewertet oder als
+öffentliche Threat Intelligence weitergegeben.