{
  "id":"LAB-WC-001","title":"Ghost Ticket Cluster","classification":"SIMULATED / PUBLIC-SAFE","objective":"ประเมินว่าโดเมนจำลองสามรายการเป็น fraud cluster เดียวกันหรือไม่",
  "entities":[
    {"type":"Domain","value":"tickets-globalcup.example","role":"seed"},
    {"type":"Domain","value":"globalcup-tickets.example","role":"candidate"},
    {"type":"IPv4","value":"203.0.113.42","role":"shared infrastructure"},
    {"type":"IPv4","value":"198.51.100.27","role":"historical infrastructure"},
    {"type":"Phrase","value":"PX-DEMO-2606","role":"simulated advertising pixel"}
  ],
  "steps":[
    {"id":"seed","phase":"รวบรวม","title":"บันทึก seed และ provenance","task":"ยืนยันค่าตั้งต้น URL แหล่งที่มา เวลา UTC และผู้รวบรวม","output":"seed record"},
    {"id":"semantic","phase":"เรียบเรียง","title":"หา semantic similarity","task":"เปรียบเทียบชื่อโดเมน คำว่า ticket และคำเลียนแบบ event","output":"candidate set"},
    {"id":"infra","phase":"วิเคราะห์","title":"ตรวจ infrastructure","task":"เปรียบเทียบ IP, DNS history และ certificate โดยระวัง shared hosting","output":"infra cluster"},
    {"id":"content","phase":"วิเคราะห์","title":"ตรวจ content fingerprint","task":"เทียบข้อความ checkout, page structure และ PX-DEMO-2606","output":"content signals"},
    {"id":"propagation","phase":"วิเคราะห์","title":"ตรวจ propagation","task":"บันทึก channel จำลองและเวลาที่ลิงก์ถูกเผยแพร่ ห้ามระบุบุคคลจริง","output":"timeline leads"},
    {"id":"preserve","phase":"รวบรวม","title":"Preserve ก่อนส่งต่อ","task":"บันทึก snapshot ID, hash, timezone และ access notes","output":"evidence log"},
    {"id":"confidence","phase":"นำเสนอ","title":"ให้ confidence และ alternative hypothesis","task":"ตรวจหลักฐานอิสระ ข้อโต้แย้ง และแยก lead ออกจาก evidence","output":"action package"}
  ]
}