本模块将红队视角反转为蓝队检测工程要求：每个检查模块证明某类漏洞可被利用，本模块则定义该类漏洞的探测尝试与成功入侵分别必须被记录和告警的内容，覆盖 INJ、WEB、AUTHN、AUTHZ、SSRF、FILE、DESER、API、LOGIC、DOS、TOK、LLM 十二类。审计交付物包括：覆盖矩阵记分卡（每类评为 FULL／PARTIAL／BLIND）、检测规则目录（信号、日志形状、阈值起点、误报压力）、日志管道端到端判断（app→log→shipper→store→alert→human）、紫队复测记录，以及修复包（埋点中间件、告警配置起始块、运行手册草稿）。
使用方式：先盘点安全决策点（认证、鉴权、解析器、出站 HTTP 客户端、计费相关代码），逐项记录是否已发出事件、是否结构化、是否可按 request-id 关联；再对照矩阵给十二类打分，BLIND 与 PARTIAL 即成为发现项。可使用 ripgrep 在源文件中查找缺少日志的认证与鉴权路径、静默的异常处理、元数据 IP 引用、令牌验证失败记录等。随后抽查日志结构、关联字段与脱敏，并核实 agent、存储、至少一条消费安全事件的告警规则与心跳哨兵。
限制：审计当前日志与告警状态为只读，变更改动需走变更审批；动态复测仅限授权测试环境。缺少遥测本身即按 CWE-778 计为发现项。此处的严重度指告警紧急度（谁被叫醒），不是漏洞 CVSS。sshd/sudo/auditd/主机完整性遥测、漏洞本身写法、密钥脱敏实现细节均不在范围内，另有交叉引用。具体阈值需按基线调优，误报会消耗值班信任，只对可行动信号告警。