用途
本技能用于在获得明确书面授权的红队或安全评估过程中，识别测试期间发生的安全状态变化。这些变化可能包括客户 SOC 部署的缓解措施、攻击者并发活动、认证策略调整或边界限流。核心观点是：在针对具备 SOC 监控能力的目标进行测试时，目标的安全状态并非静态，会因测试流量而实时变化，而这些变化本身应作为独立发现加以记录。
主要能力
- 测试前基线捕获：在主动测试前记录目标响应时间、响应大小、响应头、WAF Cookie、锁定计数等指纹，持久化到
engagement_log/fingerprint_pre.json。 - 测试中追加日志：以 JSONL 追加方式记录每次测试的时间戳、源 IP、载荷、响应码、响应大小、响应时间等完整上下文。
- 测试后状态差异分析：对比前后指纹，识别基线时间偏移、大小变化、新增响应头/Cookie、新增锁定等差异，并记录到
engagement_log/state_changes.jsonl。 - 三类主要 IR 观察：
- 测试中途 WAF 规则部署：原载荷不再复现差异，可通过 URL 编码、请求方法、内容类型、请求节奏、大小写变异等 WAF 规避变体验证；变体恢复信号说明缓解在 WAF 层，失败变体不能据此认定代码修复。
- 可能的并发活动或认证策略变更：如 AADSTS50053 可能反映锁定或恶意源 IP 阻止，需停止凭据探测并与授权 SOC 联系人协调，审查所有者提供的登录日志、失败原因、源身份、关联 ID 和时间戳，不得自动归因。
- 检测引发的限流/IP 封锁：特定 IP 返回 403/429/451、响应显著变慢、TLS 握手失败、DNS 返回 NXDOMAIN 等，需对比已授权源观察，不擅自轮换 IP 绕过封锁。
- 状态差异技术：维护
baseline.json、journal.jsonl、state_changes.jsonl三个状态文件，第三条文件中的每个条目都是候选发现。 - 自动化状态变化检测：提供 Bash 监视脚本示例，定时重测基线时间并与预会话基线对比，超过 50% 偏移时告警；对 M365 锁定计数可定时统计 AADSTS50053 出现次数并记录差值。
- "单一信号撤回"规则：已确认漏洞停止复现时，不得删除原始 PoC，需详细记录新状态、重新评估原始证据与授权范围，报告 T0 确认内容与变化内容，缓解原因与深度保持未知直至独立确认。
使用方式
技能设有强制确认门：在任何探测、规避、源 IP 变更或凭据相关请求前，必须收集确切目标 URL、IP、账户或资源、书面授权与允许范围，展示确切命令与预期效果，并在当前对话中获得明确确认；否则仅可审查已有证据。意外封锁或锁定触发的是停止/联系流程，而非自动规避。需对请求、账户尝试、时间与成本设限，不得测试无关账户或更改租户策略。
典型流程为：会话开始时加载 redteam-mindset 并建立基线捕获习惯 → 测试中记录全量日志 → 响应模式变化时激活本技能 → 用状态差异文件形成新发现 → 与 evidence-hygiene 配合分别保存补丁前后两套证据 → 在报告中为 IR 观察设立独立条目。
适用场景
- 针对有活跃 SOC 监控的目标进行主动测试。
- 已确认漏洞在复查时不再复现。
- 基线时间意外偏移（如慢 3 倍、突然报错、新增响应头）。
- 测试窗口间响应大小变化、出现新的 WAF Cookie 或响应头。
- 锁定/错误率在测试窗口间变化。
- "假设失陷"或"白盒"评估，客户知道测试正在进行。
限制与注意事项
- 仅限教育目的或授权安全评估使用，必须事先获得系统所有者明确书面许可，滥用违法。
- 不适用于授权排除所提议观察/探测的项目、纯侦察、无时间维度的一次性漏洞扫描；漏洞赏金项目也可能有活跃 SOC 监控，本技能不适用于赏金场景。
- 响应差异本身不能证明补丁或原始漏洞存在，需所有者日志、配置或代码证据区分 WAF、源站、缓存、会话、后端变化。
- 不得仅凭响应码进行攻击者归因；锁定计数需与测试者完整请求日志和批准基线对比。
- 密码重置、地理封锁、风险策略变更或租户级遏制属于授权事件指挥官在影响评估后的决定，不是自动检查清单。
- 不得为"确认"活跃攻击者而探测服务邮箱，或假设其免于 MFA。
暂未提供的信息
关于该技能的具体安装命令、依赖环境、版本号、收费模式及平台支持范围，资料中暂未提供。