用途：在授权红队或“假设已失陷”/白盒参与中，目标的安全状态会随测试流量实时变化。本技能指导如何捕捉这些变化，并把它转化为可交付的发现，而不是当作误报丢弃。适用触发条件：目标有活跃 SOC 监控；已确认的漏洞复现失败；基线耗时或响应体大小异常变化；出现新的 WAF Cookie 或响应头；凭据攻击的锁定数量变化；客户端已知情。不适用于漏洞赏金、纯侦察或一次性扫描，因为这些场景没有实时响应。
主要能力：一是“先采集、后差分”，测试前记录响应时间、大小、响应头、WAF Cookie、锁定计数等指纹并持久化，测试中以 JSONL 追加记录每次结果，事后对比出差异。二是识别三类主要 IR 观察：WAF 规则中途部署、并发的外部攻击者（如 M365 密码喷洒导致的 AADSTS50053 锁定，需用数学论证自身不可能造成锁定）、检测触发的限速或 IP 封锁。三是用 WAF 绕过变体区分缓解部署在 WAF 层还是代码层。四是给出发现模板，把“漏洞曾存在”与“缓解被部署”两段状态都写入报告。
使用方式：在参与目录下维护 baseline.json、journal.jsonl、state_changes.jsonl 三类状态文件，可配合定时脚本重新测量基线时间与锁定计数，超过阈值即告警。
限制与纪律：复现失败不代表误报，原始 PoC 证据须永久保留；不得删除原始发现；WAF 规则不等于代码修复，需验证修复深度；报告应把客户端 IR 响应能力作为正面发现呈现。若资料未提供具体环境适配细节，需结合自身授权范围执行。