红蓝对抗演练
概述
本技能提供从演练规划到复盘改进的完整红蓝对抗方法论，覆盖攻击方（红队）与防守方（蓝队）的组织、演练执行、效果评估与改进闭环。
演练类型
| 类型 | 目标 | 适用场景 |
|---|---|---|
| 桌面推演 | 决策流程与应急机制 | 新团队/未开展过演练 |
| 攻防夺旗(CTF) | 技术能力考核 | 安全团队内部训练 |
| 实战对抗 | 发现真实漏洞与防御缺陷 | 年度/季度大型演练 |
| 钓鱼演练 | 意识与流程验证 | 全员防御能力检验 |
红队（攻击方）组织
攻击链路设计
ATT&CK 框架参考：
侦察(Reconnaissance)
→ 资源准备(Resource Development)
→ 初始访问(Initial Access)
→ 持久化(Persistence)
→ 权限提升(Privilege Escalation)
→ 防御规避(Defense Evasion)
→ 横向移动(Lateral Movement)
→ 目标达成(Impact)
攻击方式矩阵
| 攻击阶段 | 常用手段 | 说明 |
|---|---|---|
| 侦察 | OSINT、资产探测、口碑探测 | 信息收集阶段 |
| 初始访问 | 钓鱼、弱口令、漏洞利用 | 第一跳 |
| 持久化 | 后门、计划任务、账户劫持 | 保持立足点 |
| 横向移动 | Pass-the-Hash、凭据重用 | 内网扩展 |
| 数据窃取 | 加密外传、隐蔽通道 | 达成目标 |
攻击规则设定
- 攻击时间窗口（通常3-5天）
- 攻击范围（明确哪些系统不可碰）
- 攻击禁用手段（如社工、物理攻击需提前约定）
- 标志物（证明已获取目标权限，如特定文件/截图）
蓝队（防守方）组织
防守职责
- 实时监控与告警响应
- 攻击痕迹分析与溯源
- 威胁猎杀与阻断
- 应急处置与上报
- 防守报告编写
防守工具链
| 阶段 | 工具 | 说明 |
|---|---|---|
| 监控 | SIEM/SOC平台、流量检测 | 全流量/日志采集 |
| 检测 | IDS/IPS、HIDS、WAF | 已知威胁检测 |
| 溯源 | EDR、流量回溯、日志分析 | 攻击路径还原 |
| 阻断 | 防火墙、终端隔离 | 攻击遏制 |
防守评分标准
- 攻击识别时间
- 攻击响应时间
- 攻击溯源完整度
- 核心资产防护成功率
- 防守报告质量
演练组织流程
前期准备（演练前1-2周）
- 明确演练目标与范围
- 组建红蓝队伍，明确职责
- 收集目标资产清单
- 签署演练协议，明确规则与禁区
- 部署监控与记录设备
演练执行（3-5天）
- 红队开始攻击
- 蓝队监控与响应
- 每日简报（攻击发现/防守成果）
- 裁判组实时评分
复盘总结（演练后1周）
- 红队：攻击路径、得手原因、工具清单
- 蓝队：发现时间、响应过程、防御缺陷
- 裁判：整体评估、关键时间线
- 整改计划：修复时限、责任人
渗透测试管理
测试类型
| 类型 | 范围 | 方式 |
|---|---|---|
| 黑盒测试 | 纯外部视角，无任何信息 | 模拟真实攻击者 |
| 白盒测试 | 提供源码/架构，深度测试 | 代码审计+渗透 |
| 灰盒测试 | 部分信息，内部视角 | 综合评估 |
测试范围界定（SOW）
- 目标资产：域名、IP段、应用列表
- 测试内容：Web/App/API/主机/内网
- 限制范围：生产环境限制、时段限制
- 报告要求：漏洞详情、复现步骤、修复建议
漏洞等级标准
| 等级 | 定义 | 示例 |
|---|---|---|
| 严重 | 可直接获取系统权限/大量数据 | RCE、未授权访问 |
| 高危 | 可获取重要数据或权限 | SQL注入、越权 |
| 中危 | 可造成一定影响 | XSS、CSRF |
| 低危 | 信息泄露/建议优化 | 路径遍历、敏感信息暴露 |
改进闭环
- 漏洞修复优先级（严重→高→中→低）
- 修复时限：严重7天，高危30天，中危90天
- 复测验证：修复后需复测确认
- 防御改进：基于演练发现更新检测规则、优化流程
