killvxk 执行红队演练规划
概述
红队演练规划是在任何攻击测试开始之前，确定范围、目标、交战规则（ROE）、威胁模型选择和操作时间表的基础阶段。结构良好的演练计划确保红队模拟真实的对手行为，同时维持防止意外业务中断的安全护栏。
目标
- 明确演练范围，包括在测试范围内和范围外的资产、网络和人员
- 建立交战规则（ROE），包括紧急停止程序、通信渠道和法律边界
- 从 MITRE ATT&CK 框架中选择与组织威胁环境相匹配的适当威胁配置文件
- 创建将对手 TTP 映射到演练目标的详细攻击计划
- 制定与组织 SOC/蓝队的去冲突程序
- 为获得利益相关方批准而制作综合演练简报
核心概念
演练类型
| 类型 | 描述 | 范围 |
|---|---|---|
| 全范围 | 包含物理、社会和网络向量的完整对手模拟 | 整个组织 |
| 假设已入侵 | 从初始立足点开始，专注于后渗透 | 内部网络 |
| 基于目标 | 针对特定关键资产（如域管理员、PII 外泄） | 指定目标 |
| 紫队（Purple Team） | 与蓝队协作改进检测能力 | 特定控制措施 |
交战规则组成要素
- 范围定义：IP 范围、域名、物理位置、人员
- 限制：不得触碰的系统/网络（如生产数据库、医疗设备）
- 通信计划：主要和备用联系渠道、升级程序
- 紧急程序：立即停止的暗语、事件响应协调
- 法律授权：已签署的授权书、物理测试的"免于被捕"证明
- 数据处理：测试过程中发现的敏感数据的处理和销毁方式
- 时间表：开始/结束日期、停止窗口期、报告截止日期
威胁配置文件选择
使用 MITRE ATT&CK Navigator 映射组织威胁，选择相关对手配置文件：
- APT29（Cozy Bear）：针对政府/国防行业，通过鱼叉式钓鱼、供应链攻击
- APT28（Fancy Bear）：针对政府组织，凭据收割、零日漏洞利用
- FIN7：针对金融行业，POS 恶意软件、社会工程学
- Lazarus Group：针对金融机构、加密货币交易所，破坏性恶意软件
- Conti/Royal：勒索软件运营者，双重勒索，RaaS 模式
实施步骤
阶段一：演练前准备
- 与利益相关方召开初步范围会议
- 识别关键资产和重要业务资产
- 审查之前的安全评估和审计发现
- 定义成功标准和演练目标
- 起草交战规则文件
阶段二：威胁建模
- 使用 MITRE ATT&CK 识别相关威胁行为者
- 将威胁行为者 TTP 映射到组织攻击面
- 选择主要和次要攻击场景
- 制定包含特定技术 ID 的对手模拟计划
- 为紫队机会建立检测检查点
阶段三：操作规划
- 建立安全通信渠道（加密邮件、Signal 等）
- 为红队制定操作安全（OPSEC）指南
- 建立基础设施需求（C2 服务器、重定向器、钓鱼域名）
- 制定分阶段攻击时间表，设置执行/不执行决策点
- 与 SOC/IR 团队创建去冲突矩阵
阶段四：文档与批准
- 汇编演练计划文件
- 与法律顾问审查
- 获得高管赞助人签字
- 向红队操作员简报 ROE 和限制
- 分发紧急联系卡
工具与资源
- MITRE ATT&CK Navigator：威胁行为者 TTP 映射和可视化
- VECTR：红队演练跟踪和指标平台
- Cobalt Strike / Nighthawk：C2 框架规划和基础设施设计
- PlexTrac：红队报告和演练管理平台
- SCYTHE：用于创建攻击计划的对手模拟平台
验证标准
- 已签署交战规则文件
- 已定义具有明确内/外边界的范围
- 已选择具有映射的 MITRE ATT&CK 技术的威胁配置文件
- 已测试并验证紧急停止程序
- 已向所有利益相关方分发通信计划
- 已获取并存档法律授权
- 红队操作员已简报并确认 ROE
常见陷阱
- 范围蠕变：执行过程中将测试扩展到批准边界之外
- 去冲突不足：SOC 将红队活动作为真实事件进行调查
- 缺少法律授权：未获得适当的书面授权就进行测试
- 不现实的威胁模型：模拟与组织无关的威胁
- 沟通不畅：演练期间未能与利益相关方保持联系
相关技能
- performing-open-source-intelligence-gathering
- conducting-adversary-simulation-with-atomic-red-team
- performing-assumed-breach-red-team-exercise
- building-red-team-infrastructure-with-redirectors