# Red Team Tactics

> 基于MITRE ATT&CK的红队战术原则。攻击阶段、检测规避、报告。触发词：红队、战术、MITRE ATT&CK、攻击阶段、检测规避、报告

- Skill: `kscz0000/red-team-tactics` (Agent Skill)
- Install (CLI): `npx skillmds@latest add kscz0000/red-team-tactics`
- Raw SKILL.md: https://api.skillmd.com/api/skills/kscz0000/red-team-tactics/raw
- Safety review: pending
- Works with: Claude Code, Claude.ai, OpenAI Codex
- Category: Coding & Dev Tools
- Author: kscz0000 (https://skillmd.com/u/kscz0000)
- Updated: 2026-09-21
- Page: https://skillmd.com/skills/kscz0000/red-team-tactics

---


> 仅限授权使用：仅将此技能用于授权的安全评估、防御验证或受控教育环境。

# 红队战术

> 基于MITRE ATT&CK框架的对手模拟原则。

---

## 1. MITRE ATT&CK 阶段

### 攻击生命周期

```
RECONNAISSANCE → INITIAL ACCESS → EXECUTION → PERSISTENCE
       ↓              ↓              ↓            ↓
   PRIVILEGE ESC → DEFENSE EVASION → CRED ACCESS → DISCOVERY
       ↓              ↓              ↓            ↓
LATERAL MOVEMENT → COLLECTION → C2 → EXFILTRATION → IMPACT
```

### 阶段目标

| 阶段 | 目标 |
|------|------|
| **侦察** | 映射攻击面 |
| **初始访问** | 获得第一个立足点 |
| **执行** | 在目标上运行代码 |
| **持久化** | 在重启后存活 |
| **权限提升** | 获取管理员/root权限 |
| **防御规避** | 避免检测 |
| **凭据访问** | 收集凭据 |
| **发现** | 映射内部网络 |
| **横向移动** | 扩散到其他系统 |
| **收集** | 收集目标数据 |
| **C2** | 维护命令通道 |
| **数据窃取** | 提取数据 |

---

## 2. 侦察原则

### 被动 vs 主动

| 类型 | 权衡 |
|------|------|
| **被动** | 不接触目标，信息有限 |
| **主动** | 直接接触，检测风险更高 |

### 信息目标

| 类别 | 价值 |
|------|------|
| 技术栈 | 攻击向量选择 |
| 员工信息 | 社会工程 |
| 网络范围 | 扫描范围 |
| 第三方 | 供应链攻击 |

---

## 3. 初始访问向量

### 选择标准

| 向量 | 何时使用 |
|------|----------|
| **钓鱼** | 人员目标，电子邮件访问 |
| **公开漏洞利用** | 暴露的脆弱服务 |
| **有效凭据** | 泄露或破解的凭据 |
| **供应链** | 第三方访问 |

---

## 4. 权限提升原则

### Windows目标

| 检查 | 机会 |
|------|------|
| 未引用的服务路径 | 写入路径 |
| 弱服务权限 | 修改服务 |
| 令牌权限 | 滥用SeDebug等 |
| 存储凭据 | 收集 |

### Linux目标

| 检查 | 机会 |
|------|------|
| SUID二进制文件 | 以所有者身份执行 |
| Sudo配置错误 | 命令执行 |
| 内核漏洞 | 内核漏洞利用 |
| Cron作业 | 可写脚本 |

---

## 5. 防御规避原则

### 关键技术

| 技术 | 目的 |
|------|------|
| LOLBins | 使用合法工具 |
| 混淆 | 隐藏恶意代码 |
| 时间戳篡改 | 隐藏文件修改 |
| 日志清除 | 移除证据 |

### 操作安全

- 在工作时间内工作
- 模仿合法流量模式
- 使用加密通道
- 与正常行为混合

---

## 6. 横向移动原则

### 凭据类型

| 类型 | 用途 |
|------|------|
| 密码 | 标准认证 |
| 哈希 | Pass-the-hash |
| 票据 | Pass-the-ticket |
| 证书 | 证书认证 |

### 移动路径

- 管理共享
- 远程服务（RDP、SSH、WinRM）
- 内部服务漏洞利用

---

## 7. Active Directory 攻击

### 攻击类别

| 攻击 | 目标 |
|------|------|
| Kerberoasting | 服务账户密码 |
| AS-REP Roasting | 无预认证的账户 |
| DCSync | 域凭据 |
| Golden Ticket | 持久域访问 |

---

## 8. 报告原则

### 攻击叙述

记录完整的攻击链：
1. 如何获得初始访问
2. 使用了哪些技术
3. 实现了哪些目标
4. 检测在哪里失败

### 检测缺口

对于每个成功的技术：
- 应该检测到什么？
- 为什么检测没有生效？
- 如何改进检测

---

## 9. 道德边界

### 必须做

- 保持在范围内
- 最小化影响
- 如果发现真实威胁立即报告
- 记录所有操作

### 禁止做

- 破坏生产数据
- 造成拒绝服务（除非在范围内）
- 超出概念验证的访问
- 保留敏感数据

---

## 10. 反模式

| ❌ 不要 | ✅ 要 |
|----------|-------|
| 急于利用 | 遵循方法论 |
| 造成损害 | 最小化影响 |
| 跳过报告 | 记录一切 |
| 忽略范围 | 保持在边界内 |

---

> **记住：** 红队模拟攻击者以改进防御，而不是造成伤害。

## 何时使用
此技能适用于执行概述中描述的工作流程或操作。

## 限制
- 仅当任务明确匹配上述范围时才使用此技能。
- 不要将输出视为环境特定验证、测试或专家审查的替代品。
- 如果缺少所需输入、权限、安全边界或成功标准，请停止并请求澄清。