红蓝对抗演练

红蓝对抗演练容易流于两种失败：要么红队按脚本走一遍，蓝队被动挨打；要么规则没谈清楚，演练变成真实的入侵事故。这个技能提供的不是自动化工具，而是一套可直接落地的方法论文档，覆盖演练规划、执行到复盘的完整闭环。

它解决什么问题

大多数团队首次组织演练时会遇到几个具体困难：不知道该选哪种演练类型、攻击边界和禁用手段如何约定、蓝队的防守成果如何量化评估。本技能把这些问题拆成了可直接填写的模板和检查项。

核心能力

演练类型选型。 内置四类演练的对照表：桌面推演 用于验证决策流程与应急机制，适合从未演练过的团队；攻防夺旗(CTF) 用于安全团队内部技术能力考核；实战对抗 用于发现真实漏洞与防御缺陷；钓鱼演练 用于检验全员防御意识。

红队组织。 攻击链路设计参考 ATT&CK 框架，按侦察、初始访问、持久化、横向移动、数据窃取五个阶段给出常用手段（如 OSINT、弱口令、Pass-the-Hash）。同时要求事先约定攻击时间窗口（通常 3-5 天）、不可触碰的范围、禁用手段（如社工、物理攻击）以及证明已得手的 标志物。

蓝队组织。 明确防守职责与工具链：监控阶段用 SIEM/SOC 平台，检测用 IDS/IPS、HIDS、WAF，溯源用 EDR 与流量回溯，阻断用防火墙与终端隔离。防守评分包含攻击识别时间、响应时间、溯源完整度、核心资产防护成功率和报告质量五项。

组织流程。 按三个阶段给出清单：前期准备（1-2 周，含目标范围、组队、签署演练协议、部署监控），执行期每日简报加裁判实时评分，复盘期由红蓝和裁判三方产出攻击路径、响应过程与整改计划。

渗透测试管理。 附带黑盒/白盒/灰盒三种测试类型的范围界定方法（SOW）、严重到低危的漏洞分级标准，以及按等级递减的修复时限（严重 7 天、高危 30 天、中危 90 天）和复测验证要求。

适用边界

这套内容是方法论与检查清单，不包含可执行的攻击工具或自动化脚本。实战对抗 必须在获得授权的环境中进行，生产环境的限制需在 SOW 中提前写明。演练规则（时间窗口、禁区、禁用手段）必须由红蓝双方书面确认后再开始，否则无法区分演练与真实攻击。