1. 项目概述

"红蓝对抗"是近年来安全领域最受关注的实战演练方式之一。不同于传统的渗透测试或漏洞扫描，这种模拟真实攻防的对抗训练，能够全面检验企业安全体系的防御能力。我在过去三年主导过17次不同规模的红蓝对抗演练，发现90%的企业在首次对抗中都会暴露出意料之外的安全盲区。

这种演练模式最早可追溯到军事领域的战争模拟，网络安全从业者将其改良为可量化的技术对抗。核心价值在于：通过模拟真实攻击者的战术、技术和流程（TTPs），迫使防御方跳出"合规 checklist"的思维局限，从攻击者视角重新审视防御体系。

2. 对抗规则设计方法论

2.1 对抗目标设定

有效的对抗必须始于清晰的目标定义。我通常建议采用"3+1"目标框架：

• 技术目标：验证特定防御措施的有效性（如EDR的进程注入检测）
• 流程目标：测试事件响应SOP的执行效率
• 人员目标：锻炼安全团队的协作能力
• （可选）业务目标：评估攻击对关键业务的影响程度

关键提示：避免设置"攻破域控"这类绝对化目标，应改为"在48小时内保持隐蔽的横向移动"等可量化指标

2.2 对抗范围划定

通过"靶场-生产"混合环境搭建实现安全与实效的平衡：

graph TD A[生产环境] -->|只读接入| B(日志分析系统) C[隔离靶场] -->|镜像数据| D(域控制器副本) E[云沙箱] -->|API连接| F(邮件系统测试账号)

典型资源配置方案：

2.3 胜负判定机制

建议采用动态计分系统，例如：

• 蓝队得分项：

  • 检测到攻击行为（基础分×时间系数）
  • 正确归类攻击技术（MITRE ATT&CK分类）
  • 完整还原攻击链（证据链完整性）

• 红队得分项：

  • 维持访问时长（每小时递增计分）
  • 横向移动深度（每跳转系数递增）
  • 关键数据获取（按数据分类加权）

3. 红队战术全流程解析

3.1 前期侦查阶段

使用"OSINT三阶侦查法"：

1. 被动信息收集

   # 自动化WHOIS查询示例 import pythonwhois def get_domain_info(domain): data = pythonwhois.get_whois(domain) return { 'registrar': data['registrar'][0], 'creation_date': data['creation_date'][0].strftime('%Y-%m-%d') }

2. 主动探测技巧
   • 通过CDN识别真实IP：对比SSL证书序列号
   • 邮箱格式推断：利用Hunter.io验证猜想
3. 社会工程学铺垫
   • 伪造LinkedIn招聘账号接触目标员工
   • 制作钓鱼用的"假公司内部文档模板"

3.2 武器化阶段

现代攻击载荷的免杀技术演进：

1. 静态免杀
   • 使用Donut等工具将PE文件转为shellcode
   • 自定义加载器实现内存解密
2. 动态免杀
   • 通过COM劫持实现无文件执行
   • 利用合法软件的白名单机制（如MSBuild）

实测案例：某次对抗中，将Cobalt Strike的beacon注入到Notepad++的插件加载流程，成功绕过所有杀软

3.3 横向移动技术

域环境下的隐蔽移动方案对比：

4. 蓝队防御体系构建

4.1 检测层优化策略

基于ATT&CK矩阵的检测覆盖测试：

# 模拟进程注入检测的Sigma规则示例 title: Possible Process Injection description: Detects common process injection techniques logsource: product: windows service: sysmon detection: selection: EventID: 8 TargetImage: - '*\lsass.exe' - '*\svchost.exe' condition: selection falsepositives: - Legitimate security software level: high

4.2 响应流程压测

设计"熔断演练"检验响应极限：

1. 同时触发5个不同攻击场景
2. 逐步关闭SOC中的自动化工具
3. 记录从告警到处置的完整时间线

典型问题发现：

• 超过83%的团队在手动分析时遗漏跨设备关联事件
• EDR的进程树分析功能在负载高峰时超时失效

4.3 防御性反制措施

合法的反制技术包括：

1. 网络层：
   • 对C2服务器的反向流量限速
   • 部署蜜罐凭证诱导攻击者
2. 主机层：
   • 伪造内存中的敏感数据
   • 设置虚假的管理员会话

5. 复盘优化方法论

5.1 时间轴重建技术

使用KQL实现攻击链可视化：

SecurityEvent | where TimeGenerated between (datetime(2023-06-01) .. datetime(2023-06-02)) | where EventID == 4624 or EventID == 4688 | project TimeGenerated, Computer, AccountName, EventID | sort by TimeGenerated asc | render timechart

5.2 根本原因分析

采用"5Why+1How"分析法：

1. Why攻击未被及时发现？
   • EDR规则未覆盖新型注入技术
2. Why规则未更新？
   • 威胁情报订阅渠道单一
3. Why情报源不足？
   • 预算限制未购买商业情报
   • How：建立开源情报收集流程

5.3 改进方案制定

防御体系升级路线图示例：

6. 实战经验总结

在最近一次金融行业对抗中，我们发现三个反常识现象：

1. 过度依赖EDR的团队，在规则被绕过后恢复能力反而最差
2. 启用双因素认证的系统，因Token滥用导致横向移动更快
3. 网络分段实施不彻底的环境，攻击者更易保持隐蔽性

建议每季度开展"微对抗"（Micro-Engagement）：

• 时长压缩到4小时内
• 聚焦单个攻击技术（如Lateral Movement）
• 采用"攻击-防御"角色轮换制

最后分享一个检测规则优化技巧：将红队使用的攻击工具直接上传到VirusTotal，根据各家杀软的检测结果反向优化自己的YARA规则。