mcpField
E
executing-red-team-engagement-planning

executing-red-team-engagement-planning

github.com/mukul975安全35.2k135 次安装8 周前更新
代码仓库

关于 executing-red-team-engagement-planning

面向获授权的红队与安全评估团队，指导红队行动前的范围界定、威胁建模、规则制定和审批。它将作战规划与应急停止、法律授权及蓝队协调等安全约束结合起来。

主要功能

  1. 01定义测试范围与排除项
  2. 02制定交战规则和紧急停止程序
  3. 03按 MITRE ATT&CK 选择威胁画像
  4. 04规划攻击场景与时间线
  5. 05建立与 SOC/蓝队的协调流程
  6. 06编制供利益相关方审批的行动简报

适用场景

  1. 01为计划中的红队演练准备交战规则
  2. 02依据组织威胁选择对手模拟场景
  3. 03协调红队行动与 SOC 监控
  4. 04在测试启动前确认授权和应急流程

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill executing-red-team-engagement-planning

安装后在 Claude Code 中输入/executing-red-team-engagement-planning确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
assets/
template.md
references/
api-reference.md
standards.md
workflows.md
scripts/
agent.py
process.py

详细介绍

执行红队演练规划

概述

红队演练规划是基础阶段，在任何攻击性测试开始之前，它定义了范围、目标、交战规则（ROE）、威胁模型选择和行动时间线。结构良好的演练计划确保红队模拟真实的对手行为，同时保持防止意外业务中断的安全护栏。

何时使用

  • 在进行涉及执行红队演练规划的安全评估时
  • 在针对相关安全事件遵循事件响应流程时
  • 在执行计划的安全测试或审计活动时
  • 通过动手测试验证安全控制措施时

前置条件

  • 熟悉红队概念和工具
  • 可访问用于安全执行的测试或实验环境
  • Python 3.8+ 并安装所需依赖项
  • 对任何测试活动具有适当授权

目标

  • 定义清晰的演练范围，包括范围内和范围外的资产、网络和人员
  • 制定交战规则（ROE），包括紧急停止程序、沟通渠道和法律边界
  • 从 MITRE ATT&CK 框架中选择与组织威胁态势相匹配的适当威胁画像
  • 创建详细的攻击计划，将对手 TTP 映射到演练目标
  • 制定与组织 SOC/蓝队的冲突消解程序
  • 生成全面的演练简报供利益相关者审批

法律声明： 此技能仅用于授权的安全测试和教育目的。未经授权对您不拥有或未获得书面许可测试的系统使用是违法的，可能违反计算机欺诈法。

核心概念

演练类型
类型描述范围
全范围包含物理、社会和网络向量的完整对手模拟整个组织
假定入侵从初始据点开始，专注于后利用内部网络
基于目标针对特定的核心资产（例如，域管理员、PII 窃取）定义的靶标
紫队与蓝队协作以改进检测特定控制措施
交战规则组成部分
  1. 范围定义：IP 范围、域名、物理位置、人员
  2. 限制：不得触及的系统/网络（例如，生产数据库、医疗设备）
  3. 沟通计划：主要和次要联系渠道、升级程序
  4. 紧急程序：立即停止的代码词、事件响应协调
  5. 法律授权：签署的授权书、用于物理测试的免责函
  6. 数据处理：测试期间发现的敏感数据将如何处理和销毁
  7. 时间线：开始/结束日期、禁用窗口、报告截止日期
威胁画像选择

使用 MITRE ATT&CK Navigator 映射组织威胁，以选择相关的对手画像：

  • APT29 (Cozy Bear)：通过鱼叉式网络钓鱼、供应链针对政府/国防部门
  • APT28 (Fancy Bear)：政府组织、凭据收集、零日漏洞
  • FIN7：金融部门、POS 恶意软件、社会工程
  • Lazarus Group：金融机构、加密货币交易所、破坏性恶意软件
  • Conti/Royal：勒索软件运营商、双重勒索、RaaS 模式

工作流

阶段 1：演练前
  1. 与利益相关者进行初始范围界定会议
  2. 识别核心资产和关键业务资产
  3. 审查先前的安全评估和审计发现
  4. 定义成功标准和演练目标
  5. 起草交战规则文档
阶段 2：威胁建模
  1. 使用 MITRE ATT&CK 识别相关的威胁行为者
  2. 将威胁行为者的 TTP 映射到组织攻击面
  3. 选择主要和次要攻击场景
  4. 使用具体技术 ID 定义对手仿真计划
  5. 为紫队协作机会建立检测检查点
阶段 3：行动规划
  1. 建立安全通信渠道（加密电子邮件、Signal 等）
  2. 为红队制定行动安全（OPSEC）指南
  3. 确定基础设施需求（C2 服务器、重定向器、钓鱼域名）
  4. 制定分阶段攻击时间线，并设置 go/no-go 决策点
  5. 与 SOC/IR 团队创建去冲突矩阵
阶段 4：文档与审批
  1. 编制交战计划文档
  2. 与法律顾问共同审查
  3. 获得执行发起人签署
  4. 向红队操作人员简报 ROE 和限制条件
  5. 分发紧急联系卡

工具与资源

  • MITRE ATT&CK Navigator：威胁行为者 TTP 映射与可视化
  • VECTR：红队交战跟踪与指标平台
  • Cobalt Strike / Nighthawk：C2 框架规划与基础设施设计
  • PlexTrac：红队报告与交战管理平台
  • SCYTHE：用于创建攻击计划的对手仿真平台

验证标准

  • 已签署的《交战规则》文档
  • 已定义范围，并明确包含/排除边界
  • 已选择威胁画像，并映射 MITRE ATT&CK 技术
  • 紧急停止程序已测试并验证
  • 沟通计划已分发给所有利益相关者
  • 已获得法律授权并归档
  • 红队操作人员已简报并确认 ROE

常见陷阱

  1. 范围蔓延：在执行过程中将测试扩展到已批准边界之外
  2. 去冲突不足：SOC 将红队活动当作真实事件进行调查
  3. 缺少法律授权：在没有适当签署授权的情况下进行测试
  4. 不切实际的威胁模型：模拟与组织无关的威胁
  5. 沟通不畅：在交战期间未能与利益相关者保持联系

相关技能

  • performing-open-source-intelligence-gathering
  • conducting-adversary-simulation-with-atomic-red-team
  • performing-assumed-breach-red-team-exercise
  • building-red-team-infrastructure-with-redirectors

评论

支持 Markdown