executing-red-team-exercise

执行红队演练

何时使用

• 评估组织检测、响应和遏制逼真对手行动的能力
• 测试安全运营中心（SOC）、事件响应团队和威胁狩猎能力的有效性
• 通过模拟串联多个漏洞和技术的攻击，验证安全投资
• 针对特定威胁行为者（国家背景、勒索软件团伙、内部威胁）评估组织的安全态势
• 满足对手模拟的合规要求（TIBER-EU、CBEST、AASE、iCAST）

请勿使用于未经高管层授权且没有详细《交战规则》文档的情况、中断可能影响安全或关键操作的系统，或作为基础漏洞管理的替代方案（先修复已知漏洞）。

前置条件

• 高管层书面授权，明确界定目标、范围和禁止触碰的系统
• 红队命令与控制（C2）基础设施：采用域前置或重定向器的主用和备用 C2 通道
• 配备 OPSEC 加固工具集的操作员工作站（Cobalt Strike、Sliver、Brute Ratel 或 Mythic）
• 与目标组织相关的对手组织威胁情报，用于对手模拟规划
• 目标组织内的可信 Agent（白方），负责管理演练边界且不惊动防御方
• 用于映射计划执行技术的 MITRE ATT&CK 矩阵

法律声明： 本技能仅用于授权安全测试和教育目的。未经授权对您不拥有或没有书面许可测试的系统使用本技能属于违法行为，可能违反计算机欺诈相关法律。

工作流

步骤 1：对手模拟规划

基于逼真的威胁模型制定行动计划：

• 威胁行为者选择：选择与组织所处行业相关的对手组织。对于金融服务，模拟 FIN7 或 Lazarus Group。对于医疗健康，模拟 APT41 或 FIN12。从 MITRE ATT&CK 映射所选对手的已知 TTP。
• 目标定义：定义可衡量的目标，例如“从核心银行系统访问客户金融数据”或“展示在整个域内部署勒索软件的能力”
• 攻击计划制定：创建分步行动计划，将每个阶段映射到 ATT&CK 战术：
  1. 初始访问（TA0001）：钓鱼、利用面向公众的应用或供应链入侵
  2. 执行（TA0002）：PowerShell、脚本、利用漏洞实现客户端执行
  3. 持久化（TA0003）：计划任务、注册表修改、植入物部署
  4. 权限提升（TA0004）：令牌模拟、利用漏洞进行权限提升
  5. 防御规避（TA0005）：进程注入、时间戳篡改、清除痕迹
  6. 凭据访问（TA0006）：LSASS 转储、Kerberoasting、凭据填充
  7. 横向移动（TA0008）：远程服务、哈希传递、远程桌面
  8. 收集/外泄（TA0009/TA0010）：数据暂存、通过 C2 外泄
• 冲突消解计划：为白方建立程序，以区分红队活动与真实威胁

第 2 步：基础设施准备

构建经过 OPSEC 加固的攻击基础设施：

• C2 基础设施：将主 C2 服务部署在重定向器之后，以过滤蓝队调查流量。使用域名前置或合法云服务（Azure CDN、CloudFront），让 C2 流量与正常 Web 流量混在一起。
• 钓鱼基础设施：注册老化域名（30 天以上），配置 SPF/DKIM/DMARC，并搭建凭证收集或载荷投递页面
• 载荷开发：创建自定义植入物，或配置 C2 框架载荷，包括：
  • 用于 PowerShell 执行的 AMSI 绕过
  • ETW 补丁，以规避安全产品遥测
  • 睡眠掩蔽和内存加密，以对抗内存扫描
  • 签名二进制代理执行（rundll32、msbuild、regsvr32），用于防御规避
• 分阶段基础设施：为第二阶段载荷、数据外传投放服务器和备用通信通道设置文件托管
• OPSEC 验证：在上线前，使用目标环境中部署的同一批 EDR/AV 产品测试整个基础设施

第 3 步：初始访问

在目标环境中获得初始立足点：

• 钓鱼活动：向选定的员工发送有针对性的鱼叉式钓鱼邮件，附带武器化文档或凭证收集链接。使用基于侦察阶段收集的 OSINT 构建的借口。
• 外部利用：利用侦察期间发现的面向互联网应用（VPN 门户、Web 应用、邮件服务器）中的漏洞
• 物理访问：如果在范围内，尝试物理访问以部署网络植入物（LAN Turtle、Bash Bunny）或 USB 投放
• 供应链：如果在范围内，入侵供应商或供货商关系，以获得间接访问
• 初始访问成功后，建立第一个 C2 信标，并确认与 C2 服务的通信。立即实施持久化（多种机制），以在重启和凭证更改后继续存活。

第 4 步：后利用与目标完成

在目标环境中行动，同时保持隐蔽：

• 内部侦察：枚举域，识别高价值目标，并使用 BloodHound 和内部扫描绘制网络地图，流量设计为与正常管理活动混在一起
• 权限提升：从初始用户提升到本地管理员，再提升到域管理员，使用最不易被检测的技术（Kerberoasting 优于 pass-the-hash，就地取材优于自定义工具）
• 横向移动：使用合法协议（RDP、WinRM、SMB）和窃取的凭证移动到目标系统。变换技术以测试多个检测特征。
• 防御规避：持续调整以避免检测。如果某项技术触发告警，记录该检测并切换到替代方法。
• 目标执行：完成既定目标（访问目标数据、演示勒索软件分阶段部署、外传数据），并记录达成证据
• 检测时间线：记录每项已执行技术的时间戳，以便之后与蓝队的检测时间线进行对比

第 5 步：紫队整合与报告

将红队发现转化为防御改进：

• 检测缺口分析：将红队的技术时间线与蓝队的检测日志进行对比。确定哪些技术被检测到、哪些被遗漏，以及每项技术的平均检测时间（MTTD）。
• ATT&CK 覆盖映射：创建 ATT&CK Navigator 热力图，展示哪些技术经过测试，以及它们是被检测到、遗漏还是部分检测到
• 紫队会议：开展协作会议，由红队逐步揭示每项技术，同时蓝队指出本应在何处进行检测，并编写新的检测规则
• 报告：交付一份全面的报告，包括行动叙述、逐项技术的检测状态分析，以及改进检测与响应的优先级建议

关键概念

术语	定义
对手模拟	模拟已知威胁行为者的特定 TTP，以针对与组织相关的现实威胁测试防御能力
C2（命令与控制）	红队用于远程控制部署在受失陷系统上的植入物的基础设施和通信渠道
OPSEC	行动安全；红队在演练期间为避免被防守方检测而采用的实践
域前置	一种将 C2 流量隐藏在合法 CDN 域名之后，以规避基于网络的检测和域名封锁的技术
紫队协作	红队和蓝队共同协作的演练，通过共享攻击技术和防御缺口来改进检测
白队	受信任的代理或演练控制组，负责管理演练、处理冲突消解，并在红队和蓝队之间进行调解
植入物	红队部署在受失陷系统上的软件，用于维持访问、执行命令并促进横向移动
MTTD/MTTR	平均检测时间 / 平均响应时间；衡量防守方识别和遏制威胁所需时间的指标

工具与系统

• Cobalt Strike：商业对手模拟平台，提供 beacon、可塑 C2 配置文件和后期利用能力
• Sliver：开源 C2 框架，支持多种协议（mTLS、WireGuard、HTTP/S、DNS），具有跨平台植入物
• MITRE ATT&CK Navigator：用于可视化 ATT&CK 技术覆盖的工具，支持对比计划、执行和检测到的技术
• Mythic：开源 C2 框架，具有模块化 Agent 架构和基于 Web 的操作员界面

常见场景

场景：针对一家零售公司的 FIN7 对手模拟

背景：一家全国性零售连锁企业希望测试其针对 FIN7 的防御能力。FIN7 是一个以经济动机驱动的威胁组织，以使用销售点恶意软件、网络钓鱼和数据窃取攻击零售与酒店行业组织而闻名。

方法：

1. 模拟 FIN7 的 TTP：通过携带恶意文档的鱼叉式网络钓鱼，文档中包含执行 PowerShell 的 VBA 宏
2. 通过鱼叉式网络钓鱼一名市场员工实现初始访问；宏使用 rundll32 代理执行投递 Cobalt Strike beacon
3. 使用 BloodHound 进行内部侦察，发现一条从被攻陷用户到可访问 POS 管理服务器的服务账号的路径
4. 对该服务账号执行 Kerberoast，破解密码，并横向移动到 POS 管理系统
5. 演示对持卡人数据环境的数据访问，暂存模拟卡数据以供窃取
6. 通过 DNS C2 通道窃取暂存数据，以模拟数据盗取
7. SOC 在第 47 小时检测到横向移动，但未检测到初始网络钓鱼、宏执行或 Kerberoasting

陷阱：

• 操作过于激进并立即被检测到，无法为测试蓝队的高级检测能力提供价值
• 只使用自定义工具，而不是真实对手偏好的离地攻击技术
• 没有为每个动作记录详细时间戳，导致无法进行演练后分析和检测缺口映射
• 未能建立备用 C2 通道，被单次检测暴露并失去访问权限，未能完成目标

输出格式

## Red Team Exercise Report - FIN7 Adversary Emulation

### Exercise Summary
**Duration**: November 4-22, 2025 (15 business days)
**Objective**: Access cardholder data environment and demonstrate data exfiltration capability
**Outcome**: OBJECTIVE ACHIEVED - Red team accessed POS management system and staged cardholder data for exfiltration

### ATT&CK Technique Coverage
| Technique | ID | Status | Detected? | MTTD |
|-----------|----|--------|-----------|------|
| Spear-Phishing Attachment | T1566.001 | Executed | No | - |
| Visual Basic Macro | T1059.005 | Executed | No | - |
| Process Injection | T1055 | Executed | No | - |
| Kerberoasting | T1558.003 | Executed | No | - |
| Remote Desktop Protocol | T1021.001 | Executed | YES | 47h |
| Data Staged | T1074 | Executed | No | - |
| Exfiltration Over C2 | T1041 | Executed | No | - |

### Detection Summary
- **Techniques Executed**: 14
- **Techniques Detected**: 3 (21.4%)
- **Mean Time to Detect**: 47 hours (for detected techniques)
- **Mean Time to Respond**: 4 hours (from detection to containment)

### Priority Recommendations
1. Deploy email detonation sandboxing for macro-enabled document analysis
2. Implement Kerberoasting detection via Windows Event ID 4769 monitoring
3. Enhance PowerShell logging (Script Block Logging, Module Logging)
4. Deploy memory-scanning EDR capability to detect process injection