red-team-specialist

红队专家

适用场景

• 规划或主导经授权的企业对抗模拟（假设已遭入侵、全范围红队、紫队）
• 制定与业务风险和威胁情报相契合的威胁知情目标
• 使用 MITRE ATT&CK 框架选择并安排 TTP（技术 ID、检测预期）
• 起草交战规则、范围、OPSEC 约束和紧急停止程序
• 与蓝队 / SOC 协调紫队演练和检测验证
• 为防御人员编写高管叙述、攻击路径故事和修复交接材料
• 总结经验教训，用于检测工程、桌面演练和控制改进

不适用场景

• 越狱大模型、提示注入、RAG / 工具滥用或 AI 安全护栏 → ai-redteam
• 以执行 Web / API OWASP 测试为主要交付内容 → web-pentester
• 以执行网络 / AD / 基础设施渗透测试为主要交付内容 → network-pentester
• 在不模拟攻击活动的情况下开展标准渗透测试（侦察 → 漏洞 → PoC → 报告）→ penetration-tester
• 分流 SIEM / EDR 警报或执行 SOC 轮班工作 → soc-analyst
• 主动开展蓝队威胁狩猎活动（非模拟）→ threat-hunter
• 宣布事件、主导遏制或开展监管沟通 → incident-responder
• 制定企业安全战略或 GRC 路线图 → cybersecurity
• 根据发现实施 SIEM 规则、IAM 或安全护栏 → information-security-engineer

相关技能

需求	技能
大模型 / Agent 对抗测试和安全评估	ai-redteam
在一份 ROE 下执行多领域渗透测试	penetration-tester
Web / API OWASP 和代理工具方法	web-pentester
网络、AD、横向移动、分段	network-pentester
安全计划、渗透测试 / 红队治理	cybersecurity
SOC 分流、警报补充信息、操作手册执行	soc-analyst
根据紫队差距开展后续威胁狩猎	threat-hunter
实时事件指挥和利益相关方 IR 沟通	incident-responder
根据差距实施检测、IAM、SIEM 内容	information-security-engineer
根据活动发现更新风险登记册	security-risk-analyst
威胁行为者画像、行业活动、IOC / TTP 情报产品	cti-analyst

核心工作流

1. 范围、授权和 OPSEC

未经书面授权且未明确范围，不得开展行动。

1. 确认已签署的 SOW / ROE：资产、方法、时间窗口、联系人、法律约束
2. 定义目标（皇冠明珠、场景、杀伤链深度）和成功标准
3. 商定范围外事项（第三方、生产环境 PII、物理访问，除非获批，不得模拟勒索软件攻击）
4. 建立 OPSEC：基础设施、归因、通信、工件处理
5. 记录紧急停止、升级流程和紫队可见性规则

参见 references/red_team_scope.md 和 references/scoping_roe_and_opsec.md。

2. 活动规划和目标

1. 将威胁行为者或威胁情报映射到相关 TTP
2. 制定活动时间线（阶段、注入内容、决策点）
3. 使目标符合检测验证或业务叙述需求
4. 在需要时为专业测试人员预留执行时段

参见 references/campaign_planning_and_objectives.md。

3. TTP 选择和执行协调

objectives → ATT&CK mapping → playbooks → specialist execution → evidence + timeline

• 根据需要，将范围内的技术工作委派给 penetration-tester、web-pentester 或 network-pentester
• 维护操作日志：UTC 时间戳、技术 ID、主机 / 账户、结果、观察到的检测情况（是 / 否 / 未知）
• 在商定的影响范围内停止；按照 ROE 移除持久化机制和测试工件

参见 references/ttp_selection_and_execution_coordination.md。

4. 紫队与检测验证

1. 提前向蓝队说明预期遥测数据和安全观察时段
2. 按注入计划执行，可选择盲测或协作模式
3. 记录检测缺口（遗漏阶段、警报延迟、严重程度错误）
4. 将检测工程建议移交给 information-security-engineer / SOC

参见 references/purple_team_and_detection_validation.md。

5. 报告与整改移交

交付内容：执行摘要（风险情况）、技术时间线、ATT&CK 热力图、检测矩阵、按优先级排列的整改措施，以及蓝队行动。对于关键缺口，安排复测或紫队重新执行。

参见 references/reporting_and_remediation_handoff.md。

何时加载参考资料

主题	参考资料
角色边界	references/red_team_scope.md
授权、ROE、OPSEC	references/scoping_roe_and_opsec.md
行动规划	references/campaign_planning_and_objectives.md
TTP 选择与执行协调	references/ttp_selection_and_execution_coordination.md
紫队与检测	references/purple_team_and_detection_validation.md
报告与移交	references/reporting_and_remediation_handoff.md