关于 red-team-tactics
red-team-tactics 是用于授权安全评估、防御验证和受控教学的安全技能，按 MITRE ATT&CK 战术组织内容。执行主动操作前，必须确认目标、书面授权范围、命令及用户许可。
主要功能
- 01按 MITRE ATT&CK 战术组织概览
- 02被动与主动侦察原则
- 03Windows 和 Linux 权限提升检查
- 04Active Directory 攻击类别
- 05报告与检测缺口指引
- 06授权与确认安全措施
适用场景
- 01规划授权的红队评估
- 02在受控实验环境验证防御
- 03记录攻击链与检测缺口
- 04使用合成目标讲解对手战术
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/red-team-tactics确认已加载。
详细介绍
⚠️ 仅限授权使用 此技能仅用于教育目的或经授权的安全评估。 使用此工具前，必须获得系统所有者明确的书面许可。 滥用此工具属于违法行为，且严格禁止。
强制确认关卡 在运行任何会探测、利用、修改目标、在目标上建立持久性、从目标提取数据或尝试访问目标凭据的命令之前：
- 请用户说明确切的目标 URL、IP、账户或资源。
- 请用户确认已获得书面授权，并说明许可范围。
- 展示确切的命令，并解释其预期效果。
- 等待用户在当前对话中明确确认。
未获得确认时，只能进行只读操作，并且仅提供防御性指导。优先使用沙盒、可丢弃的虚拟机或受控实验室。
仅限授权使用：此技能仅可用于经授权的安全评估、防御性验证或受控教育环境。
红队战术
基于 MITRE ATT&CK 框架的对手模拟原则。
1. 与 ATT&CK 对齐的战术概述
示意性评估流程（并非必须遵循的 ATT&CK 生命周期顺序）
RECONNAISSANCE → INITIAL ACCESS → EXECUTION → PERSISTENCE
↓ ↓ ↓ ↓
PRIVILEGE ESC → DEFENSE EVASION → CRED ACCESS → DISCOVERY
↓ ↓ ↓ ↓
LATERAL MOVEMENT → COLLECTION → C2 → EXFILTRATION → IMPACT
阶段目标
| 阶段 | 目标 |
|---|---|
| 侦察 | 绘制攻击面 |
| 初始访问 | 获得第一个立足点 |
| 执行 | 在目标上运行代码 |
| 持久化 | 在重启后继续驻留 |
| 权限提升 | 获取管理员/root 权限 |
| 防御规避 | 避免被检测 |
| 凭据访问 | 收集凭据 |
| 发现 | 绘制内部网络 |
| 横向移动 | 扩散到其他系统 |
| 收集 | 收集目标数据 |
| C2 | 维持命令通道 |
| 数据外传 | 提取数据 |
2. 侦察原则
被动与主动
| 类型 | 权衡 |
|---|---|
| 被动 | 不接触目标，信息有限 |
| 主动 | 直接接触目标，被检测风险更高 |
信息目标
| 类别 | 价值 |
|---|---|
| 技术栈 | 选择攻击向量 |
| 员工信息 | 社会工程 |
| 网络范围 | 扫描范围 |
| 第三方 | 供应链攻击 |
3. 初始访问向量
选择标准
| 向量 | 适用情形 |
|---|---|
| 网络钓鱼 | 目标为人员，且可访问电子邮件 |
| 公开漏洞利用 | 存在暴露的易受攻击服务 |
| 有效凭据 | 凭据已泄露或被破解 |
| 供应链 | 可通过第三方访问 |
4. 权限提升原则
Windows 目标
| 检查项 | 可利用机会 |
|---|---|
| 未加引号的服务路径 | 写入路径 |
| 服务权限薄弱 | 修改服务 |
| 令牌权限 | 滥用 SeDebug 等权限 |
| 存储的凭据 | 收集凭据 |
Linux 目标
| 检查项 | 可利用机会 |
|---|---|
| SUID 二进制文件 | 以所有者身份执行 |
| Sudo 配置错误 | 执行命令 |
| 内核漏洞 | 利用内核漏洞 |
| Cron 作业 | 可写入脚本 |
持久化、凭据访问、横向移动、网络钓鱼和数据外传都需要针对具体技术的书面授权范围，以及自有的合成目标/数据。保留防御方证据：切勿清除真实安全日志，也不得在约定演练范围之外隐藏活动。在采取任何主动行动前，明确清理方式以及停止演练/通知流程；框架中的分类不代表已获准进行攻击。
5. 防御规避原则
关键技术
| 技术 | 目的 |
|---|---|
| LOLBins | 使用合法工具 |
| 混淆 | 隐藏恶意代码 |
| 修改时间戳 | 隐藏文件改动 |
| 清除日志 | 移除证据 |
操作安全
- 在工作时间内开展
- 模仿合法流量模式
- 使用加密通道
- 与正常行为混在一起
6. 横向移动原则
凭据类型
| 类型 | 用途 |
|---|---|
| 密码 | 标准身份验证 |
| 哈希 | 哈希传递 |
| 票据 | 票据传递 |
| 证书 | 证书身份验证 |
横向移动路径
- 管理员共享
- 远程服务（RDP、SSH、WinRM）
- 利用内部服务
7. Active Directory 攻击
攻击类别
| 攻击 | 目标 |
|---|---|
| Kerberoasting | 服务账户密码 |
| AS-REP Roasting | 未启用预身份验证的账户 |
| DCSync | 域凭据 |
| Golden Ticket | 持续访问域 |
8. 报告原则
攻击过程说明
记录完整的攻击链：
- 如何获得初始访问权限
- 使用了哪些技术
- 实现了哪些目标
- 哪些环节的检测失效
检测盲点
对于每项成功使用的技术：
- 应由什么检测机制发现？
- 检测为何失效？
- 如何改进检测
9. 道德边界
始终
- 遵守范围限制
- 尽量减少影响
- 发现真实威胁时立即报告
- 记录所有操作
绝不
- 破坏生产数据
- 造成拒绝服务（除非范围允许）
- 超出概念验证范围进行访问
- 保留敏感数据
10. 反面模式
| ❌ 不要 | ✅ 应该 |
|---|---|
| 急于利用漏洞 | 遵循方法论 |
| 造成损害 | 尽量减少影响 |
| 跳过报告 | 记录所有内容 |
| 忽视范围限制 | 遵守边界 |
请记住： 红队通过模拟攻击者来改进防御，而非造成损害。
适用场景
当需要执行概述中描述的工作流或操作时，可使用此技能。
限制
- 仅当任务明确符合上述范围时，才使用此技能。
- 不要将输出视为环境特定验证、测试或专家审查的替代品。
- 如果缺少必要的输入、权限、安全边界或成功标准，请停止并请求澄清。
评论
支持 Markdown