红队战术
基于 MITRE ATT&CK 框架的对手模拟原则。
1. MITRE ATT&CK 阶段
攻击生命周期
RECONNAISSANCE → INITIAL ACCESS → EXECUTION → PERSISTENCE
↓ ↓ ↓ ↓
PRIVILEGE ESC → DEFENSE EVASION → CRED ACCESS → DISCOVERY
↓ ↓ ↓ ↓
LATERAL MOVEMENT → COLLECTION → C2 → EXFILTRATION → IMPACT
阶段目标
| 阶段 | 目标 |
|---|
| 侦察 | 绘制攻击面 |
| 初始访问 | 获得第一个立足点 |
| 执行 | 在目标上运行代码 |
| 持久化 | 在重启后继续存在 |
| 权限提升 | 获取管理员/root 权限 |
| 防御规避 | 避免被检测 |
| 凭据访问 | 收集凭据 |
| 发现 | 绘制内部网络 |
| 横向移动 | 扩散到其他系统 |
| 收集 | 收集目标数据 |
| C2 | 维持命令通道 |
| 数据窃取 | 提取数据 |
2. 侦察原则
被动与主动
| 类型 | 权衡 |
|---|
| 被动 | 不接触目标，信息有限 |
| 主动 | 直接接触，检测风险更高 |
信息目标
| 类别 | 价值 |
|---|
| 技术栈 | 选择攻击途径 |
| 员工信息 | 社会工程 |
| 网络范围 | 扫描范围 |
| 第三方 | 供应链攻击 |
3. 初始访问途径
选择标准
| 途径 | 使用时机 |
|---|
| 钓鱼 | 目标为人员且可访问电子邮件 |
| 公开漏洞利用程序 | 暴露了存在漏洞的服务 |
| 有效凭据 | 凭据已泄露或破解 |
| 供应链 | 可访问第三方 |
4. 权限提升原则
Windows 目标
| 检查项 | 机会 |
|---|
| 未加引号的服务路径 | 写入该路径 |
| 服务权限薄弱 | 修改服务 |
| 令牌权限 | 滥用 SeDebug 等权限 |
| 存储的凭据 | 收集凭据 |
Linux 目标
| 检查项 | 机会 |
|---|
| SUID 二进制文件 | 以所有者身份执行 |
| Sudo 配置错误 | 执行命令 |
| 内核漏洞 | 利用内核漏洞 |
| Cron 任务 | 可写入脚本 |
5. 防御规避原则
关键技术
| 技术 | 目的 |
|---|
| LOLBins | 使用合法工具 |
| 混淆 | 隐藏恶意代码 |
| 修改时间戳 | 隐藏文件修改 |
| 清除日志 | 移除痕迹 |
行动安全
- 在工作时间内行动
- 模仿合法流量模式
- 使用加密通道
- 融入正常行为
6. 横向移动原则
凭据类型
| 类型 | 用途 |
|---|
| 密码 | 标准身份验证 |
| 哈希 | 哈希传递 |
| 票据 | 票据传递 |
| 证书 | 证书身份验证 |
移动路径
- 管理共享
- 远程服务（RDP、SSH、WinRM）
- 利用内部服务
7. Active Directory 攻击
攻击类别
| 攻击 | 目标 |
|---|
| Kerberoasting | 服务账户密码 |
| AS-REP Roasting | 未启用预身份验证的账户 |
| DCSync | 域凭据 |
| 黄金票据 | 持续访问域 |
8. 报告原则
攻击叙述
记录完整的攻击链：
- 如何获得初始访问权限
- 使用了哪些技术
- 实现了哪些目标
- 检测在哪些环节失效
检测缺口
针对每项成功使用的技术：
- 本应由什么检测到？
- 检测为何未能奏效？
- 如何改进检测？
9. 道德边界
始终做到
- 遵守范围限制
- 尽量减少影响
- 如果发现真实威胁，立即报告
- 记录所有操作
绝不
- 破坏生产数据
- 造成拒绝服务（除非在范围内）
- 超出概念验证范围进行访问
- 留存敏感数据
10. 反模式
| ❌ 不要 | ✅ 应该 |
|---|
| 急于利用漏洞 | 遵循方法论 |
| 造成损害 | 尽量减少影响 |
| 跳过报告 | 记录所有内容 |
| 忽视范围 | 遵守边界 |
请记住： 红队模拟攻击者是为了改进防御，而不是造成伤害。
