定位系统阐述红队/蓝队/紫队的作业体系、护网行动的组织规则与岗位分级、攻防对抗的技术本质以及漏洞产出生态与 exp 武器化方法。说明护网计分与组织细节为社区公开讨论的通行口径具体以每届官方通知为准。目录红蓝攻防概述渗透测试与红队的区分红队作业体系杀伤链六阶段蓝队作业体系SOC 运营职能检测与对抗的技术本质护网行动组织形态与规则护网蓝队岗位分级护网红队岗位分级一条攻击链的攻防对照漏洞产出生态白盒审计与通杀漏洞exp 武器化与检测对抗能力成长路径与岗位对照附录 A术语速查表附录 B常见工具清单附录 CATTCK 战术层速览一、红蓝攻防概述红蓝攻防Red Team / Blue Team Exercise起源于军事演习领域演习中设立专职红军扮演假想敌检验蓝军的防御体系。2000 年前后该方法论被引入信息安全行业成为检验企业防御体系有效性的核心手段。其基本逻辑是以真实攻击者的视角、手法和纪律TTPsTactics, Techniques and Procedures对目标发起授权攻击模拟在真实威胁到达之前暴露防御体系的薄弱环节。与定期漏洞扫描、合规检查等清单式安全验证不同红蓝对抗检验的是检测、响应、流程与人的整体能力。三类角色定义红队Red Team扮演威胁行为者在授权范围内对目标发起无告知或有限告知的攻击模拟产出攻击链叙事与检测盲区分析。蓝队Blue Team负责防御侧的检测、分析与响应典型载体是 SOCSecurity Operations Center安全运营中心。紫队Purple Team并非独立团队而是一种协作模式——红队执行某个攻击技术technique蓝队当场验证检测规则是否命中未命中则即时修订并复测。名称取红 蓝 紫之意。紫队模式主要用于检测能力建设期是 ATTCK 覆盖度评估的落地方法。三种工作模式对比模式核心动作产出适用场景红队全链路隐蔽攻击模拟攻击链叙事 检测盲区报告检验整体防御体系渗透测试按约定范围枚举漏洞漏洞列表 修复建议合规、上线前检查紫队攻防逐条对表technique 级检测覆盖验证检测能力建设期二、渗透测试与红队的区分两者常被混用但目标、方法与评估标准均不同。渗透测试是在明确授权范围内、按方法论清单OWASP、PTES 等系统性发现漏洞评估标准是漏洞的覆盖面与质量红队则以达成既定目标如获取特定系统权限为导向路径不限、全程对抗评估标准是目标是否达成、以及被防御方发现前的存活时间。维度渗透测试红队范围明确授权的目标资产通常只给定最终目标路径不限周期数天至两周数周至数月核心产出漏洞列表含低危攻击链叙事 检测盲区分析对抗性无对抗安全部门可能知情蓝队不知情全程对抗成功标准发现漏洞的数量与质量目标达成率、MTTD防守方平均检测时间/ MTTR平均响应时间方法论OWASP / PTES 清单驱动ATTCK 威胁情报 OPSEC 纪律驱动简言之渗透测试回答有多少入口未加固红队回答完整入侵链能否在不触发防御的情况下走通。三、红队作业体系杀伤链六阶段红队作业遵循完整的杀伤链Kill Chain模型各阶段依次为后续阶段提供条件。以下按 ATTCK 战术框架对齐说明。阶段 1侦察ReconnaissanceTA0043在接触目标系统之前尽可能多地获取目标的技术栈、组织架构与资产暴露面信息。被动侦察不与目标系统产生交互WHOIS 与 SSL 证书历史证书 SAN 字段常泄露内部子域名、代码托管平台信息泄露硬编码凭据、内网地址段、AK/SK、招聘信息技术栈画像、网盘与文档泄露、测绘引擎FOFA / Hunter / ZoomEye / Shodan / Quake资产画像。主动侦察有限接触子域名枚举subfinder / amass、端口扫描与指纹识别nmap / masscan / EHole、目录爆破dirsearch / ffuf。本阶段的核心纪律是OPSECOperations Security作业安全控制一切对外暴露的痕迹。典型措施包括通过住宅代理或云函数出口发起扫描避免攻击机真实 IP 直接暴露于 WAF 与威胁情报系统。阶段 2初始突破Initial AccessTA0001建立第一个立足点。按实战命中率排序的主要入口鱼叉钓鱼T1566针对特定岗位的定制化邮件投递如携带宏文档的简历利用人这一最薄弱环节获取执行权限是实战中命中率最高的入口。边界漏洞利用T1190Web 应用 RCE、未授权访问、逻辑缺陷VPN/SSL-VPN 设备历史漏洞中间件反序列化WebLogic / Shiro / Fastjson / Log4j 等供应链入口。物理与近源入侵部分项目涉及尾随进入办公区、投放 BadUSB、部署内网硬件后门dropout 盒。本阶段的分水岭在于利用的工程化质量将 exploit 转化为稳定、可控的访问通道稳定的 webshell 或内存级 C2 beacon与仅证明漏洞可触发的 PoC 存在本质差距。阶段 3权限提升与持久化Privilege Escalation TA0004 / Persistence TA0003提权Windows 平台的 Potato 家族令牌窃取、服务路径劫持、UAC BypassLinux 平台的 SUID 滥用、内核漏洞DirtyPipe/DirtyCow、容器逃逸。持久化注册表 Run 键、WMI 事件订阅、计划任务、系统服务、SSP域环境的 Golden Ticket持有 krbtgt 哈希后可伪造任意域用户票据Linux 平台的 SSH 公钥植入、LD_PRELOAD、crontab 后门。本阶段的技术决策围绕EDR 检测盲区展开同一持久化动作直接调用schtasks /create会触发高置信度告警而通过 COM 接口调用 Task Scheduler API 则可能绕过基于命令行的检测规则。这是工具与 exp 需要做特征改造的直接原因。阶段 4横向移动Lateral MovementTA0008与凭据获取Credential AccessTA0006域Active Directory环境是横向移动的主要战场路径分析BloodHound 基于图数据库计算从当前账户到高权限目标如 Domain Admin的最短攻击路径。凭据获取mimikatz 读取 LSASS 进程内存获取哈希与明文凭据T1003DCSync 利用账户的目录复制权限导出全域哈希T1003.006。移动方式psexec 类IPC$ 服务创建、WMI、WinRM、RDP、DCOMT1021 系列。AD 高级利用Kerberoasting请求 SPN 服务账户的 TGS 票据后离线爆破T1558.003、NTLM Relay配合 PetitPotam 等强制认证打 AD CS、委派关系滥用。Windows 横向是蓝队布防最密集的区域4624 登录日志、4688 进程创建日志均有成熟关联规则因此选用哪种协议、在目标侧留下哪些日志本身即是红队的 OPSEC 决策点。阶段 5目标达成Exfiltration TA0010 / Impact TA0040完成约定目标数据窃取的可行性验证或关键系统的控制权证明。红队对 Impact 仅做最小化验证证明能力可达如证明可加密而不实际加密不做破坏性操作——这既是合同义务也因破坏必然触发应急响应、导致攻击链中断。阶段 6收尾与报告Reporting Cleanup清除持久化、恢复原状职业操守与合同义务完整保留攻击日志作为证据链产出攻击叙事报告Attack Narrative完整时间线、每步证据命令回显、截图、流量记录、未触发检测的环节分析检测盲区清单、业务影响量化、IOC失陷指标清单。四、蓝队作业体系SOC 运营职能蓝队的组织载体是 SOC按职能分为监控分析、威胁狩猎、事件响应与检测建设四个层次通常对应 SOC 三级人力模型Tier 1 分诊 → Tier 2 调查 → Tier 3 狩猎/建设。1. 安全监控与告警分析Tier 1 / Tier 2全量日志汇聚至 SIEMSecurity Information and Event Management日志聚合关联分析平台如 Splunk、Qradar 及国产态势感知系统由一线分析员对告警逐条定性误报 / 低危可疑 / 确认事件可疑项升级调查。主要告警源EDR终端检测响应基于进程链与行为分析告警——如winword.exe拉起powershell.exe并外连属于典型的钓鱼宏特征链WAF、IDS/IPS、邮件网关、DLP数据防泄露、VPN 异地登录等。误报治理是运营命门一线日均告警量可达数百至数千条其中绝大部分为误报。攻击者对抗监控体系的第一手段即告警疲劳Alert Fatigue——以海量低质量告警稀释分析资源使真实告警被淹没。2. 威胁狩猎Threat HuntingTier 3不依赖告警触发主动基于假设在历史数据中检索潜伏威胁假设驱动狩猎TaHiTI 方法论提出可检验假设如攻击者以 rundll32 加载恶意 DLL在全网日志中定向检索相关行为模式。ATTCK 覆盖度热力图将自有检测能力映射到 ATTCK 矩阵识别无检测点覆盖的技术项作为狩猎与能力建设的优先级依据。检测工程Detection Engineering将检测规则的开发、测试、上线、度量流水线化配套 Atomic Red Team 实现 technique 级自动化验证。3. 事件响应Incident ResponseIR确认入侵后的标准化处置流程NIST SP 800-61 / SANS 六阶段准备 → 检测分析 → 遏制 → 根除 → 恢复 → 复盘遏制EDR 隔离主机、封禁 IP、禁用账户根除清除全部持久化机制——该步骤最易出现遗漏如漏删一个 WMI 事件订阅即导致攻击者重新进入取证DFIR数字取证与事件响应内存取证Volatility、磁盘镜像先保全后分析、日志时间线还原Super Timeline;复盘输出 IOC 报告与改进项清单。4. 检测规则与安全建设YARA面向文件与内存的静态特征匹配用于样本与落地文件识别Sigma面向日志事件的检测规则描述语言跨 SIEM 平台可转换是行为检测规则的事实标准蜜罐与欺骗防御Deception部署伪造的高价值目标虚假 OA、VPN、数据库与假凭据Canary Token。欺骗防御的检测价值在于零误报——假凭据被使用即意味着攻击确认基线加固按 CIS Benchmark 等标准收敛系统与应用的默认配置。五、检测与对抗的技术本质蓝队的检测能力按数据源分层部署红队的每个动作会在不同层留下可检测痕迹。理解这一分层结构是理解攻防对抗的基础。传感器分层层传感器检测对象对应对抗手段网络层WAF / NDR / IDS请求结构异常、畸形 Header、payload 特征、回显内容、TLS 指纹JA3客户端 TLS 握手参数哈希编码变体、分块传输、流量拟态、TLS 栈替换主机层EDR / HIDS进程链、文件落地、注册表与计划任务变更、内存注入行为无文件化攻击、白进程滥用LOLBins、反射加载身份层SIEM 关联规则异地/异常时间登录、爆破行为、横向认证模式凭据复用清洗、低频慢速活动、时间窗选择应用层业务风控越权访问、批量数据拉取、交易逻辑异常拟人化节奏、阈值内活动欺骗层蜜罐 / 假凭据任何触碰即告警零误报欺骗资产识别难度高三条对抗公理检测的本质是偏离基线。蓝队首先定义正常行为基线对偏离项告警。因此对抗的本质是将攻击行为嵌入基线之内——模拟目标生态的真实指纹如 Go 组件的Go-http-client/1.1UA即基于此原理。告警疲劳是可利用的真实弱点。蓝队分析资源有限低质量告警洪流会真实稀释有效检测的响应能力。单层伪装不足以对抗层间关联。单个请求与单个进程可能各自正常但 SIEM 的跨源关联该进程由该请求触发仍可命中。高级对抗要求全链一致性而非单点伪装。六、护网行动组织形态与规则概述护网行动HW是由公安部组织的全国性实战攻防演习将重点行业单位政府、金融、能源、运营商、大型企业纳入演练授权攻击队伍在规定时间与范围内实施真实攻击检验防守方的实战防御能力。对防守单位而言是年度防御能力大考对攻击队是集中练兵与能力认证对从业者而言每年 4-8 月形成短期高强度的用工高峰。起源2016 年《网络安全法》实施后的配套实战化检验机制。主导公安部网络安全保卫局。形态国家级护网集中举行持续 2-4 周与行业级 / 地方级护网如金融行业护网、省级护网全年滚动开展。计分逻辑通行口径攻击方得分制按目标重要性与利用难度分级计分——拿下边界权限、内网横向推进、控制核心系统、获取敏感数据对应不同分值。违规攻击超出授权范围、植入真实勒索软件、破坏数据、造成业务事故取消资格。防守方失分制 加分项标靶系统失陷、敏感数据泄露扣分发现攻击行为、溯源攻击队身份、有效处置加分。溯源到攻击队真实身份是防守方的高价值得分项。重大失陷涉及通报与追责机制。参演形态攻击队经官方考核认证的攻击队每队有编号、企业自建攻击队、安全厂商攻击队防守方参演单位组建防守体系通常设指挥部 监控研判组 应急响应组 溯源反制组 联合处置组运维/网络/业务保障监管方巡场、裁判组裁定得分、护网平台统一提交证据材料。七、护网蓝队岗位分级蓝队岗位按职能层级划分初级监控、中级研判、高级指挥与反制本质是 SOC 分层模型在演习期间的扩展。蓝队人力需求为红队的数倍是从业者参与护网的主要入口。初级岗安全设备值守 / 监控告警研判护网期间防守方集中部署态势感知、WAF、EDR、流量探针、蜜罐等设备日均告警量数千条且误报占比极高。初级岗负责告警的逐条分诊与初步定性是需求量最大、门槛最低的岗位三班倒值守接受外部短期聘用与应届生。日常工作告警分诊定性误报 / 低危可疑 / 需升级可疑 IP 核实查询威胁情报平台判定攻击性质扫描噪音 vs 定向攻击按规范格式攻击 IP、类型、时间、结论记录上报白名单维护登记确认的业务误报降低重复研判成本。能力要求理解 HTTP 请求结构、识别常见攻击 payload 特征、熟练使用威胁情报平台。不要求攻击能力。考核核心告警闭环率与漏报率。漏判真实攻击导致后续失陷的追责至研判岗——该岗位的压力结构是不可漏报。中级岗事件分析 / 应急处置防守体系的腰部力量负责将初级岗升级的可疑项还原为完整的攻击事件结论并主导处置。日常工作攻击链还原将离散告警关联为时间线如凌晨 2:00 对 /login 的爆破 → 3:00 登录成功 → 3:15 文件上传判定为一次完整入侵应急处置执行隔离主机、封禁 IP、下线应用、重置凭据并验证处置生效主机取证排查排查失陷服务器的进程、外连、启动项、webshell、异常账户D 盾/河马查杀 webshellVolatility 内存取证攻击溯源由利用手法反推攻击队所使用的 exp 与入侵路径事件报告时间、主体、路径、影响范围、处置结果。能力要求流量分析Wireshark、主机取证、常见组件漏洞原理能由 payload 判定漏洞类型、应急报告写作。该岗位普遍要求渗透测试经验——理解攻击是研判攻击的前提大量中级岗直接从红队背景人员中选拔。考核核心MTTD平均检测时间——从攻击队建立立足点到被发现的时间差直接决定损失规模。高级岗三类角色1. 溯源反制岗技术天花板最稀缺职责为攻击归因Attribution与反制Counter-offensive识别攻击队的真实身份队伍编号并对攻击基础设施实施反向渗透。溯源成功是防守方的高价值得分项。由攻击流量提取队伍特征exp 指纹、C2 回连地址、工具链习惯比对攻击队画像库完成归因蜜罐反制在高交互蜜罐中预置反制载荷针对攻击者浏览器的利用、伪造带毒的 VPN 客户端、反向钓鱼攻击队成员反向渗透跳板 VPS 等基础设施获取攻击队痕迹作为身份证据。能力要求红队高级能力——C2 反制Cobalt Strike / Metasploit 已知反制面、漏洞武器化能力。这是蓝队中唯一以攻代防的岗位由红队背景人员担任。2. 攻击研判 / 情报分析岗以攻击者视角推演本单位的攻击面如果我是攻击队会如何打结合行业情报攻击队专长、近期流通的组件 exp预判攻击路径指导检测规则布防方向与蜜罐投放策略。3. 现场指挥 / 总协调Incident Commander不承担具体技术动作负责资源调度决策如封禁 IP 与业务可用性的权衡、对监管方与总指挥部的汇报接口、重大事件决策是否停用业务系统、任务分派与整体节奏把控。要求技术与管理双重复盟能力通常由甲方安全负责人或乙方资深总监担任。八、护网红队岗位分级红队岗位按单兵技术杀伤力划分而非职能层级。初级红队边界打点手负责初始突破基于测绘引擎FOFA/Hunter定位资产以 nuclei、sqlmap 及各类集成化利用框架批量验证已知漏洞拿下第一台边界机器。不要求自研漏洞要求公开漏洞利用的熟练度与资产测绘的效率。攻击队中人数最多的一层。动作链资产测绘 → 指纹识别 → 漏洞扫描 → 公开 exp 利用 → 建立 webshell / 边界权限 → 交接内网渗透。能力定位Initial Access 专精T1190 主战场。中级红队内网渗透手在打点手建立的立足点之上独立完成从边界机器到核心目标域控、核心业务服务器的完整内网路径。动作链内网信息收集存活探测、端口、凭据搜集→ 权限提升 → 横向移动psexec/WMI/WinRM/RDP→ AD 攻击Kerberoasting、NTLM Relay、域提权漏洞→ 隧道搭建frp、SSH 隧道、DNS/ICMP 出网通道→ 拿下核心标靶。能力要求Windows/Linux 系统底层机制、AD 渗透体系、内网代理与隧道技术、C2 框架使用Cobalt Strike / Sliver、基础免杀能力。能力定位Post-Exploitation Lateral Movement 专精TA0004 / TA0008 全链。高级红队武器开发 / 漏洞挖掘 / 免杀对抗不直接参与前线攻击为攻击队提供突破他人无法突破的目标的能力储备三个方向漏洞挖掘NDay 失效于新版本时挖掘 1Day/NDay 变体乃至 0Day免杀与对抗对 exp 与 C2 实施过 EDR、过流量检测的改造武器化将漏洞从可复现的 PoC工程化为稳定、隐蔽、可控的可用武器稳定 shell、权限维持、痕迹控制。护网攻击队的能力分水岭在这一层边界打点工具是公开的能否通过防守方检测规则进入内网取决于武器化与对抗能力。配套角色渗透报告员将攻击过程整理为符合得分要求的证据材料——护网得分依赖证据链提交证据不完整等同于未达成攻击队队长目标分配、OPSEC 纪律把控、节奏与收队决策。九、一条攻击链的攻防对照以一次典型护网攻击为例攻防两侧在同一时间线上各自的行为与观测如下步骤红队动作留下的痕迹蓝队检测点常见漏检原因1. 侦察测绘引擎 子域名枚举测绘平台可见不触碰目标则无日志基本无检测手段被动侦察是天然盲区2. 打点边界组件漏洞利用畸形请求 漏洞 payloadWAF 规则 / NDR 特征0day 或规则库滞后3. 落地上传 webshell / 内存马落地文件 hash / 异常类加载D 盾查杀 / EDR 文件检测内存马无落地文件、加密混淆4. 探测whoami、内网存活扫描java → sh → whoami进程链EDR 行为链告警进程链形态接近运维操作5. 横向凭据窃取 psexec 横向4624/4688 日志、LSASS 访问SIEM 关联规则非常规源认证域管凭据复用、告警被淹没6. 维持计划任务 / Golden Ticket新增计划任务、异常 TGT 请求蜜罐假凭据 / 行为基线基线未建、欺骗防御未部署7. 外传数据打包外带异常外连流量、DNS 隧道DLP / 流量基线突变分片小流量、伪装业务协议8. 收尾清理痕迹、撤离后门日志缺失本身构成异常日志清空告警高置信度—该表是护网攻防的结构化缩影红队的全部技术投入在于压缩左侧痕迹列的可检测性蓝队的全部技术投入在于将痕迹列的每一项转化为右侧告警列的有效规则。双方的对抗发生在每一行的交叉点上。十、漏洞产出生态白盒审计与通杀漏洞以 CNVD国家信息安全漏洞共享平台生态为观察样本通杀型漏洞单一 exploit 覆盖多版本、多部署环境的产出以源码级审计为主。通杀漏洞的四个主要产地国产 Java 商业软件反编译审计占比最大用友、泛微、致远、金和、蓝凌、万户、JeecgBoot、RuoYi 等 OA/ERP/CRM 产品在政企市场部署量巨大单个漏洞影响面可达数百上千站点。作业方式获取安装包官网试用版等→ 解包 war/jar → JADX / jd-gui 反编译 → 审计 SQL 拼接、文件上传、反序列化入口、Filter/Servlet 层鉴权缺失。严格分类属于半白盒/灰盒效果等同源码审计。PHP 开源 CMS 源码审计DedeCMS、PbootCMS、ThinkPHP 系等源码公开官网 / Gitee纯白盒。产出量大、单漏洞含金量偏低构成 CNVD 数量的基本盘。组件级漏洞连坐Shiro 默认 AES Key、Fastjson autoType、Log4j JNDI 等框架层漏洞——框架层一个漏洞即波及全部引用该组件的产品。属于研究型产出fuzzing 与源码研究结合数量少但影响面为核弹级。设备固件逆向二进制层白盒路由器、摄像头、工控网关——binwalk 解包固件必要时先解密→ 反汇编审计。本质同为基于代码找漏洞区别在于代码形态为汇编/伪 C。白盒与通杀的必然关联黑盒测试对目标内部结构无视野产出具有随机性通杀要求各版本、各部署环境均可利用必须掌握漏洞的代码级成因否则无法界定影响范围逻辑类漏洞黑盒几乎不可发现鉴权绕过、Filter 层校验遗漏等白盒审计可直接定位接口未进入鉴权链而 CNVD 通杀漏洞中逻辑类占比最高版本覆盖依赖代码 diffv5.2 可利用而 v5.3 不可利用的边界需读代码确认改动点利用稳定性要求通杀 exp 需适配多种部署环境脱离对代码路径的理解无法写出稳健利用。黑盒手段在 CNVD 生态中的定位是暴露面发现测绘定位目标资产与已知漏洞的扩展验证而非漏洞产出本身。对个人能力建设的意义白盒审计是漏洞利用 / exp 改造能力的上游环节掌握审计后漏洞发现 → 危害建模 → 利用改造 → 验证 → 报告即形成完整闭环。学习路径上目标系统的历史 CNVD/CVE 条目即免费的审计教材——每个历史漏洞都对应一类可复用的代码模式SQL 拼接点、上传点、反序列化入口、鉴权遗漏四大模式。十一、exp 武器化与检测对抗exp 武器化将公开 PoC 改造为红队导向的可用工具的核心目标不是能够利用而是**利用全程对检测体系的可观测性最小化**。这要求改造者理解蓝队各检测层的工作逻辑。1. PoC 的多层暴露面与对抗方向原始 PoC 在蓝队视角下暴露多层特征每层均为对抗点网络层特征非常规 UA、畸形 Header、特征性 URL 编码、payload 中的类名与命令串。对抗请求结构拟态正常流量、分块传输、编码变体、payload 拆分至多次请求。回显特征命令执行结果原样回传响应体结构与命令输出特征匹配。对抗回显加密/编码、压缩交互轮次。落地层特征落地文件webshell、jar具备 hash 与静态特征可被杀软与 YARA 规则命中。对抗无文件化内存马、JNDI 远程类加载、loader 分离、混淆、反射调用替代关键 API 字符串。进程链特征java → cmd → whoami属于 EDR 教科书式告警链。对抗调整进程链路径、复用目标环境正常运维命令实施探测。改造质量直接决定红队在目标环境中的存活时间。2. 评估标准紫队问题衡量 exp 改造水平的标准不是能否利用成功而是**利用过程中检测体系是否告警、延迟多久、在哪一层告警**。ATTCK 映射是该评估的实用工具以 Fastjson JNDI 利用为例完整链路对应 T1190Initial Access T1059Execution T1105Ingress Tool Transfer T1055Process Injection如涉及——每条 technique 均对应对策与潜在检测点逐一清点即可量化工具的暴露面。3. 武器化的作业纪律无损验证改造版 exp 必须提供仅验证、无破坏模式回显id而非破坏性命令、以 DNS 外带替代直接写入。破坏性操作必然触发应急响应导致攻击链中断——这同时是合同义务与 OPSEC 要求最小交互单次请求可达成的验证不使用多次每次交互都是一份日志出口控制公网作业不直连目标经代理链 / 云函数 / 住宅出口转发带外监听必须使用己方可控基础设施自建 VPS / 云函数 / 自建 DNSlog禁用公共 DNSlog 与第三方 webhook 平台——第三方平台意味着目标出网行为可被平台方观测、日志可被他人查询构成 OPSEC 泄露与合规风险证据链留存改造版 exp 须产出可复现证据时间戳、请求响应包报告的每项结论均需回显支撑。武器化工具规范的完整清单正规团队版工程层证据自动落盘JSON 时间线· 退出码纪律 · 失败静默不抛栈 · 接口兼容原参数保留、只增不改· 请求预算与抖动 · 超时/重试上限 · 并发约束 · 依赖限于标准库供应链安全对抗层出口代理 · UA/指纹拟态 · 特征清理 · 回显去特征作业层ROE书面交战规则· 意外发现处置记录不碰、提交决策· 真实数据最小化保存 · 写操作前置快照 可恢复 幂等 · cleanup 步骤 · 证据保管策略十二、能力成长路径与岗位对照岗位对照层级蓝队核心产出红队核心产出初级监控研判 / 设备值守告警定性、不漏报边界打点手建立立足点中级应急处置 / 事件分析攻击链还原、处置闭环内网渗透手边界至核心区全路径高级溯源反制 / 情报 / 指挥攻击队归因、反制得分、总调度武器 / 免杀 / 挖洞对抗能力与漏洞产出晋升路径的攻防交叉性蓝队初级向中级晋升通常需补足渗透测试能力缺乏攻击视角的研判难以触及攻击链本质红队高级向蓝队溯源反制岗流动本质是以攻击技术产出防守侧得分行业真实的成长模型是攻防能力螺旋上升而非两条平行线。通用能力阶梯阶段一入门 OWASP Top10 · 逻辑漏洞 · 抓包测试 · 测绘引擎使用 阶段二成型 多端挖洞Web/小程序/App· 源码审计四大模式 · exp 利用与工程化 阶段三纵深 内网渗透全链 · AD 攻击 · 隧道与 C2 · 免杀对抗 · 白盒挖洞 阶段四高端 漏洞挖掘1day/0day· 武器化 · 检测对抗设计 · 溯源反制 · 攻防指挥求职视角的要点校招评估逻辑核心是一至两个方向扎实 潜力可见而非技能面覆盖。护网经验的评估单位是是否参与初级值守亦计入漏洞产出能力的评估单位是有效提交记录CNVD/SRC 编号构成第三方可验证的信用凭证涉密产出的表达红线可表述工作类型、方法论与产出数量不可表述组件名与漏洞细节的组合。判断标准脱敏后他人可知你会什么但不可知你打过谁双线产出结构涉密的实习产出证明工作深度面试叙事公开的 SRC/CNVD 编号证明产出连续性简历硬指标两者互补、不可相互替代护网季4-8 月是获取实战经历标签的最低成本入口以初级岗参演一次即补齐实战经历维度。附录 A术语速查表术语含义ATTCKMITRE 维护的对手战术与技术知识库攻防双方通用坐标系TTPsTactics, Techniques and Procedures——威胁行为者的行为指纹IOCIndicators of Compromise——失陷指标IP/域名/hash/互斥体等OPSECOperations Security——作业安全纪律控制己方暴露的一切痕迹MTTD / MTTR平均检测时间 / 平均响应时间——防守方核心 KPISOCSecurity Operations Center——安全运营中心SIEM日志聚合与关联分析平台NDRNetwork Detection and Response——网络侧检测响应EDREndpoint Detection and Response——终端检测响应DLPData Loss Prevention——数据防泄露DFIR数字取证与事件响应C2 / CCCommand and Control——攻击者控制端基础设施BeaconC2 受控端的心跳回连进程LOLBinsLiving Off the Land Binaries——被滥用的系统自带合法二进制webshell / 内存马落地型 / 无文件型后门控制手段杀伤链Kill Chain——从侦察到目标达成的攻击阶段模型告警疲劳Alert Fatigue——误报洪流稀释有效告警响应的运营弱点蜜罐 / 欺骗防御伪造高价值目标诱捕攻击者触碰即告警零误报ROERules of Engagement——书面交战规则授权范围/禁止事项/上报机制通杀同一 exploit 覆盖多版本多部署环境的能力白盒 / 黑盒 / 灰盒有无源码级视野的三种测试视角归因Attribution——将攻击行为归属到特定组织/队伍黄金票据Golden Ticket——持有 krbtgt 哈希后伪造任意域用户 TGT附录 B常见工具清单红队侧测绘/资产FOFA、Hunter、ZoomEye、Shodan、Quake、subfinder、amass、oneforall、EHole打点nuclei、sqlmap、ffuf、dirsearch、xray内网BloodHound、mimikatz、frp、Impacket 套件、Cobalt Strike、Sliver、Metasploit武器化PyInstaller / Golang 交叉编译、shellcode 加载框架、代码签名工具蓝队侧平台Splunk、Qradar、奇安信态势感知、深信服 XDR、Wazuh主机排查D 盾、河马webshell 查杀、Volatility内存取证、FTK Imager规则/验证Sigma、YARA、Atomic Red Team、Velociraptor流量Wireshark、Zeek、Suricata附录 CATTCK 战术层速览编号战术目标典型技术TA0043侦察 Reconnaissance收集目标信息T1595 主动扫描、T1597 查公开技术库TA0042资源开发 Resource Development建设基础设施/武器T1583 获取基础设施、T1588 获取能力TA0001初始访问 Initial Access建立立足点T1566 钓鱼、T1190 利用面应用TA0002执行 Execution运行恶意代码T1059 命令与脚本解释器、T1204 用户执行TA0003持久化 Persistence维持访问T1053 计划任务、T1547 自启动TA0004提权 Privilege Escalation获取更高权限T1068 漏洞提权、T1055 进程注入TA0005防御绕过 Defense Evasion规避检测T1070 痕迹清除、T1027 混淆TA0006凭据访问 Credential Access窃取凭据T1003 OS 凭据转储、T1110 爆破TA0007发现 Discovery摸清内部环境T1082 系统信息、T1087 账户发现TA0008横向移动 Lateral Movement扩展控制范围T1021 远程服务、T1550 替代凭据TA0009收集 Collection汇聚目标数据T1114 邮件收集、T1005 本地数据TA0011命令控制 Command and Control维持控制通道T1071 应用层协议、T1090 代理TA0010数据外传 Exfiltration获取数据T1048 替代协议外传、T1567 网络服务外传TA0040影响 Impact产生破坏效果T1486 数据加密勒索、T1498 网络拒绝服务结语红队与蓝队并非对立关系而是同一防御体系的两只手——红队提供真实攻击的形态作为输入蓝队将其转化为检测规则与响应能力紫队是两者协作的工作模式护网行动则是这套体系的年度实战检验。攻防对抗的全部技术最终收敛于第九节对照表的每一个交叉点压缩痕迹的可检测性与将痕迹转化为告警的能力这两条曲线的相对高度决定胜负。
