Executes red team exercises simulating stealthy adversary attacks across full lifecycle from reconnaissance to exfiltration, testing detection and response. For red teaming, adversary emulation requests.
npx claudepluginhub killvxk/cybersecurity-skills-zhThis skill uses the workspace's default tool permissions.
- 评估组织对真实对手行动的检测、响应和遏制能力
Executes red team exercises simulating adversary operations against people, processes, and technology with stealth focus, testing detection and response via full attack lifecycle. Activates for red team, adversary emulation requests.
Executes red team exercises simulating stealthy adversary operations across full attack lifecycle to test organizational detection and response capabilities.
Plans and executes full-scope red team engagements covering reconnaissance to exfiltration using MITRE ATT&CK TTPs to assess organizational detection and response capabilities.
Share bugs, ideas, or general feedback.
不适用于：未获得高管级授权和详细交战规则（Rules of Engagement）文件的情况、可能影响安全或关键运营的系统，或代替基础漏洞管理（应先修复已知漏洞）。
基于现实威胁模型制定行动计划：
构建 OPSEC 加固的攻击基础设施：
在目标环境中获取初始立足点：
在保持隐蔽性的同时在目标环境中行动：
将红队发现转化为防御改进：
| 术语 | 定义 |
|---|---|
| 对手仿真（Adversary Emulation） | 模拟已知威胁行为者的特定 TTP，测试组织针对相关现实威胁的防御能力 |
| C2（命令与控制） | 红队用于远程控制部署在被控系统上植入物的基础设施和通信信道 |
| OPSEC（操作安全） | 红队在演练期间采用的避免被防御团队检测到的实践 |
| 域名前置（Domain Fronting） | 将 C2 流量隐藏在合法 CDN 域名后面，规避基于网络的检测和域名封锁的技术 |
| 紫队演练（Purple Teaming） | 红蓝团队协作改进检测能力的演练，双方共同分享攻击技术和防御差距 |
| 白方（White Cell） | 管理演练、处理去冲突并在红蓝团队之间调解的可信代理人或演练控制组 |
| 植入物（Implant） | 红队部署在被控系统上以保持访问、执行命令和促进横向移动的软件 |
| MTTD/MTTR | 平均检测时间/平均响应时间；衡量防御团队识别和遏制威胁所需时间的指标 |
场景背景：一家全国性零售连锁店希望测试其针对 FIN7 的防御能力，FIN7 是一个以零售和酒店业为目标的具有经济动机的威胁组织，擅长使用销售点（POS）恶意软件、钓鱼和数据外泄。
方法：
常见陷阱：
## 红队演练报告 - FIN7 对手仿真
### 演练摘要
**持续时间**: 2025 年 11 月 4-22 日（15 个工作日）
**目标**: 访问持卡人数据环境并演示数据外泄能力
**结果**: 目标达成 - 红队访问了 POS 管理系统并暂存持卡人数据准备外泄
### ATT&CK 技术覆盖
| 技术 | ID | 状态 | 已检测? | MTTD |
|-----------|----|--------|-----------|------|
| 鱼叉式钓鱼附件 | T1566.001 | 已执行 | 否 | - |
| Visual Basic 宏 | T1059.005 | 已执行 | 否 | - |
| 进程注入 | T1055 | 已执行 | 否 | - |
| Kerberoasting | T1558.003 | 已执行 | 否 | - |
| 远程桌面协议 | T1021.001 | 已执行 | 是 | 47 小时 |
| 数据暂存 | T1074 | 已执行 | 否 | - |
| 通过 C2 外泄 | T1041 | 已执行 | 否 | - |
### 检测摘要
- **已执行技术**: 14
- **已检测技术**: 3 (21.4%)
- **平均检测时间**: 47 小时（针对已检测技术）
- **平均响应时间**: 4 小时（从检测到遏制）
### 优先建议
1. 部署邮件引爆沙箱，用于宏启用文档分析
2. 通过 Windows Event ID 4769 监控实施 Kerberoasting 检测
3. 增强 PowerShell 日志记录（脚本块日志记录、模块日志记录）
4. 部署内存扫描 EDR 能力，检测进程注入