今天我给大家体系化地讲一下，当下最主流前沿的安全攻防技术，这里简单称之为红队（RedTeam），也是一种更高层次更高级别的渗透测试。

关于红队及渗透测试，需要掌握的知识点有哪些呢？这里简单罗列下：

• 红队出现的背景有哪些？

• 红队的标准定义是什么样的？

• 红队跟渗透测试的关联和差别？

• 红队和蓝队之间的差别是什么?

• 有哪些模型框架可帮助我们建立红队知识体系？

 何为「红队」？

这几年，我们经常提到一个词，「以攻促防」 。

简单来说，就是你买的设备、你招的人、你定的规范，到底好不好？到底有没有用？一句话：是骡子是马？拉出来遛遛！这句话放在当前网络空间安全领域，仍然是非常适用的。

那么，到底怎么遛？这便有了今天要讨论的主角 - 红队。

这里关于红队的定义，未必百分百准确的，结合之前的一些红队项目经验，我认为：

红队（Red Team）即安全团队最大化模拟真实世界里面的入侵事件，采用入侵者的战术、技术、流程，以此来检验蓝队（Blue Team）的威胁检测和应急响应的机制和效率，最终帮助企业真正提高整个安全建设、安全运营、安全管理等能力。

红队与渗透测试的区别？

红队跟传统的渗透测试，其实有很多东西是差不多的，大家都是采取攻击技术来发现安全问题的。

当然，红队考虑的范围更广，它不仅仅针对技术，例如给业务系统挖掘漏洞等。

红队也关注人、组织、管理、规范等，测试范围变得更为广泛，站在企业组织架构来全盘考虑。

另外，还有一个区别是什么呢？那就是真实程度。

一般的渗透测试，做过安全项目都知道，其实很多都是点到为止的。

你找到漏洞了，接下来就不要动了，赶紧写进报告吧。

你挖到数据，接下来也不要动了，赶紧写进报告吧。

而红队整体来看，在合法合规的前提下，在充分沟通的前提下，其授权范围会更广，真实程度更贴合实战。

🔥🔥🔥

《网络安全 | 红队渗透测试》

9月15日 公开直播课

 ☑ 网络安全进阶    ☑  渗透测试入行 

特别占座价 0 元！

完整内容，移步直播课学习

网络安全实战大牛陈鑫杰在线等你

为了让大家更好理解红队，了解红队跟渗透测试的具体差异，我这里从四个方面简单做了一个对比，来跟大家讨论这个话题。

 ① 测试范围 

第一个差异就是测试范围，上面也提到了，渗透测试的话，一般针对系统、内网、无线点等进行测试 ，简单来讲，就是 IT 基础设施。

而红队的话，除了 IT 基础设施（即技术层面的），人、组织、流程等等会不会遭受社工攻击？

又或者，蓝队的应急响应工作，执行上面出现问题了？

这些都是红队要关注，并且最终写入报告的。

 ② 攻击程度 

上面也提到，渗透测试一般点到为止，而红队更加真实猛烈，贴合入侵行为。

 ③ 工作时间 

渗透测试的工作周期，短则几天，长则几周，除非很大的项目，一般较少超过一个月。

例如客户授权里面提供一段域名、一个IP网段、若干业务系统登录口等等。

这种情况下，工作时间都是提前约定固定好，要么正常上下班时间，要么非工作业务时间。

而红队的话，因为最大化模拟真实入侵行动，工作时间比较随机，甚至是 7×24 小时随时随地Hack你。

工作周期更长，可能是数周甚至数月（真实 APT 攻击则长达数年）

 ④ 行动目标 

渗透测试是针对目标对象挖掘风险点，然后输出渗透测试报告，例如各类漏洞列表等，之后丢给研发或蓝队等。

而红队除了找到这些漏洞之外， 还得辅助蓝队，指出其技术和管理存在的问题，最终目标是帮助企业构建整体安全解决方案，提高安全建设和管理能力。

基于以上差异，总结下来是这样的：

红队不仅关注技术问题，例如应用系统、数据库、组件、代码、网络等等，也需关注管理问题，比如组织、流程、规范等。另外红队的测试范围更广、攻击程度更猛、测试时间更长、目标也定得更大。

🔥🔥🔥

《网络安全 | 红队渗透测试》

9月15日 公开直播课

▼

特别占座价 0 元！

总之，对于一个初学者来说，你可以简单这么理解，红队就是一种更高层次更高级别的渗透测试。

 如何快速建立红队知识体系？

很多同学经常问到，如何快速地建立一个红队的知识体系？又或者是，一个白帽子黑客的知识体系应该怎么样？

大家也都知道，类似上面这些问题，近年来网上比较多都是「Web安全路线如何学习」等知识体系，包括我自己之前也写了很多这类路线文章。但说实话，如果只学某个领域的知识，仍然是没法建立起更完善的知识体系。

为什么呢？以当前的红蓝对抗程度来看，即便你 Web 渗透再牛，拿到了某个站点服务器的权限，这也仅仅是一个入口，之后是否能够刺穿外网或DMZ区，到达内网目标系统核心，中间还有九九八十一难呢。

因此，如果想更体系化地学好红队知识，我的建议是这样的：

学习前期，还是需要有一些计算机功底，比方说编程语言、操作系统、网站开发等等。别小看这么基础的技能，这些很大程度会决定你未来在安全领域发展的天花板。

在学完这些基础之后，你要马上去做的一个事情是什么呢？按照我下面给大家讲解的，先去了解一些安全模型和框架（红蓝队都有很多）

这些就好比作战时的地图，咱上战场之前，得提前了解路径、战术、执行规范等。

同理，深入学习安全之前，通过这些模型和框架，你可以提前知晓作战路径，在不同阶段给自己定不同的小目标，这样的话，自己离目标便是可测量可评估可调整的。否则，随着学习周期的延长、学习难度的增加，大部分人学着学着就放弃了，或者局限在某个细分领域就自足了。

只有深入理解「作战地图」，我们才能在脑海里构建出一个技能树，然后通过持续学习，将每个技能点亮。

 红队3大常用模型框架

今天推荐的这 3 个模型，包括 PTES、CKC、ATT&CK ，主要偏红队方向。

这 3 个模型框架的话，

第 1 个就是渗透测试领域最经典的「PTES」；

第 2 个是「Cbyer Kill Chain」，直译过来是网络杀伤链，也俗称”七步杀“；

第 3 个是现在最前沿、也是本系列课程最主要给大家讲透的，叫做「ATT&CK框架」

接下来，我们按照顺序来简单介绍下，这些模型框架到底是什么。

🔥🔥🔥

《网络安全 | 红队渗透测试》

9月15日 公开直播课

▼

特别占座价 0 元！

 ① 渗透测试执行标准 PTES 

这是根据不同攻击阶段 ，我给大家画了一个路线图，PTES 中文全名是「渗透测试执行标准 」，它是2010年由业界网络安全专家共同发起并定义的规范，目标是希望为企业和安全服务商，制定整个渗透测试的标准流程，方便大家工作和沟通。

PTES 包括 7 个标准步骤，即前期交互、情报收集、威胁建模、漏洞分析、渗透利用、报告输出等，一般的渗透测试工作，基本都绕不开这些步骤，可以看成一个标准的工作流。

 ② 网络杀伤链 Cyber Kill Chain 

在了解 PTES 渗透流程之后，接下来再来了解一下什么是网络杀伤链？网络杀伤链的英文全名是 Cyber Kill Chain，这是 2011 年洛克希德马丁公司提出的网络攻击模型。

跟真实世界的入侵者，对一个目标系统进行攻击的每个阶段都是一一映射的。

这里也分为 7 个步骤 =>

第 1 步，目标侦察，跟前面 PTES 情报收集阶段是差不多的；

第 2 步，武器研制，编写各种工具/后门/病毒 Exp / Weapon / Malware；

第 3 步，载荷投递，通过水坑鱼叉等攻击方式将武器散播出去（投毒）；

第 4 步，渗透利用，通过漏洞利用获取对方控制器；

第 5 步，安装执行，在目标系统将后门木马跑起来；

第 6 步，命令控制，对目标来进行持久化控制；

第 7 步，任务执行，即开始执行窃取数据、破坏系统等。

以上便是网络杀伤链，相比 PTES 更加贴合实战阶段。

 ③ MITRE ATT&CK 框架 

接下来，我们来了解一下近年来一直比较火，在未来可能会成为红蓝对抗领域主流甚至 Top1 的模型框架。这就是「ATT&CK 框架」，由 MITRE 公司于 2013 年提出来的一个通用知识框架，中文名叫做「对抗战术、技术、常识 」 。

ATT&CK 框架是基于真实网络空间攻防案例及数据，采用军事战争中的 TTPs （Tactics, Techniques & Procedures）方法论，重新编排的网络安全知识体系，目的是建立一套网络安全的通用语言。比如，大家经常听到的什么 APT 攻击、威胁情报、态势感知等等，无论个人还是企业，理解上不尽相同，总会有一些偏差的。

有了 ATT&CK 框架，大家不会存在太大的偏差，红队具体怎么去攻击的，蓝队具体到怎么去防御的，使用 ATT&CK 矩阵可以将每个细节标记出来，攻击路线和防御过程都可以图形展现出来，攻防双方就有了一套通用语言了。

网络安全行业的组织、机构、厂家，每年都会造各种 ”新词“，但 MITRE 这个组织推的这套框架，兼具实战和学术价值，具备广泛的应用场景，对安全行业的发展推动是实实在在的。

在未来 5 年也好 10 年也好 ，它可能会成为一个事实上的标准。

因此，如果要深入学习红队，平常可以多逛逛去 ATT&CK 框架官网。

关于以上三个模型框架，如果你作为一个初学者的话呢，那么我建议你，从上到下这样来学习。

当然，红队渗透测试远非上述文字可以简单概括描述完整的，更多内容，我会在安全直播课上跟大家详细沟通👇👇👇

🔥🔥🔥

《网络安全 | 红队渗透测试》

9月15日 公开直播课

▼

特别占座价 0 元！

▲

报名成功加助教老师微信、进直播群

点击阅读原文，立即开始升级之旅！

本文始发于微信公众号（渗透攻击红队）：如何快速上手红队渗透测试？