Red Team Exercise：受控演练涵盖哪些内容

Red Team Exercise 帮助组织提出一个比“是否存在某个技术弱点”更宽泛的问题：当一支经授权的团队追求一个明确定义的对手目标时，预防性控制、检测、沟通和响应会如何表现？这是一项面向高管发起人、安全负责人、检测团队和事件响应相关方的学习型服务，在书面授权和约定边界内开展。演练受经签署的高管授权和书面测试规则（Rules of Engagement）约束，其中明确经批准的目标、演练目的、允许的方法、禁止的行为、禁测时段、联系人、沟通路径、证据规则和即时停止条件。其价值在于通过一条受控、以目标为导向的路径所获得的组织层面的经验。

服务简介

Red Team Exercise 是在严格治理框架内开展的、以目标为导向的对手模拟。它可以包括经授权的侦察、约定的初始访问目标、有边界的横向移动，以及对检测和响应的观察，但前提是这些活动已获书面许可。成功并不仅仅定义为获得访问权限。即使未能达成某个目标，一次有价值的演练也能揭示沟通、升级、身份控制、可见性、决策或响应协调中哪些方面需要关注。证据仅用于证明，并通过约定的流程处理。社会工程默认不包括在内，如需开展，需获得明确、合法且单独界定范围的批准。拒绝服务活动、破坏性操作、OT/ICS、安全攸关环境、未经同意的供应商系统，以及超出约定证明材料的数据外传，默认均不在范围内。

适用对象

本项服务适合以下团队：

获得高管支持，开展有治理的演练，以检验选定的防御、检测、沟通和响应假设
需要安全、检测、工程和响应相关方基于同一份经授权的证据和复盘会议共同学习
能够批准明确的目标、演练目的、允许的方法、禁止的行为、联系人、禁测时段和停止条件
希望在受控、经授权的演练中评估以目标为导向的攻击路径

帮助厘清的问题

本项服务有助于厘清：

约定的预防性控制、身份边界、检测信号、沟通路径和响应决策是否能够支撑既定目标
一条经授权的路径在规则范围内如何推进，以及团队在哪些地方发现了交接、可见性、升级或决策方面的缺口
哪些发现有仅用于证明的材料支持，哪些因目标、方法、供应商或环境被排除而仍在范围之外
哪些修复优先事项或后续评估是合适的

包含内容

经签署的高管授权、书面测试规则、经批准的目标、演练目的、允许的方法、禁止的行为、联系人、沟通规则和即时停止条件
禁测时段、暂停安排，以及在需要时向服务商发出的通知
仅在规则范围内开展经授权的侦察、约定的初始访问目标和有边界的横向移动
检测与响应观察结果、仅用于证明的证据、安全处理、报告、复现材料和联合复盘
面向管理层和技术人员的发现结果，附带局限说明和按优先级排列的修复指导

不包含内容

未经授权或不受限制的活动、拒绝服务、破坏性操作或造成运营中断的手段
默认情况下的社会工程、运营技术、工业控制系统、安全攸关环境、未经同意的供应商和第三方系统
超出约定证明材料的数据外传、认证、合规证明、持续监测、SOC、MDR 或实时事件响应
对发现所有弱点、成功入侵、检测成功、获得安全批准或等同于真实攻击者的任何承诺

适用时机

当管理层有明确的目标，并希望了解选定的组织控制在有治理的压力下如何协同运作时，可选择 Red Team Exercise。在基本安全实践、责任归属和响应联系人都已建立，且相关方能够投入书面测试规则流程时，它非常契合。它适用于对约定目标进行经许可、不造成干扰的测试；社会工程仅在单独批准后才纳入。若要针对某个具体技术弱点进行聚焦评审，标准渗透测试可能更为合适。正在发生的事件需要另行安排的响应机制。只有当发起人、技术负责人和相关服务商能够支持约定的控制措施时，才应安排演练。

我们的方法

我们围绕组织目标以及使工作保持相称的保障措施来设计演练。规划阶段会确认经签署的授权、目标边界、演练目的、允许的方法、禁止的行为、证据处理、禁测时段、指定联系人、沟通方式和即时停止条件。随后，经授权的团队仅沿约定的路径推进，记录仅用于证明的证据，并在触及停止条件或进入禁测时段时立即暂停。检测与响应观察结果作为组织层面的经验加以记录，并与演练实际触及的控制措施相对应。演练结束后，管理层和技术相关方会获得清晰的过程叙述、技术发现、复现材料、局限说明以及按优先级排列的后续问题。联合复盘会将这些发现与由客户负责的修复规划联系起来，同时将持续监测、实时响应和更广泛的保障工作留在本服务之外。这样既保持了界定明确的演练应有的纪律，又为管理层的下一步决策提供有用的证据。

查看 Red Team Exercise 服务页面