APT simulation and intelligence-driven red team
Objective: not random attacks, but simulating the complete attack chain of a real threat actor to test the organization's defense capabilities
⛔ In-depth reference
Phase 1: Threat intelligence collection — select simulation targets
1.1 Identify relevant threat groups
根据目标行业选择 APT：
├─ 金融 → APT38 (Lazarus), FIN7, Carbanak
├─ 政府/国防 → APT29 (Cozy Bear), APT28 (Fancy Bear), Turla
├─ 能源/工控 → Sandworm, Dragonfly, Triton
├─ 科技/通信 → APT41 (Double Dragon), Salt Typhoon
├─ 医疗 → APT10 (Stone Panda), FIN12
└─ 跨行业 → Lazarus, APT41, FIN7
1.2 Intelligence sources
TTP 情报获取：
├─ MITRE ATT&CK Groups → attack.mitre.org/groups/
├─ 厂商报告 → Mandiant/CrowdStrike/Kaspersky APT 报告
├─ CISA Advisory → 美国网络安全局公告
├─ Threat Intelligence 平台 → MISP/OpenCTI/AlienVault OTX
└─ 学术研究 → APT Deception Papers
Phase 2: TTP mapping and attack planning
2.1 Attack chain design template
模拟 APT29 (Cozy Bear) 示例：
Initial Access:
├─ T1566.001 - Spearphishing with ISO attachment
└─ T1566.002 - Link to watering hole site
Execution:
├─ T1059.001 - PowerShell
└─ T1204.002 - User opens malicious file
Persistence:
├─ T1547.001 - Registry Run Keys
└─ T1053.005 - Scheduled Task
Privilege Escalation:
└─ T1548.002 - UAC Bypass
Defense Evasion:
├─ T1027.005 - Indicator Removal (obfuscation)
├─ T1055.012 - Process Hollowing
└─ T1497.001 - Sandbox evasion
Credential Access:
├─ T1003.001 - LSASS Memory
└─ T1558.003 - Kerberoasting
Discovery:
├─ T1087 - Account Discovery
└─ T1018 - Remote System Discovery
Lateral Movement:
├─ T1021.006 - WinRM
└─ T1550.002 - Pass the Hash
Collection:
└─ T1560.001 - Archive via Utility (7z)
Exfiltration:
└─ T1041 - Exfil over C2 Channel (HTTPS)
2.2 Rules of Engagement
⛔ 模拟前必须确认：
├─ 书面授权（高管签字）
├─ 范围定义（in-scope / out-of-scope 系统）
├─ 紧急联系人（发现真实入侵时）
├─ 停止条件（影响业务时）
├─ 时间窗口
└─ 数据处理规则（不外传真实敏感数据）
Phase 3: Attack execution
3.1 Infrastructure setup
匹配目标 APT 的基础设施特征：
├─ APT29 → HTTPS C2, 合法域名伪装, 云服务作为 redirector
├─ APT28 → 多层代理, VPN 节点, 一次性基础设施
├─ Lazarus → 被入侵的合法网站作跳板, 自定义 C2 协议
└─ FIN7 → 大规模钓鱼基础设施, Carbanak/Cobalt Strike
3.2 Tool selection mapping
| APT group |
Actual tool |
Red team simulation alternative |
| APT29 |
SUNBURST, EnvyScout |
Cobalt Strike + custom loader |
| APT28 |
X-Agent, X-Tunnel |
Sliver + custom tunnel |
| Lazarus |
BLINDINGCAN, DRATzarus |
Havoc + custom backdoor |
| FIN7 |
GRIFFON, BIRDDOG |
Cobalt Strike + BAT2EXE |
| APT41 |
ShadowPad, Winnti |
PlugX loader imitation |
3.3 Execution tempo
模拟真实 APT 的时间模式：
├─ Day 1-3: 侦察 + 钓鱼投递
├─ Day 4-7: 初始立足点 + 持久化
├─ Day 7-14: 内网枚举 + 权限提升
├─ Day 14-21: 横向移动 + 目标定位
├─ Day 21-28: 数据收集 + 外传
└─ ⛔ 不要一天完成所有阶段 → 不符合真实 APT 节奏
Sleep 模式：
├─ 工作时间操作（匹配 APT 时区）
├─ 非工作时间 Beacon 保持 sleep
├─ 模拟节假日暂停（APT 也有假期）
└─ 被检测到部分基础设施 → 评估是否暂停
Phase 4: Detection gap analysis
4.1 Record the detection status of each step
| 攻击步骤 | MITRE ID | 执行成功 | 被检测 | 被阻止 | 备注 |
|----------|----------|---------|--------|--------|------|
| 钓鱼投递 | T1566.001 | ✓ | ✗ | ✗ | 邮件网关未检出 |
| PS 执行 | T1059.001 | ✓ | ✓ | ✗ | EDR 告警但未阻止 |
| 持久化 | T1053.005 | ✓ | ✗ | ✗ | 无 Sysmon 规则 |
| LSASS dump | T1003.001 | ✗ | ✓ | ✓ | Credential Guard |
| 横向 PTH | T1550.002 | ✓ | ✓ | ✗ | 检测延迟 4h |
4.2 Output report structure
报告框架：
├─ 执行摘要（给管理层）
├─ 威胁情报基础（模拟的 APT 背景）
├─ 攻击链时间线（每步操作+时间）
├─ 检测覆盖率矩阵（检测/遗漏比例）
├─ 关键发现（高风险漏洞）
├─ 建议修复措施（按优先级）
└─ ATT&CK Navigator 热力图（覆盖 vs 缺口）
Resources and tools
| Resource |
Purpose |
| MITRE ATT&CK Navigator |
Visualize TTP coverage |
| Atomic Red Team |
Atomic attack testing |
| MITRE CALDERA |
Automated attack simulation |
| Red Canary Reports |
Annual threat report |
| ATT&CK Evaluations |
Vendor detection capability comparison |
| Threat Actor Playbooks (SCYTHE) |
Prebuilt attack playbooks |
