Red Team 是 alirezarezvani/claude-skills 中的一个技能，用于授权红队演练规划与攻击路径分析。它的定位是对手模拟，用于测试检测、响应和控制措施的有效性，而不是漏洞扫描（见 security-pen-testing）或事件响应（见 incident-response）。
授权要求
文档明确指出，所有红队活动都需要书面授权，包括签署的 Rules of Engagement（RoE）文档、明确范围以及高管明确批准。engagement_planner.py 工具在没有 --authorized 标志时不会生成输出。未经授权使用这些技术在美国 CFAA、英国 Computer Misuse Act 及全球同类法律下属于违法行为。
Engagement Planner 工具
engagement_planner.py 根据技术选择、访问级别和皇冠资产目标，构建按杀伤链排序并评分的攻击计划。示例命令包括：
python3 scripts/engagement_planner.py
--techniques T1059,T1078,T1003
--access-level external
--authorized --json
也支持内部网络访问、皇冠资产定位、已获取凭据（假定入侵）场景与目标数量。列出全部 29 种支持的 MITRE ATT&CK 技术：
python3 scripts/engagement_planner.py --list-techniques
访问级别定义包括 external（无内部访问，仅互联网，仅外部面向技术）、internal（网络立足点，无凭据，内部侦察与横向移动准备）、credentialed（已获得有效凭据，完整杀伤链，包括提权、横向移动与影响）。退出码 0 表示计划成功生成，1 表示缺少授权或技术无效，2 表示范围违规。
杀伤链阶段方法
计划器将技术组织为八个杀伤链阶段并按顺序排列执行计划。文档列出的阶段包括 Reconnaissance、Resource Development、Initial Access、Execution、Persistence、Privilege Escalation、Credential Access、Lateral Movement、Collection、Exfiltration、Impact，并给出各阶段对应的 MITRE 战术与示例技术。阶段执行原则是：除非范围指定假定入侵，否则每个阶段必须先完成再进入下一阶段；在尝试横向移动前不要跳过持久化。
技术评分与优先级
技术按执行努力程度评分并在计划中排序。公式为 effort_score = detection_risk × (len(prerequisites) + 1)，分数越低表示越容易在不触发检测的情况下执行。文档给出技术评分参考，例如 PowerShell 执行、计划任务持久化、Pass-the-Hash、LSASS 凭据转储、鱼叉式钓鱼链接、勒索软件部署等，并附 MITRE ID。
瓶颈点分析
瓶颈点是通往皇冠资产的多条路径共同需要的技术。检测瓶颈点技术即可检测所有经过它的攻击路径。计划器通过查找 credential_access 与 privilege_escalation 战术中作为多个后续技术前置条件的技术来识别瓶颈点。文档建议围绕瓶颈点技术优先开发检测规则并提高监控密度，并给出不同环境的常见瓶颈点（Active Directory 域、AWS 环境、混合云、容器化应用）。完整方法论见 references/attack-path-methodology.md。
OPSEC 风险评估
OPSEC 风险项用于识别可能触发检测或留下持久痕迹的操作。文档按战术列出主要 OPSEC 风险与缓解措施，例如 Credential Access 中 LSASS 内存访问会触发 EDR，建议尽量使用无 LSASS 技术（DCSync、Kerberoasting）；Execution 中 PowerShell 命令行日志；Lateral Movement 中 NTLM 横向移动会生成事件 4624 type 3；Persistence 中计划任务生成事件 4698；Exfiltration 中大额外传触发 DLP。文档还给出每个阶段前的 OPSEC 检查清单，包括是否在 RoE 范围内、是否会生成蓝队积极监控的日志、是否有更低可检测性的替代方案等。
皇冠资产定位
皇冠资产是定义红队演练成功标准的高价值目标。文档按类型列出目标指标与攻击路径，包括 Domain Controller、数据库服务器、支付系统、源代码仓库、云管理平面。皇冠资产在 RoE 中约定，演练成功以是否到达定义的皇冠资产衡量，而不是发现漏洞数量。
攻击路径方法论
攻击路径分析识别从起始访问级别到每个皇冠资产的所有可行路线。每条路径按总努力分、瓶颈点数量、检测概率评分。努力越低、瓶颈点越少，越可能是攻击者选择的最省力路径。文档给出攻击路径图构建示例与完整评分算法位置。
工作流
文档提供三类工作流：快速演练范围界定（30 分钟）、完整红队演练（数周，含规划、外部阶段执行、内部阶段执行、报告）、假定入侵桌面演练。示例命令包括生成初始技术列表、构建外部假定无访问计划、按凭据访问起始位置生成计划、以及跨多个访问级别比较路径选项。
反模式
文档列出反模式，包括：无书面授权操作；跳过杀伤链阶段顺序；开始前未定义皇冠资产；忽视计划中的 OPSEC 风险；未实时记录已执行技术；演练后未清理痕迹；将最省力路径视为唯一路径。
交叉引用
文档列出与其他技能的关系：threat-detection（红队技术执行生成真实 TTP 以验证威胁狩猎假设）、incident-response（红队活动应触发事件响应流程，检测与响应质量是主要成功指标）、cloud-security（云态势发现成为红队攻击路径目标）、security-pen-testing（渗透测试聚焦特定漏洞利用，红队聚焦端到端杀伤链模拟至皇冠资产）。