红队交战（Red Team Engagement）——经授权的对手模拟。该技能用于针对明确签约授权的系统与组织，规划和执行经过授权的红队交战。它与渗透测试（以技术为重点）和威胁狩猎（防御性）不同。红队交战通常持续数周、以目标为导向，常采用假想入侵方式，并明确尝试检验蓝队的检测与响应能力，而不只是发现漏洞。
【使用前提：授权核查】在开展任何规划或执行之前，必须先确认：针对本次特定交战、特定目标、由有授权资格的负责人签署的书面授权（可被出示的免责文件）；明确的范围（哪些系统、哪些时间窗口、哪些技术在内/在外）；目标组织拥有目标系统，而非未获授权的第三方；明确的成功标准；单一冲突协调联系人，可在蓝队发现活动时暂停/中止并回答“这是你们吗”；已完成法律审查的合同或内部授权；针对意外影响的沟通计划。若上述任何一项缺失或不明确，应停止并向用户确认，不得继续进行规划、技术选择或执行。若用户描述的目标看起来不属于其本人或签约客户，则拒绝。
【用途与界限】红队交战用于检验安全计划的响应能力，回答诸如：攻击者获得初始访问后多久被蓝队发现；蓝队发现后多快、多完整地遏制；文档化的应急响应流程是否被实际使用；理论上存在的检测在实践中是否触发；坚定的对手能否升级到指定的核心目标。红队交战不用于：漏洞发现（应由渗透测试承担）、合规打勾、对蓝队个人的绩效考核。若目标是“发现漏洞”，应用渗透测试或相关审计技能；若目标是“检验检测与响应是否真正有效”，则适用本技能。
【交战模型】外部红队：从边界外开始，无初始立足点，适用于成熟计划测试完整攻击链。假想入侵：从已授予的初始立足点（工作站、凭据、低权账户）开始，适用于边界已充分测试、关注失陷后遏制的情形。紫队：红蓝并肩工作，红方执行技术，蓝方实时验证检测，适用于检测工程成熟度早期、学习率高。假想入侵是现代最常见的模型，单位时间价值最高，因为几乎所有真实入侵都始于边界已被突破。
【交战生命周期】阶段0——交战前（启动前4-8周）：与客户/发起人进行范围界定，包括目标、范围内的资产（按名称列出）、范围外的资产（明确点名）、时间窗口、范围外的技术、可信代理（白队）识别（通常2-4人：发起高管、安全领导、冲突协调联系人、法务）、报告节奏、通信渠道（安全带外）。启动前文档交付物：签署的交战规则（RoE）、免责函（实体与数字）、包含目标/范围/计划技术的交战计划、沟通/升级矩阵。
阶段1——侦察与情报：外部交战利用侦察与开源情报侦察；假想入侵交战则从被授予的起始位置进行内部侦察。输出为目标地图。
阶段2——执行：按为交战定制的 ATT&CK 模拟计划进行。模拟计划是公开的特定威胁行为者操作手册，应作为起点而非脚本，包括 MITRE ATT&CK 模拟计划、CALDERA、Atomic Red Team。交战沿杀伤链推进，朝向指定目标。操作要点：每个动作记录时间戳、技术、目标、观察效果；冲突协调联系人在蓝队发现时回应；除非明确授权，不使用破坏性技术；绝不导出真实数据，使用合成标记；若蓝队响应会影响真实客户服务则暂停。
阶段3——复盘与报告：同日复盘（交战结束后24小时内）由红队讲述行动时间线，蓝队讲述所见、何时、所做，两者之间的差距是最高价值发现。完整书面报告（2-4周内）包含执行摘要、交战时间线、蓝队观察、检测覆盖分析、发现（检测缺口、响应缺口、特权访问暴露、横向移动使能、核心资产访问路径、补偿控制依赖）、逐项发现细节、建议、未覆盖范围。
阶段4——改进与再验证：报告建议成为工作项，高严重度建议跟踪至关闭，具体发现在6-12个月后再验证，最好以紫队形式进行。
【交战规则（RoE）】RoE 是合同，必须具体，包含：授权（谁、何时、以何权限授权）、范围内（按名称列出系统、账户、环境、应用）、范围外（第三方、受监管数据、指定账户、特定生产系统）、范围内技术、范围外技术、时间窗口（含停用期）、数据处理、报告节奏、冲突协调联系人（单一指定人+备份+24/7联系路径）、停止条件、免责函格式与分发、验证联系人。
【边界】授权是底线而非上限；拒绝未授权目标，不进行针对用户不拥有或控制系统的“假设性”交战；破坏性技术默认关闭，即使在内也优先使用非破坏性替代（模拟勒索软件、演示持久化、只读证明）；不导出真实客户数据；为安全暂停；拒绝协助构建攻击性工具（不编写新恶意软件、新C2框架、新的默认规避工具）；拒绝针对未同意者开展社会工程；若请求看起来像用内部红队监视特定员工则拒绝；发现是发现而非武器。
【参考】MITRE ATT&CK、MITRE ATT&CK 对手模拟计划、MITRE CALDERA、Atomic Red Team、TIBER-EU、CBEST、NIST SP 800-115、PTES、Red Team Field Manual、CTID、相关书籍。