用途：在红队攻击性测试开始前完成基础规划，定义范围、目标、交战规则（ROE）、威胁模型选择与作战时间线，使红队模拟真实对手行为的同时保持安全护栏，防止意外业务中断。
主要能力：定义参与范围（含范围内/外资产、网络、人员）；建立ROE，包括紧急停止程序、沟通渠道与法律边界；从MITRE ATT&CK框架选择与组织威胁态势匹配的威胁画像；创建将对手TTP映射到演练目标的详细攻击计划；制定与SOC/蓝队的去冲突程序；产出供利益相关方审批的演练简报。
演练类型：全范围（物理、社会与网络向量）、假定入侵（从初始立足点开始，聚焦后利用）、目标导向（针对特定核心资产）、紫队（与蓝队协作改进检测）。
工作流：阶段1预演练（范围会议、识别核心资产、审查既往评估、定义成功标准、起草ROE）；阶段2威胁建模（用ATT&CK识别威胁行为者、映射TTP、选择攻击场景、定义对手仿真计划、建立检测检查点）；阶段3作战规划（安全通信渠道、OPSEC指南、基础设施需求如C2服务器/重定向器/钓鱼域名、分阶段攻击时间线与go/no-go决策点、与SOC/IR的去冲突矩阵）；阶段4文档与审批（汇编计划、法律审查、执行发起人签字、向操作员简报ROE、分发紧急联系卡）。
工具：MITRE ATT&CK Navigator、VECTR、Cobalt Strike/Nighthawk、PlexTrac、SCYTHE。
验证标准：已签署ROE、明确范围边界、选定威胁画像并映射ATT&CK技术、紧急停止程序经测试验证、沟通计划分发、法律授权归档、操作员确认ROE。
限制与前提：需熟悉红队概念与工具、可用的测试或实验环境、Python 3.8+及依赖、适当授权。法律提示：仅限授权安全测试与教育用途，未经书面许可对非自有系统使用属违法。常见陷阱包括范围蔓延、去冲突不足、缺少法律授权、威胁模型不切实际、沟通不畅。具体命令与代码资料未提供。