用途
该技能用于在授权安全评估、防御验证或受控教育环境中，提供基于 MITRE ATT&CK 框架的红队战术原则。其核心目的是模拟攻击者以改进防御，而非造成损害。
主要能力
技能内容按攻击生命周期组织，覆盖以下阶段及其目标：侦察（映射攻击面）、初始访问（获得首个立足点）、执行（在目标上运行代码）、持久化（在重启后存活）、权限提升（获取管理员/root）、防御规避（避免检测）、凭据访问（收集凭据）、发现（映射内部网络）、横向移动（扩散到其他系统）、收集（收集目标数据）、C2（维持命令通道）、数据外泄（提取数据）、影响。
具体原则包括：
- 侦察：区分被动（无目标接触、信息有限）与主动（直接接触、检测风险更高）；信息目标涵盖技术栈、员工信息、网络范围、第三方。
- 初始访问向量：钓鱼（针对人员、有邮件访问时）、公开漏洞利用（暴露的易受攻击服务）、有效凭据（泄露或破解）、供应链（第三方访问）。
- 权限提升：Windows 检查项包括未加引号的服务路径、弱服务权限、令牌特权、存储的凭据；Linux 检查项包括 SUID 二进制、sudo 配置错误、内核漏洞、cron 任务。
- 防御规避：LOLBins、混淆、时间戳篡改、日志清除；操作安全建议包括在工作时间操作、模仿合法流量模式、使用加密通道、融入正常行为。
- 横向移动：凭据类型包括密码、哈希（传递哈希）、票据（传递票据）、证书；移动路径包括管理共享、远程服务（RDP、SSH、WinRM）、内部服务利用。
- Active Directory 攻击：Kerberoasting（服务账户密码）、AS-REP Roasting（无预认证账户）、DCSync（域凭据）、Golden Ticket（持久域访问）。
- 报告原则：记录完整攻击链（如何获得初始访问、使用了哪些技术、达成了哪些目标、检测在哪里失败）；针对每个成功技术说明本应检测什么、为何检测失败、如何改进检测。
使用方式
该技能设有强制确认门。在执行任何探测、利用、更改、持久化、数据提取或尝试凭据访问的命令前，必须：
- 要求用户说明确切的目标 URL、IP、账户或资源。
- 要求用户确认书面授权和允许范围。
- 展示确切的命令并解释其预期效果。
- 在当前对话中等待明确确认。
没有该确认时，保持只读并提供防御性指导。建议优先使用沙箱、一次性虚拟机或受控实验室。
适用场景
仅适用于授权安全评估、防御验证或受控教育环境。
限制
- 仅限授权使用：使用前必须获得系统所有者的明确书面许可，误用非法且严格禁止。
- 仅在任务明确匹配上述范围时使用。
- 不得将输出视为环境特定验证、测试或专家审查的替代。
- 如果缺少所需输入、权限、安全边界或成功标准，应停止并请求澄清。
- 伦理边界：始终保持在范围内、最小化影响、发现真实威胁立即报告、记录所有行动；绝不破坏生产数据、造成拒绝服务（除非在范围内）、超出概念验证访问、保留敏感数据。
- 反模式：不要急于利用、造成损害、跳过报告、忽视范围；应遵循方法论、最小化影响、记录一切、保持在边界内。