Red Team Tactics 是一套面向红队对抗模拟的战术原则文档，以 MITRE ATT&CK 框架为组织基础。它按攻击生命周期排列各阶段目标，并针对侦察、初始访问、权限提升、防御规避、横向移动、Active Directory 攻击和报告给出原则性说明。
一、攻击生命周期阶段 文档将攻击过程划分为如下阶段：侦察（Reconnaissance）、初始访问（Initial Access）、执行（Execution）、持久化（Persistence）、权限提升（Privilege Escalation）、防御规避（Defense Evasion）、凭据访问（Credential Access）、发现（Discovery）、横向移动（Lateral Movement）、收集（Collection）、C2、外泄（Exfiltration）、影响（Impact）。每个阶段对应一个目标：侦察用于映射攻击面，初始访问取得首个立足点，执行在目标上运行代码，持久化用于在重启后存活，权限提升获取 admin/root，防御规避避免检测，凭据访问收集凭据，发现用于映射内部网络，横向移动扩散到其他系统，收集目标数据，C2 维持命令通道，外泄提取数据，影响阶段对应最终影响。
二、侦察原则 文档将侦察分为被动与主动两类：被动侦察不接触目标但信息有限，主动侦察直接接触目标但检测风险更高。侦察信息目标包括技术栈（用于选择攻击向量）、员工信息（用于社会工程）、网络范围（用于确定扫描范围）和第三方（用于供应链攻击）。
三、初始访问向量 文档列出初始访问向量的选择标准：钓鱼适用于有人力目标且可访问邮箱的场景；公开漏洞利用适用于暴露的易受攻击服务；有效凭据适用于已泄露或破解的凭据；供应链适用于第三方访问。
四、权限提升原则 Windows 侧检查项包括未加引号的服务路径（可写入路径）、弱服务权限（可修改服务）、令牌特权（滥用 SeDebug 等）、存储凭据（收集）。Linux 侧检查项包括 SUID 二进制（以所有者身份执行）、sudo 配置错误（命令执行）、内核漏洞（内核利用）、Cron 任务（可写脚本）。
五、防御规避原则 关键技术包括 LOLBins（使用合法工具）、混淆（隐藏恶意代码）、时间戳篡改（Timestomping，隐藏文件修改）、日志清除（移除证据）。运营安全建议包括在工作时间活动、模仿合法流量模式、使用加密通道、与正常行为混同。
六、横向移动原则 凭据类型包括密码（标准认证）、哈希（Pass-the-hash）、票据（Pass-the-ticket）、证书（证书认证）。移动路径包括管理共享、远程服务（RDP、SSH、WinRM）、内部服务利用。
七、Active Directory 攻击 文档列出攻击类别：Kerberoasting 针对服务账户密码，AS-REP Roasting 针对无预认证账户，DCSync 针对域凭据，Golden Ticket 用于持久域访问。
八、报告原则 攻击叙事需记录完整攻击链：如何取得初始访问、使用了哪些技术、达成了哪些目标、检测在何处失败。检测缺口部分针对每个成功技术说明：本应检测到它的是什么、检测为何未生效、如何改进检测。
九、伦理边界 始终应：保持在范围内、最小化影响、发现真实威胁立即报告、记录所有操作。绝不应：破坏生产数据、造成拒绝服务（除非在范围内）、超出概念验证的访问、保留敏感数据。
十、反模式 不要急于利用，应遵循方法论；不要造成损害，应最小化影响；不要跳过报告，应记录一切；不要忽视范围，应守住边界。文档强调：红队模拟攻击者是为了改进防御，而非造成伤害。
适用场景为授权范围内的红队演练、对抗模拟与防御检测评估。限制与缺失：文档为原则性说明，未提供具体工具、命令、代码或操作步骤；使用须在合法授权与明确范围内进行。