渗透测试全阵型：红队、蓝队、红军、蓝军、紫队大秘揭

也许你的工作是攻击方，但是被别人误认为是防守方，亦或者相反，就会很尴尬，所以需要正确的理解这些关系。

红队=攻击方  OR  蓝军=攻击方

蓝队=防守方  OR  红军=防守方

紫队=红蓝之间协作

01 渗透测试

渗透测试，这是一种主动方法，可在网络威胁利用漏洞之前识别和缓解漏洞。使用开源安全测试方法手册 (OSSTMM) 和开放 Web 应用程序安全项目 (OWASP) 测试指南方法。

Web 应用程序渗透测试

Web 应用程序渗透测试是一种评估 Web 应用程序安全性的方法。它涉及模拟对应用程序的攻击，以识别可能被恶意行为者利用的漏洞。

在审查过程中，会尝试利用应用程序安全控制中的弱点，例如：SQL 注入、跨站点脚本 (XSS)、身份验证问题、会话管理缺陷、访问控制漏洞等。

Web 应用程序渗透测试的目标是在攻击者利用潜在安全风险之前发现它们。通过识别漏洞，开发人员和安全团队可以采取措施进行修复，并加强 Web 应用程序的整体安全态势。

外部渗透测试

面向外部互联网的资产渗透测试是对保护组织可从互联网访问的资产的安全措施的全面评估。此类测试旨在识别系统、网络和应用程序中可能被外部攻击者利用的漏洞和弱点。

在外部渗透测试期间，顾问会模拟针对组织面向互联网的资产的真实网络攻击。这些资产可以包括 Web 服务器、电子邮件服务器、远程访问服务以及可从组织网络范围之外访问的任何其他系统。

采用各种技术和工具来识别漏洞，例如网络扫描、漏洞扫描和手动利用尝试。外部渗透测试期间针对的常见漏洞包括配置错误、软件过时、密码薄弱和不安全的网络协议。

面向外部互联网的资产渗透测试的主要目标是让组织了解其外部安全状况，并帮助他们降低潜在风险。通过在恶意行为者利用漏洞之前识别和解决漏洞，您的组织可以增强整体安全状况并降低外部威胁成功攻击的可能性。

内部渗透测试

内部渗透测试是对组织内部网络安全的全面评估。与侧重于可从互联网访问的资产的外部渗透测试不同，内部渗透测试评估组织内部网络范围内资产的安全性。

在内部渗透测试期间，顾问会模拟来自组织网络内部的攻击。这可能涉及利用网络设备、服务器、工作站、数据库和其他内部系统中的漏洞。

如果存在 Active Directory (AD)，顾问将尝试提升权限、提取敏感信息或破坏用户帐户。Active Directory 是内部渗透测试的常见目标，因为它在管理基于 Windows 的网络环境中的用户身份验证、访问控制和其他安全相关功能方面发挥着核心作用。

内部渗透测试还可以评估防火墙、入侵检测/预防系统和端点安全解决方案等安全控制在检测和防止网络内部未经授权的访问或恶意活动方面的有效性。

内部渗透测试的主要目标是识别并解决组织内部网络基础设施和系统中的漏洞和弱点，防止恶意内部人员或通过其他方式获得内部网络访问权限的外部攻击者利用这些漏洞和弱点。通过主动识别和降低这些风险，您的组织可以增强整体安全态势并更好地保护敏感数据和资源。

API渗透测试

API 渗透测试是对组织应用程序编程接口 (API) 安全性的有针对性的评估。API 充当不同软件应用程序之间的接口，允许它们进行通信和交换数据。API 渗透测试侧重于识别这些接口的设计、实施和配置中的漏洞和弱点。

在 API 渗透测试期间，顾问会尝试利用潜在漏洞来评估 API 的安全性。这可能涉及各种技术，包括：

• 身份验证和授权：评估 API 如何处理身份验证和授权机制。

• 输入验证：检查 API 如何处理输入数据，包括参数、标头和有效负载。

• 敏感数据暴露：评估 API 如何处理敏感数据，例如个人身份信息 (PII) 或身份验证令牌。

• 安全配置错误：识别 API 端点、服务器或基础设施组件中可能导致安全漏洞的错误配置。

• 会话管理：评估 API 如何管理会话、cookie 和令牌以维护用户身份验证和状态。

API 渗透测试的主要目标是识别并解决 API 中的安全漏洞，防止攻击者利用这些漏洞破坏通过这些接口公开的数据和服务的机密性、完整性或可用性。通过主动识别和修复这些漏洞，您的组织可以提高其 API 的安全性并降低应用程序和系统的潜在风险。

移动应用渗透测试

移动应用程序渗透测试是对移动应用程序安全性的全面评估，旨在识别可能被攻击者利用的漏洞和弱点。

在移动应用程序渗透测试期间，顾问会从各个层面评估移动应用程序的安全性，包括：

• 身份验证令牌和会话管理：评估应用程序如何管理身份验证令牌、会话 cookie 和其他会话相关机制。

• 授权：确保应用程序和 API 不允许访问或篡改其他用户的数据。

• 数据存储和传输：评估应用程序如何存储和传输敏感数据，例如用户凭据、个人身份信息 (PII) 和付款详细信息。

• 输入验证：检查应用程序如何处理用户输入，以防止常见的漏洞，如注入攻击和其他数据操纵技术。

• 代码分析：检查应用程序反编译代码中是否存在硬编码的凭证或秘密、不安全的编码实践和进程间通信问题。

• 网络通信：评估应用程序如何与后端服务器和 API 通信。

• 敏感功能：评估应用程序内敏感功能的安全性，例如应用内购买、位置跟踪和生物特征认证。

• 第三方库和依赖项：检查移动应用程序使用的第三方库和依赖项是否存在已知漏洞。

移动应用程序渗透测试的主要目标是在将移动应用程序发布给用户或部署到生产环境之前识别并解决其中的安全漏洞。通过主动识别和修复这些漏洞，您的组织可以增强移动应用程序的安全性并保护敏感用户数据免受潜在攻击和泄露。

Wi-Fi 渗透测试

验证无线网络的安全性，确保它们能够抵御未经授权的访问和潜在的攻击。Wi-Fi 渗透测试可评估您的无线安全措施的强度，识别可能损害网络完整性的漏洞。接收包含实用建议的详细报告，以保护您的 Wi-Fi 基础设施并防止未经授权的访问。

源代码审查

彻底分析应用程序的源代码，以识别和解决潜在的安全漏洞。源代码审查超越了自动扫描，提供手动分析以发现隐藏的漏洞。接收包含代码片段和可操作建议的详细报告，以从基础层面加强软件应用程序的安全性。

主机强化审查

评估并加强主机系统的安全配置，最大限度地减少攻击面并增强整体系统弹性。主机强化审核侧重于优化服务器配置，以减少漏洞并提高对网络威胁的抵抗力。接收包含分步建议的综合报告，以有效保护您的主机环境。

防火墙配置审查

评估防火墙配置的有效性，确保它们能够提供强大的保护，防止未经授权的访问和潜在的安全威胁。防火墙配置审查将分析规则集、策略和配置，以识别弱点和漏洞。接收详细的报告，其中包含优化防火墙设置的建议，以增强安全性和威胁防御能力。

设备配置审查

检查并优化设备的安全配置，以防止潜在的漏洞并加强您的整体网络安全基础设施。设备配置审查涵盖从端点到网络设备的一系列设备。接收包含优先建议的综合报告，以确保您的 IT 生态系统中所有设备的安全配置。

安全设计审查

评估系统的安全架构和设计，识别并纠正潜在弱点，确保安全态势稳健且富有弹性。设计审查将评估整体安全框架，确保您的系统在设计时充分考虑了安全性。获得详细的见解和战略建议，以加强 IT 基础设施的设计，抵御不断演变的网络威胁。

网络钓鱼练习

网络钓鱼演习是一种模拟网络安全测试，组织会创建虚假电子邮件或其他在线通信，以评估其员工遭受网络钓鱼攻击的可能性。其目标是教育和培训个人识别和避免网络犯罪分子使用的欺骗手段，最终提高组织内的整体网络安全意识。这些演习有助于加强贵公司的安全协议，并降低成为真实网络钓鱼威胁受害者的风险。

02 红队 OR 蓝军

红队参与是一种网络安全评估，它模拟现实世界的攻击，以评估组织安全防御的有效性。它涵盖范围广泛，涉及人员、物理和网络/应用程序方面。在范围界定阶段，会根据您的需求定制方案，提供假定违规、受损远程访问、全黑盒、内部威胁等选项。

在红队交战期间，红队会模拟潜在对手的战术、技术和程序 (TTP)。红队交战的主要目标包括：

• 识别漏洞：红队试图发现组织系统、网络、应用程序和流程中可能被恶意行为者利用的漏洞

• 测试防御：该活动评估组织安全控制的有效性，包括防火墙、入侵检测系统和其他保护措施

• 评估响应能力：红队通过模拟各种攻击场景来评估组织的事件响应能力，以确定安全团队检测、响应和缓解潜在威胁的能力

• 验证安全政策：红队的参与有助于验证组织的安全政策，确保其有效实施并提供改进建议

• 增强安全意识：通过模拟现实世界的攻击场景，红队参与有助于提高组织员工的安全意识，帮助他们识别和应对潜在威胁

选择红队测试来主动全面地评估您组织的网络安全弹性，使您能够识别漏洞、测试响应能力并加强对不断演变的网络威胁的防御。

关于红队技术，业界有多种框架，比如 攻击者杀链(Attacker Kill Chain)，一个针对目标攻击的七步法：

ATT&CK框架是一个广泛使用的网络安全框架，‌它帮助安全团队理解和应对先进的网络攻击‌，ATT&CK V12框架攻击技术覆盖面377个。

03 紫队

紫队服务是专业的红队和您的专门防御团队（蓝队）之间的协作努力，创建了一种统一的方法来增强您的网络安全弹性。

• 知识共享：促进红队和蓝队之间的无缝知识交流，以全面了解您的防御系统

• 攻击模拟：模拟现实世界的对手及其战术、技术和程序 (TTP)，或根据您组织的独特环境定制 TTP，以加强您对不断演变的网络威胁的防御能力

• 增强检测理解：更深入地了解您的检测系统，从而识别和弥补潜在的安全漏洞

• 全面可视性：与红队和内部渗透测试相比，提供更高的可视性，发现日志中检测到和未检测到的活动，以揭示潜在的安全漏洞

• 防御漏洞识别：积极寻找并发现防御系统中的潜在漏洞，以主动解决漏洞并加强整体安全态势

• 事件响应改进：根据紫队参与期间获得的见解，协作改进事件响应计划，确保对潜在网络事件做出更稳健、更有效的响应

选择紫队，采用协作、有针对性和深入的方法来加强您组织的网络安全防御。

04 蓝队 OR 红军

对于防御者而言，通常用木桶原理来解释防御的原理，不在于木桶的最长板有多长，而在于最短的那块板子有多短，攻击者就在寻找最短的那块板子，而防御者就要加长最短的板子，提升攻击难度，增加攻击成本。

事前增加防御能力，如安全监控覆盖率、系统加固覆盖率、历史漏洞修复率等；事中提升入侵发现能力，如入侵事件发现率、安全事件处置率等；事后的事件复盘修复率等。

业界对于蓝队也有很多参考框架，比如 NIST 的 SCF（The Fundamentals of a Strong Cybersecurity Framework-强大的网络安全框架基础）：

基于以上流程的详细拆分表如图：

还有基于 APT 的 kill chain 的防御框架，如图：

05 红队与渗透测试的区别

红队和渗透测试⁤都是组织用来识别安全漏洞的方法。两者之间的主要区别在于测试的目标。红队更注重⁣模拟现实世界⁤攻击，⁣而渗透测试则尝试⁤发现孤立的弱点区域。

红队利用⁤专家团队来测试组织的⁢分层防御系统。该团队假装是恶意行为者，以发现防御中的薄弱环节，例如渗透或利用。⁤ Red ‍Teaming⁢通常用于‍模拟黑客攻击⁤，分析⁢组织的响应，⁤并提出⁤必要的建议安全改进。

用真实案例解释更好理解：HV行动的时候红队模拟攻击，在复杂的网络环境，只要能拿下目标权限，包括社工钓鱼等等技术也会使用。而渗透测试针对公司某个业务系统，比如甲方每年通常都会购买厂商的渗透测试服务，当公司有业务上线或更新时，需要渗透测试人员对某个业务系统进行测试。