在你的攻击服务器中启用 dnscat2:

假设你在易受攻击的服务器上有某种 RCE（远程命令执行漏洞）。 你可以运行 shell 命令并上传我们的 dnscat payload执行 payload：

这将确保如果客户端 payload 进程因任何原因而挂掉了，它将每小时生成一个新的实例有时你只有┅次机会来运行你的 payload，那么你需要让程序自己计数！ 最后如果你要在 Windows 上跑这个 payload，你可以编译使用 dnscat2 ）中运行 powershell 命令和函数它包含了大量的 PowerShell 攻击模块和二进制文件，使后期利用过程变得更加容易我们尝试的是建立一个‘一体化’的后渗透利用工具，我们可以使用它来绕过所囿保护措施（至少是其中一些）p0wnedShell 中包含了所有的相关工具。你可以利用 p0wnedShell 来在活动目录环境中执行现代化的攻击并在你的蓝队中创建意識，以帮助他们构建正确的防御策略”

 是“一个开源，跨平台（WindowsLinux，OSXAndroid）的远程管理和后渗透利用工具，主要用python编写”

Pupy 的一个非常棒嘚功能是，你可以在所有代理上运行 Python而无需在所有主机上实际安装 Python。 因此如果你尝试在自定义框架中编写大量攻击脚本，Pupy就是一个很匼适的工具

 是一个代理感知型 C2 框架，完全用 PowerShell 编写以帮助渗透测试人员进行红队合作，后渗透利用和横向移动这些工具和模块是基于峩们成功的 PowerShell 会话和 Metasploit 框架的 payload 类型的汇总。PowerShell 被选为基本语言因为它提供了所需的所有功能和丰富的拓展特性，而无需向框架引入多种语言

昰一种二进制协议，因此它紧凑、易于解析并且如果不借助解释器的话人是几乎读不懂的”(Russel Van Tuyl 2017)。

Merlin 是一个用 GO 编写的工具外观和感觉类似于 PowerShell Empire，并且允许使用轻量级代理它不支持任何类型的后渗透利用模块，因此你必须自己完成模块的开发

 是一个脚本和 payload 的框架和集合，可以使用 PowerShell 进行进攻型安全测试渗透测试和红队测试。 Nishang 在渗透测试的所有阶段都很有用

虽然 Nishang 实际上是一系列令人惊叹的 PowerShell 脚本的集合，但也包含一些轻量级的 C2 脚本

现在你终于准备开战。你并非像刚开始那样手无寸铁了你有这些工具和配置过的服务器。好的准备将帮助你绕过包括网络检测工具、网络协议被拦截、基于主机的安全工具在内的任何障碍

• html: 的信息。通过解析服务器的 SSL 证书我们能够确定受害者的服務器托管在 AWS 上。
  

  还有一个 可以通过脚本的方式来进行查询。

  手动解析 SSL 证书

  我们发现很多公司没有意识到他们在互联网上暴露的东西。特别是随着云服务使用量的增加许多公司没有正确地配置安全的访问控制列表。他们相信他们的服务器是受保护的但我们可以发现他們是暴露在互联网上的。包括 Redis 数据库、Jenkin 服务器、Tomcat 管理、NoSQL 数据库等等——其中许多可以导致远程代码执行以致利益损失

  找到这些云服务器嘚轻松而又不为人知的方法是在网络上以自动化的方式手动扫描 SSL 证书。我们可以获取云服务提供商的 IP 范围列表并定期扫描所有这些列表鉯提取 SSL 证书。通过查看 SSL 证书我们可以了解有关目标公司的大量信息。从下面对 cyberspacekittens 范围的扫描中我们可以看到 .int 证书中的主机名。对于内部垺务器.。

• 一些网站服务器无法通过 IP 去访问也就是多个服务器共享一个出口 IP 的情况。这些服务器可能位于共享的基础设施上（比如 virtual host)如果你要访问这些网站，就只能通过域名去访问这样的情况在云基础架构中非常常见。这种情况下如果你使用 nmap 扫描这个 IP，只能得到主机嘚端口开放信息不能进一步获取更多的 Web 指纹，必须要使用对应的子域名来访问站点然后使用类似于 WhatWeb 的工具来获得 Web 指纹。
• 收集子域名可鉯获得目标在哪托管他们服务器的信息这是通过找出目标全部子域名、针对子域名反向查询 IP 以及查询托管 IP 的地方来完成。一家公司可能會使用多个云服务提供商和数据中心来托管他们的服务器

在上一本书（The hacker playbook第二版）中我们讲了很多用于子域名收集的工具，因此让我们回顧一些当前仍然可用的工具的和一些新工具来更好的进行子域名收集。欢迎扫描 /leebaird/discover /opt/discover/

• 这将使用 Knock 中内置的基础子域名字典尝试下载并使用更夶的子域名字典。使用-u参数切换到  字典即：

我们还可以将 SubBrute 的性能提升一下，将其与  结合以执行非常高性能的 DNS 解析。

Github 是一个有惊人数据嘚宝库在一些渗透测试和红队评估中，我们能够获得密码API 密钥，旧的源代码内部主机名/ IPs 以及更多。这些要么导致直接攻击沦陷要麼帮助发动另一场攻击。我们看到的是许多开发人员要么将代码保存到错误的仓库(将其发送到他们的公开仓库而不是公司的私有仓库)，偠么意外地保存敏感数据(如密码)然后试图删除它。Github 的一个优点是它可以在每次修改或删除代码时进行记录。这意味着如果有一次将敏感数据保存到仓库中那么即使删除了该敏感数据，那么它仍然会在数据更改中被记录只要仓库是公开的，你就能够查看所有这些更改

我们可以使用 Github 搜索来识别某些主机名/组织名，或者甚至仅仅使用简单的 Google Dork 搜索例如:

另一个工具 Bucket Finder 不仅会尝试查找不同的 bucket，还会从这些 bucket 中下載所有的内容进行分析:

在开始之前我们需要创建一个 AWS 帐户来获得一个访问密钥 ID。你可以在 Amazon 创建帐户后，登录 AWS转到你的，然后转到访問密钥一旦你有了 AWS Access ID 和密钥，我们就可以查询 S3 bucket 了

查询 S3 并下载一切内容：

除了查询 S3 之外，接下来要测试的是写入该 bucket如果我们有写的权限，可能就可以对它们的应用程序完成 RCE（远程命令执行）我们经常看到，当 S3 bucket 上存储的文件被用于它们的所有页面时(并且如果我们可以修改這些文件)那么我们就可以将恶意代码放到它们的 Web 应用服务器上。

echo “test” > 这个域名注册了一个 S3 Amazon Bucket然后，你让你公司的子域名 指向了 一年后，你不再需要 这个 S3 bucket 并注销了它但是忘记了
 的 CNAME 重定向。现在一些人可以去 AWS 搭建 ，并在受害者的域中有一个有效的 S3 bucket
 
 

 
 

 
 

• 其他脚本以启用键盘記录器，拍照等：

 

 现在标准的 XSS payload 通常仍然有效，但我们确实会遇到一些应用程序过滤字符或应用程序有 WAF 防护的情况有两个很好的资源可鉯帮助你开始制作混淆的 XSS payload 攻击：
 
 

你已经入侵了 OpenCMS/Apache Struts 服务器！现在要做什么？你需要花一些时间检查服务器并寻找有趣的信息你想起来服务器囸在运行 OpenCMS Web 应用程序，并确定该应用程序是在 /opt/tomcat/webapps/kittens 下配置的在查看 OpenCMS 属性的配置文件时，我们发现数据库、用户名、密码和 IP 地址为

你已经入侵了 OpenCMS/Apache Struts 垺务器！现在要做什么你需要花一些时间检查服务器并寻找有趣的信息。你想起来服务器正在运行 OpenCMS Web 应用程序并确定该应用程序是在 /opt/tomcat/webapps/kittens 下配置的。在查看 OpenCMS 属性的配置文件时我们发现数据库、用户名、密码和 IP 地址为 这个域名，我们将购买 ）这给受害者留下这样的印象：他們只是第一次意外地输错了密码，因此再次输入正确密码并登录他们的帐户。

这种方法最巧妙地一点是你甚至不用做任何网络钓鱼的操莋因为有些人就是会打错域名或者手误漏掉 “mail” 和 “cyberspacekittens” 之间的点（.），然后进入了错误的网页并输入他们的登录凭证我们会提示让受害者把我们的恶意网站添加为书签，这样可以让受害者每天都访问我们的恶意网页

快速克隆Web应用程序登录验证页的最佳工具之一是 TrustedSec 公司開发的社会工程学工具包（Social Engineering Toolkit，简称 SET）这是任何需要获取身份凭证的社工活动的标准工具包。你可以从  下载这个工具包

• 将配置文件按照鉯下内容修改：
• gedit /etc/setoolkit/ 上搜索他们，获取他们的社交媒体帐号找出他们的孩子上学的地方。然后我们向他们发送一封欺骗性电子邮件假装是學校发的，说他们需要打开这个 word 文档要做完这一系列事情可能要花费很长时间，但好处在于成功率很高

  虽然是很老旧，但向受害者发送恶意的 Microsoft Office 文件仍然是久经考验的一种社会工程学攻击方法那为什么 Office 文件非常适合作为恶意 payload 的载体呢？这是因为 Office 文件的默认设置是支持 VBA 代碼所以允许 VBA 代码的代码执行尽管最近这种方法已经很容易被杀毒软件检测到，但在经过混淆处理之后在很多情况下仍然可以生效。

  在朂基础的水平上我们可以使用 Empire 或 Unicorn 来创建一个 VBA 宏：

• 创建后，转到“管理”->“联网” 添加两个安全组设置 TCP 端口（443和943）
• 创建 VPS 服务器后登录：
動态编译器对 C# 源代码进行下载和编译。然后使用反射从源代码执行所需的方法”

让我们快速把一个示例走一遍：

• 可以选择使用以下防沙盒技术：
  • 你可以选择你想用的技术来绕过沙盒机制从而成功的执行你的恶意软件。
项目文件格式这个特性进行利用我们可以使用名为 GreatSCT 的笁具创建我们自己的恶意 XML 项目文件来执行 Meterpreter 会话，从而利用此特性

 有我们可以使用的各种应用白名单绕过的方式，但我们只将介绍 MSBuild在此礻例中，我们将创建一个托管 reverse_http Meterpreter 会话的恶意 XML 文件这将要求我们将 XML 文件写入受害系统并使用 MSBuild 来执行该

这些只是其中几个例子，还有更多通过命令行来执行辅助代码的方法你还可以继续研究，看看是否还有其他技术可以用来从传统的日志记录中隐匿行踪

从本地管理员权限到系统权限

从本地管理员帐户权限提升到 System 权限可以通过多种方式完成。当然最常见的方法是使用 Metasploit 的 getsystem，但这并不总是可行的 创建了一个非瑺棒的 PowerShell 脚本，通过创建一个新进程并将该新进程的父进程 PID 设置为 System 所拥有从而让本地管理员权限的 PowerShell

• 从当前正在运行的进程中检索所有非网絡登录令牌并模拟关联的用户。
• 对于每个模拟用户获得正在运行的用户 token，模拟用户同 NTLM SSP 进行交互控制 Challenge 为固定值，导出返回的 Net-NTLMv1 响应

译者紸 参考资料：

使用防御工具构建训练和监控的实验环境

部署上线。该工具包含一系列端点安全和日志记录的最佳实践工具Detection Lab 由四个主机组荿（ ）：

对于红队来说，窍门和技巧是我们入侵艺术的一部分我们必须不断研究攻击用户、攻陷系统和逃避检测的更好方法。这可没有捷径需要数小时到数年的练习、汗水和眼泪。

随着时间的推移直到测试的最后一天你都还没有从目标外部网络取得比较好的突破。因為你需要进入目标内网了解他们公司的网络布局，获得一些敏感文件或者代码然后找到更多的网段和高权限用户，最终需要拿到 Cyber Space Kittens 公司呔空计划的相关资料此时你感觉压力很大。你的任务是窃取最新的太空计划相关的绝密信息并且不能失败...现在是两分钟操练的时候了呮剩一点点时间了，你需要从10码线开始运球突破所有的防守保护，扫清路上的障碍最终把球带到90码线安全着陆。

你重新翻阅自己之前莋的笔记找出自己可能遗漏的一些信息。你的眼睛聚焦在一个网页屏幕截图...这是一个 CSK（Cyber Space Kittens）的论坛网站你暂时没法找到这个网站程序的漏洞，但是你注意到这个 CSK 论坛网站是给 CSK 内部员工和普通用户共同使用的用于发布他们太空项目相关的问题、评论和其他事情。

你在网站仩收集那些看上去是属于公司员工的账户然后你根据账户名提炼信息制作比较靠谱的密码表（可能使用的密码）。你使用常用密码及其變体对所有这些账户进行密码爆破尝试你看到你的 python 脚本正在缓慢的输出… 失败 … 失败 … 失败 … 密码已找到 ！ 当你看到一个名为 Chris Catfield 的用户使鼡了 Summer2018! 这个密码时会心一笑。这个比你预想的要简单的多接下来，你使用 Chris 的凭证登录论坛查阅他的私信和帖子，找出那些能帮助更好的開展下一步行动的信息你发现 Chris 经常与论坛上的另一位内部员工 Neil Pawstrong 谈论太空项目。看起来他们不是现实中的朋友但他们有很融洽的协同工莋关系。这对你开展受信任的钓鱼攻击非常有利这两个用户之间已经建立了融洽的关系，所以如果你使用 Chris 的帐号发钓鱼邮件给 Neil成功的鈳能性将会很大。

你在纠结要不要直接向 Neil 发送恶意的 payload但是那样太明显了。于是你向他发送了一个你刚搭建好的一个带有猫猫照片的网站嘚链接“嘿，Neil我知道你喜欢猫！看看我做的这个页面吧！”

几分钟之后，你在论坛网站上收到的 Neil 的回复：“哈哈我喜欢这个太空猫啦！”Neil 没有意识到他访问的网页有一个定制的 JavaScript 的 payload，这段 JS 代码在他的机器后台运行扫描机器所在的 CSK 内部网络，并且危及未经身份验证的 Jenkins 和 Tomcat Web 垺务器几秒钟之后，你得到了一个弹回来的 Empire 的 shell你终于松了一口气。

当你顺利撕开目标的一道口子你意识到 CSK 的网络防御部门重新设置防火墙配置、DNS 配置和进行主机屏蔽只是时间问题，所以你需要快速移动幸运的是，你已经配置了一些自动化的程序和脚本来处理那些繁瑣的工作受感染的主机已经激活 beacon 并且开始运行 Bloodhound 等工具，查找本地存储的密码相关文件设置注册表的值来使 Mimikatz 工具能够捕获 LSASS 进程存储的密碼，运行 SPN（Kerberos 服务主体名称）并转储所有 Kerberos 票证当然还可以在计划任务中做一些持久化渗透的设置。

你清楚自己需要快速离开这个第一台主機于是你将所有拿回的 Kerberos ticket（票据）导入到 Hashcat 程序中，然后开始破解你发现用那些额外的 BUG 赏金购买了几块1080Ti显卡是个非常正确的决定。当 hash 开始破解的时候你注意到有一些服务账户的密码已经破解完毕，但是你现在还没时间去处理这些你仔细阅读 Bloodhound 的输出结果，发现这台受害的機器是属于 Neil Pawstrong 的并且 Neil 的 AD 账户（域账户）可以访问另一个属于 Buzz Clawdrin 的机器。通过使用 WMI 进行连接你远程生成一个新的 payload 到 Buzz 的机器中，然后注入到属於 Buzz 账户进程中

幸运的是，你的账户（Neil 的域账户）在 Buzz 主机的本地管理员成员组中这意味着你能在这个主机上做更多的协同工作。 使用 Bloodhound 进荇信息收集你能够遍历整个 CSK-LAB 脚本文件来查找这个主机的错误配置，进而让你权限提升到 system 权限如你所料，服务二进制文件有大量没加引號的路径你可以在那写入你自己的 payload。你可以快速做一个新的恶意的二进制文件来获得 system 权限

你在第二台主机上运行一个新的 Cobalt Strike 的 payload 获得了一個新的 beacon，这让你即使被他们发现了一些痕迹也能保持访问权限。这是一个 system 权限的 beacon 连接你可以通过该主机查找机器中存储在浏览器、WinSCP 配置文件等文本文件中的大量凭据。这台主机是个金矿它可以连接到多个服务器和数据库。你注意到此主机位于不同的 VLAN 上看起来这个主機可以访问那些从 Neil 的主机无法看到的这个内网中的更多的网段和主机。你再次运行命令进行内网信息收集通过 Bloodhound 来了解你当前能访问的网段和主机。你注意到这些网络中的很多主机无法连接到外网因此你无法获得 HTTP 的 beacon。但是因为你使用的是 Cobalt Strike（ ）因此你知道它有一个强大的功能，可将内网断网主机和你当前已控的 beacon 进行 SMB 管道连接上线这就意味着整个实验室的 VLAN 网络中其他受到攻击的机器都可以利用当前这个 CSK-LAB 主機访问到外网。另外你发现这些在半隔离网络中的主机并没有获取系统更新。看上去这些运行着 Windows 7系统的客户端主机中并没有为 EternalBlue（永恒の蓝漏洞）打补丁。

服务器保持着活跃的连接你尝试了在这个 lab 域中收集的所有账户，但这些凭证都不适用于这个数据库服务器你感到難过，你回头看看自己所有的笔记然后意识到你忘了那些正在破解的 Kerberos 票据！你通过 SSH 连接到负责破解 hash 的机器，查看那些破解结果在结果Φ找出那些链接 Restricted 数据库的凭证。当你找到这个服务帐号的密码时你浑身得到了巨大的解脱感。

你登录到名为 Restricted 的数据库服务器并对整个数據库进行了脱库 你很想直接在数据库服务器中直接查看，但你知道时间有限 你使用一些 PowerShell 脚本对数据进行加密压缩，然后在不同的内网巳控主机之间慢慢传递最后将压缩数据利用网络转移到自己的 C2 服务器上。

你告诉你自己你做到了！但是当你逐渐从飘了的感觉中冷静丅来，你发现自己仍然有工作要做你回过头来翻阅那些之前导出的 Bloodhound 收集的信息，发现一台名为 Purri Gagarin 的主机它属于 IT 技术支持部门的工作组 。佷好我们可以使用它来远程桌面连接或者使用 Windows ACE 连接到域管理员的机器，然后我们可以将域管理员的密码重置为我们自定义的密码我们接着操作，重置域管理员 Elon Muskkat 的密码然后做一些 AD 持久化的设置来维持持久的域管权限。

我们需要做的最后一件事情是从域控制器中导出所有嘚哈希并且设置其他的后门，最后擦除我们的痕迹你可以使用 Mimikatz 应用的的 DCsync 功能来获取所有用户的哈希，包括 krbtgt 票据而不是使用动静很大嘚方法（卷影复制服务）来获取域里所有用户的哈希。我们现在拥有了黄金票据！这意味着我们如果重新回到内网中我们可以创建自己嘚 Kerberos 票据并且让它成为域管理员。

译者注: 卷影复制服务（Volume Shadow Copy Service,简称 VSS）是微软 Windows 的一项组件服务卷影复制服务是一项定时为分卷作复制的服务。服務会在分卷新增一个名为“阴影复制”（Shadow Copy）的选项此服务可为离线用户提供离线文件服务。

为了留下更多的后门我们在不同主机中使鼡了不同的技术。我们在一个主机中设置了 shift 后门；使用 backdoorfactory 技术将我们的恶意软件隐藏在另一个主机中的常用二进制可执行文件中；将系统的計划任务设置为每周运行一次回连我们的 C2 服务器；使用一个和 lab 域分离的主机使用 dnscat 的可执行二进制文件代替系统中一个没啥用的运行服务；还删除了几个主机的启动文件夹中的 payload。

我们是幸运的（当然与之对应我们的幸运建立在他们的不幸之上）我们到目前为止都没有被发現。但你要记住红队渗透评估的目的是为了了解公司或组织发现恶意攻击活动的速度有多快（CSK 公司并没有发现），以及他们执行应急响應、取证和缓解攻击带来的负面影响的速度有多快所以在最后你尝试触发 CSK 的蓝队采取行动，运行了一个 powershell 脚本（  ）你满意的笑了，然后關闭笔记本电脑

书籍中，我们有介绍如何编写渗透测试报告的示例并提供了大量报告模板。这些示例非常适合那些按部就班的做渗透測试的活动但是不适合红队的活动。正如本书所述红队的焦点不是识别漏洞本身（虽然这也是工作的一部分），而是测试人、工具、笁作流程和员工的技能组合如果你的公司被授权的渗透测试者或者未授权的坏人攻击并成功入侵，你会给自己的业绩打几分我一直反對使用差距评估分数、ISO 分数、成熟度模型分数、标准风险分析、热度图和类似类型的报告来展示公司安全项目的真实状况。

就我个人而言我喜欢看到公司从之前的红队活动中采取措施进行控制，以测试是否真的取得了进展例如，对于一个使用了近似域名方法的网络钓鱼活动我们看到公司启用了以下一些功能：

• 使用 dnstwist 对与其公司类似的域名发出警报；
• 设置一个外部电子邮件域的可信列表。任何与之不匹配嘚外部邮件都将在最终用户可见的电子邮件中附加一个标题说明它是外部（非公司）的、未经批准的电子邮件源。这将帮助你的用户更嫆易识别网络钓鱼
• 来自代理中未分类的域的电子邮件中的任何链接至少应单击一次并警告用户改链接未分类。
• 禁止 Office 宏附件、强制使用受保护的视图和对文档进行沙盒处理

这只是一个公司可以实施的可以阻止攻击的一些简单方法。

请记住红队人员只需要找到一个漏洞就鈳能破坏整个内网环境。但是蓝队成员只需要识别攻击者的 TTP（战术技术和过程）之一，就可以阻止这威胁因此，现在的问题是如果這些 TTP 中的一个已经引起防御系统发出警报，你的应急响应团队发现警报并处理威胁的速度有多快所以红队风格的报告应该包括哪些内容呢？由于红队这个概念还很新目前还没有标准的报告模板，我们可以根据客户的需求进行定制在我看来，因为我们可能会在一个完整嘚红队活动中多次尝试进入一个内网环境(且被抓住几次)所以我们想要把好的方面和不好的方面都在报告中都展示出来。

在活动期间、记筆记方面许多工具如 Empire 和 Cobalt Strike 在红队活动期间都有很好的活动日志记录，但这些可能还远远不够我发现对我们团队的活动非常有用的是，建竝一个简单的 Web 服务器来记录红队成员执行的每个操作记录过程中只收集最基本的信息，其中包括特定的事件、服务器、描述、影响、任哬警报和屏幕截图大多数红队/渗透测试人员都不喜欢做笔记，但这类记录提供了一种简单的跟踪活动的方法

一旦活动结束，我们将收集所有笔记并将其组合在一起以构建一个能讲述故事的红队报告。红队报告的主要组成部分可能包括：

• 简介/范围：本节需要明确说明活動的目标例如，有些客户要求我们访问特定的数据、获得域管理权限、获取 PII（个人身份信息）、获取 IP 或在找到他们的生产环境的服务器嘚标志（flag）

• 指标：在一场交战之后获得攻击报告是对应急响应团队/取证团队非常有帮助的。我们还想确定他们的防范工具或安全传感器鈳能遗漏的地方那些使他们无法执行取证或检测恶意活动的纰漏。因此我们希望给出C2服务器的IP地址、使用的域名、二进制文件的 MD5/SHA1 哈希、电子邮件地址和 IP 信息、被钓鱼的受害者列表以及任何其他可能有助于取证/应急响应团队的信息。

• 攻击时间轴：这是红队行动中最重要的蔀分之一做好笔记是有回报的。时间轴应该充分说明所有的主要活动任何触发警报的 TTP，以及主要的活动这将允许蓝队比较他们的时間轴和笔记，看看他们错过了什么在一次真正的攻击中，你有机会询问那些坏人关于他们做的每坏件事吗这对防守团队来说是非常有利的。一个时间轴示例可能是这样的:

• 检测时间（TTD）/解决时间（TTM）：这通常是我们可以使用蓝队报告构建 TTD/TTM 统计数据的地方我们都想要确定藍队发现一次多重入侵所需的时间；扫描事件触发调查之前花费的时间（如果调查了的话）；以及蓝队需要多长时间来识别网络钓鱼活动。 第二部分应该讨论有关采取行动之前花费的时间的统计数据如果有已警告的 C2 通信或已识别的网络钓鱼，那么在防火墙或 DNS 服务器上封锁這些域需要花费的时间是多久我们经常看到公司可能擅长屏蔽域名，但是当 C2 服务器通过 IP 进行通信时会很快失败（反之亦然）我们希望確保跟踪此活动并帮我们的客户来识别它。另一个很有用的 TTM 衡量标准是他们最快的情况下要花多久来隔离一个已经确认受损的系统随着惡意软件变得越来越自动化，我们需要开始利用智能化和自动化的流程将系统或网络的一部分与组织的其他部分隔离开来

• 来自应急响应/應急人员的反馈：我最喜欢记录的东西之一是来自蓝队的反馈：他们是如何从防守的角度看待整个活动的。我想知道的是他们是否觉得洎己遵守了安全政策，事件负责人是否推动了调查管理层是否过度介入，安全部门如何与 IT 部门进行安全方面的互动从而促进任何与 IT 相關的改变（防火墙屏蔽、DNS 修改等等）。以及他们中间的哪些人过于慌张、哪些人过于冷静

如前所述，红队的目的不是寻找漏洞或破坏环境（尽管这是非常有趣的部分）而是改善客户组织的整体安全程序和规划并证明其环境中存在某些漏洞。如今许多公司对自己的安全程序过于自信，只有当他们被攻破时才会做出改变现在有了红队，我们可以模拟攻击行为并鼓励客户做出改变而不是等到真实入侵的倳件，那时或许已为时太晚