红队报告撰写

红队报告向管理层（执行摘要）传达已识别漏洞带来的业务风险，帮助防御人员复现发现并改进检测（技术细节），同时提供补救行动计划（建议）。

标准红队报告结构：

1. 封面和范围定义
2. 执行摘要
3. 方法概述
4. 攻击叙述／攻击链
5. 带严重性评级的发现项列表
6. 每个发现项的技术细节
7. 建议和路线图
8. 附录：证据、失陷指标、工具列表

请最后撰写执行摘要。它应说明：

• 行动目标和范围
• 以业务语言描述的关键发现（“我们在 4 小时内获得了域管理员访问权限”）
• 总体风险态势评估
• 补救工作的首要 3 项任务

不要使用术语。假定读者是非技术背景的管理人员。

攻击叙述按时间顺序讲述行动过程：

1. 初始访问途径（如何获得第一个立足点）
2. 持久化和发现
3. 权限提升步骤
4. 横向移动路径
5. 已实现的目标（访问的数据、已攻陷的域）

将每个步骤映射到 MITRE ATT&CK 技术标识符。

每个发现项应包括：

• 标题：清晰、具体的名称
• 严重性：严重／高／中／低／信息（如适用，附上 CVSS 分数）
• 描述：发现了什么
• 影响：被利用后产生的业务风险
• 复现步骤：详细的技术证明
• 证据：屏幕截图、日志
• 建议：具体的修复措施

CVSS（通用漏洞评分系统）提供 0 至 10 分的标准化严重性评分。组成部分包括：攻击向量、攻击复杂度、所需权限、用户交互、范围、机密性／完整性／可用性影响。请使用 CVSS 3.1，以获得一致且有依据的严重性评级。

将使用的每项技术映射到 ATT&CK，为防御人员提供可执行的情报：

• T1566.001——鱼叉式网络钓鱼附件（初始访问）
• T1059.001——PowerShell（执行）
• T1003.001——LSASS 内存（凭据访问）

ATT&CK 映射可以帮助蓝队针对观察到的战术、技术和流程编写检测规则。

屏幕截图应包含：

• 终端中清晰可见的日期和时间
• 已攻陷系统的主机名
• 命令及其完整输出
• 不得裁剪掉上下文信息

请为屏幕截图添加注释，以突出关键元素。证据可以验证发现项。

好的建议应当：

• 具体：“启用 PowerShell AMSI 和受限语言模式”，而不是“提高安全性”
• 有优先级：根据风险确定先处理哪些事项
• 可执行：读者确切知道应该做什么
• 现实可行：考虑运营限制

现场复盘演示可以补充书面报告。请使用现场屏幕截图带领客户回顾攻击叙述，演示他们本可以如何检测每个步骤，并回答问题。对于推动改进，这通常比书面报告更有影响力。

红队报告包含敏感的漏洞信息。请按以下方式处理：

• 加密报告（PGP 或受密码保护的 PDF）
• 通过安全渠道传输
• 将分发范围限制在确有需要的人员
• 制定报告保留与销毁策略
• 切勿通过电子邮件发送未加密的报告

红队报告的哪个部分提供了映射到 MITRE ATT&CK 的步骤，准确展示红队如何从初始访问推进到目标？

红队报告面向业务受众（执行摘要）、技术受众（攻击叙述和发现项）以及防御受众（ATT&CK 映射）。每个发现项都包括严重性、影响、复现步骤、证据和具体建议。MITRE ATT&CK 映射可将攻击性发现转化为防御性检测机会。请将报告加密，并按敏感文档进行处理。