第4步：构建场景

时间：2022-03-27 10:42:01 | 来源：网络推广

时间：2022-03-27 10:42:01 来源：网络推广

传统的渗透测试侧重于突出攻击者可能在某个时间段会利用不同类型系统上的哪些漏洞。MITRE的对抗模拟方法不同于这些传统方法。其目标是让红队成员执行基于特定或许多已知攻击者的行为和技术，以测试特定系统或网络的防御效果。对抗模拟演习由小型的重复性活动组成，这些活动旨在通过系统地将各种新的恶意行为引入环境，来改善和测试网络上的防御能力。进行威胁模拟的红队与蓝队紧密合作(通常称为紫队)，以确保进行深入沟通交流，这对于快速磨练组织机构的防御能力至关重要。因此，与全范围的渗透测试或以任务目标为重点的红队相比，对抗模拟测试测试速度更快、测试内容更集中。

随着检测技术的不断发展成熟，攻击者也会不断调整其攻击方法，红蓝对抗的模拟方案也应该围绕这种思想展开。大多数真正的攻击者都有特定的目标，例如获得对敏感信息的访问权限。因此，在模拟对抗期间，也可以给红队指定特定的目标，以便蓝队能够针对最可能的对抗技术对网络防御和功能进行详细测试。

1.场景规划

为了更好地执行对抗模拟方案，需要白队传达作战目标，而又不向红队或蓝队泄露测试方案的详细信息。白队应该利用其对蓝队的了解情况以及针对威胁行为的分析来检测差距，并根据蓝队所做的更改或需要重新评估的内容来制定对抗模拟计划。白队还应确定红队是否有能力充分测试对抗行为。如果没有，白队应该与红队合作解决存在的差距，包括可能需要的任何工具开发、采购和测试。对抗模拟场景可对抗计划为基础，传达要求并与资产所有者和其它利益相关者进行协调。

模拟场景可以是详细的命令脚本，也可以不是。场景规划应该足够详细，足以指导红队验证防御能力，但也应该足够灵活，可以让红队在演习期间根据需要调整其行动，以测试蓝军可能未曾考虑过的行为变化。由于蓝队的防御方案也可能已经很成熟，可以涵盖已知的威胁行为，因此红队还必须能够自由扩展，不仅仅局限于单纯的模拟。通过由白队决定应该测试哪些新行为，蓝队可能不知道要进行哪些特定活动，而红队可以不受对蓝队功能假设的影响，因为这可能会影响红队做出决策。白队还要继续向红队通报有关环境的详细信息，以便通过对抗行为全面测试检测能力。

2.场景示例

举个例子，假设在Windows操作系统环境中，红队采用的工具提供了一个访问点和C2通道，攻击者通过交互式shell命令与系统进行交互。蓝队已部署了Sysmon作为探针，对过程进行持续监控并收集相关数据。此场景的目标是基于Sysmon从网络端点中收集数据来检测红队的入侵行为。

场景详情：

1) 为红队确定一个特定的最终目标。例如，获得对特定系统、域帐户的访问权，或收集要渗透的特定信息。

2) 假设已经入侵成功，让红队访问内部系统，以便于观察渗透后的行为。红队可以在环境中的一个系统上执行加载程序或RAT，模拟预渗透行为，并获得初始立足点，而不考虑先前的了解、访问、漏洞利用或社会工程学等因素。

3) 红队必须使用ATTCK模型中的发现技术来了解环境并收集数据，以便进一步行动。

4) 红队将凭证转储到初始系统上，并尝试定位周围还有哪些系统的凭证可以利用。

5) 红队横向移动，直到获得目标系统、账户、信息为止。

使用ATTCK作为对抗模拟指南，为红队制定一个明确的计划。技术选择的重点是基于在已知的入侵活动中通常使用的技术，来实现测试目标，但是允许红队在技术使用方面进行一些更改，采用一些其它行为。

3.场景实现

上述场景示例的具体实现步骤如下所示：

1) 模拟攻击者通过白队提供的初始访问权限后，获得了执行权限。以下内容可以表示攻击者可以使用通用的、标准化的应用层协议(如HTTP、HTTPS、SMTP或DNS)进行通信，以免被发现。例如远程连接命令，会被嵌入到这些通信协议中。

2) 建立连接后，通过远程访问工具启动反弹shell命令界面：

3) 通过命令行界面执行执行技术：

4) 获得了足够的信息后，可以根据需要，自由执行其它战术和技术。以下技术是基于ATTCK的建议措施，以建立持久性或通过提升权限来建立持久性。获得足够的权限后，使用Mimikatz转储凭据，或尝试使用键盘记录器获取凭据，捕获的用户输入信息。

5) 如果获得了凭据并且通过发现技术对系统有了全面的了解，就可以尝试横向移动来实现该方案的主要目标了。

6) 根据需要使用上文提到的技术，继续横向移动，获取并渗透目标敏感信息。建议使用以下ATTCK技术来收集和提取文件：