red-team

Tổng quan về red-team skill

red-team skill dùng để làm gì

red-team skill là skill lập kế hoạch mô phỏng đối thủ được ủy quyền, dùng để xây dựng kế hoạch red team có cấu trúc, đường tấn công, chuỗi kỹ thuật MITRE ATT&CK, phân tích choke point, ghi chú rủi ro OPSEC và nhắm mục tiêu vào crown jewel. Skill này phù hợp nhất với đội ngũ bảo mật, tư vấn viên, trưởng nhóm purple team và AI agent cần một khung lập kế hoạch có thể lặp lại, thay vì một prompt offensive security tùy hứng.

Đây không phải là trình quét lỗ hổng, công cụ tạo exploit hay playbook ứng cứu sự cố. Giá trị thực sự của skill nằm ở việc giúp bạn suy luận một đối thủ mô phỏng được ủy quyền có thể di chuyển từ một mức truy cập đã xác định đến các tài sản giá trị cao như thế nào, kỹ thuật nào tạo ra rủi ro vận hành lớn nhất, và đội phòng thủ có thể xác thực các biện pháp kiểm soát ở đâu.

Người dùng và loại engagement phù hợp nhất

Hãy dùng red-team skill khi bạn đã có ủy quyền bằng văn bản, môi trường đã được xác định phạm vi, các kỹ thuật MITRE ATT&CK đã biết hoặc đang được cân nhắc, và cần tạo ra các tài liệu lập kế hoạch. Skill phù hợp với:

• Bài diễn tập red team nội bộ có Rules of Engagement đã ký
• Phân tích đường tấn công đến crown jewel như AD, cơ sở dữ liệu, cloud storage hoặc hệ thống thanh toán
• Lập kế hoạch purple team khi đội phòng thủ cần telemetry dự kiến và choke point
• Thảo luận rủi ro với lãnh đạo, nơi các đường tấn công cần được chấm điểm theo mức nỗ lực và rủi ro bị phát hiện

Skill kém hữu ích hơn nếu bạn chỉ cần checklist cơ bản, phát hiện lỗ hổng không xác thực, phát triển malware hoặc xử lý khẩn cấp.

Điểm khác biệt của skill này

Điểm khác biệt hữu ích nhất là cấu trúc lập kế hoạch. Repository bao gồm SKILL.md, tài liệu phương pháp hỗ trợ tại references/attack-path-methodology.md, và script trợ giúp tại scripts/engagement_planner.py. Khi kết hợp, chúng tập trung vào:

• Ghép các giai đoạn kill chain từ những kỹ thuật đã chọn
• Chấm điểm nỗ lực dựa trên rủi ro bị phát hiện và điều kiện tiên quyết
• Xác định choke point trên các đường tấn công
• Đánh giá rủi ro OPSEC
• Lập kế hoạch đường đi đến crown jewel

Nhờ vậy, red-team skill có hình hài vận hành rõ ràng hơn nhiều so với một prompt chung chung kiểu “hãy tạo cho tôi một kế hoạch red team”.

Cách sử dụng red-team skill

Cài đặt red-team và lộ trình đọc repository

Cài skill trong môi trường Claude skills bằng lệnh:

npx skills add alirezarezvani/claude-skills --skill red-team

Sau khi cài đặt, hãy đọc các file theo thứ tự này:

1. SKILL.md — workflow chính, ranh giới, anti-pattern và logic engagement
2. scripts/engagement_planner.py — cho thấy input kỳ vọng và mô hình output
3. references/attack-path-methodology.md — giải thích graph đường tấn công, chấm điểm nỗ lực và phân tích choke point

Script đặc biệt hữu ích trước khi viết prompt vì nó hé lộ schema input thực tế: --techniques, --access-level, --crown-jewels, --authorized, và --json.

Input mà red-team skill cần

Để sử dụng red-team một cách đáng tin cậy, đừng chỉ đưa ra một mục tiêu mơ hồ. Input tốt nên bao gồm:

• Trạng thái ủy quyền và tóm tắt RoE
• Mục tiêu engagement, chẳng hạn xác thực khả năng phát hiện hoặc mô phỏng truy cập crown jewel
• Mức truy cập ban đầu: external, internal, hoặc credentialed
• Hệ thống, đơn vị kinh doanh, cloud account hoặc phân đoạn mạng nằm trong phạm vi
• Hệ thống ngoài phạm vi và các hành động bị cấm
• Các kỹ thuật MITRE ATT&CK dự kiến, ví dụ T1078, T1059, T1003
• Crown jewel, chẳng hạn “Domain Controller,” “S3 Data Lake,” hoặc “PCI database”
• Giả định về phát hiện, logging và EDR
• Định dạng output cần có: kế hoạch, bảng đường tấn công, sổ đăng ký rủi ro OPSEC hoặc JSON

Một prompt yếu chỉ yêu cầu “một kế hoạch red team”. Một prompt mạnh hơn cung cấp các ràng buộc để skill có thể chấm điểm và sắp xếp trình tự.

Mẫu prompt để dùng red-team hiệu quả hơn

Hãy dùng skill bằng cách yêu cầu agent áp dụng phương pháp trong repository, không chỉ tóm tắt nó. Ví dụ:

Use the red-team skill to create an authorized engagement plan. We have signed RoE for a production-safe simulation against the corporate Windows domain. Starting access level is credentialed. In scope: AD, endpoint fleet, internal file shares. Out of scope: destructive actions, persistence beyond test window, password spraying, and production data exfiltration. Candidate techniques: T1078, T1059.001, T1003.001, T1550.002. Crown jewels: Domain Controller and HR file share. Prioritize attack paths by effort score and detection risk, identify choke points, list OPSEC risks, and suggest defender validation points.

Prompt này hiệu quả vì nó cung cấp đầy đủ ủy quyền, phạm vi, mức truy cập, kỹ thuật, crown jewel và kỳ vọng về output.

Sử dụng script engagement planner

Script trợ giúp có thể chạy cục bộ từ thư mục skill nếu bạn muốn có output có cấu trúc trước khi viết kế hoạch dạng tường thuật:

python3 scripts/engagement_planner.py --techniques T1059,T1078,T1003 --access-level external --authorized --json

Dùng --list-techniques để xem các technique ID được hỗ trợ. Hãy xem script như một công cụ hỗ trợ lập kế hoạch, không phải căn cứ đầy đủ để tiến hành engagement. Danh sách kỹ thuật tích hợp trong script có giới hạn, vì vậy khi cần, hãy ánh xạ catalog ATT&CK thực tế và các ràng buộc môi trường của bạn trở lại prompt dùng với skill.

FAQ về red-team skill

red-team có dành cho Penetration Testing không?

red-team có thể hỗ trợ công việc red-team trong Penetration Testing, nhưng phạm vi hẹp hơn và thiên về chiến lược hơn so với checklist pentest tiêu chuẩn. Penetration testing thường nhấn mạnh việc tìm và xác thực lỗ hổng. Skill này nhấn mạnh mô phỏng đối thủ: sắp xếp trình tự kỹ thuật, mô hình hóa đường tấn công, xác định choke point và kiểm thử khả năng phát hiện cũng như phản ứng.

Người mới có thể dùng red-team skill không?

Người mới có thể dùng skill để học cách lập kế hoạch engagement có cấu trúc, nhưng không nên xem đó là ủy quyền hay quyền vận hành. Skill giả định rằng bạn hiểu RoE, ranh giới phạm vi, thuật ngữ MITRE ATT&CK, các mức truy cập và lý do OPSEC quan trọng trong một bài diễn tập bảo mật hợp pháp. Nếu những khái niệm này còn xa lạ, hãy dùng skill cùng một reviewer bảo mật có kinh nghiệm.

Những rào cản chính khi áp dụng là gì?

Các rào cản lớn nhất là thiếu ủy quyền, phạm vi mơ hồ và bối cảnh môi trường không đầy đủ. Skill không thể lập kế hoạch một cách có trách nhiệm quanh “một mạng công ty” nếu thiếu mức truy cập, kỹ thuật được phép, hành động bị cấm, crown jewel và giả định về phát hiện. Một rào cản khác là kỳ vọng script đi kèm sẽ bao phủ mọi kỹ thuật ATT&CK; thực tế, đó là công cụ lập kế hoạch thực dụng, không phải cơ sở dữ liệu ATT&CK đầy đủ.

Khi nào không nên dùng skill này?

Không dùng skill này cho việc nhắm mục tiêu khi chưa được ủy quyền, phát triển exploit, hướng dẫn malware, đánh cắp thông tin xác thực, duy trì persistence ngoài bài kiểm thử đã phê duyệt, hoặc hoạt động live-fire khi chưa có RoE đã ký. Cũng nên tránh dùng skill khi nhiệm vụ là ứng cứu sự cố, thu thập bằng chứng tuân thủ hoặc quét lỗ hổng đơn giản; những việc đó cần workflow khác.

Cách cải thiện red-team skill

Cải thiện output của red-team bằng ràng buộc rõ hơn

Cách nhanh nhất để cải thiện kết quả từ red-team là làm rõ các ràng buộc. Hãy đưa vào khung thời gian, giới hạn tác động kinh doanh, công cụ được phép, kỹ thuật bị chặn, độ phủ logging và định nghĩa “thành công”. Ví dụ, “mô phỏng truy cập HR file share mà không exfiltrate dữ liệu” sẽ tạo ra kế hoạch an toàn hơn và dễ hành động hơn so với “truy cập dữ liệu HR”.

Các lỗi thường gặp cần theo dõi

Hãy để ý các kế hoạch quá chung chung, bỏ qua giả định RoE, ưu tiên quá mức các kỹ thuật hào nhoáng hoặc phớt lờ rủi ro bị phát hiện. Một vấn đề phổ biến khác là kill chain tuyến tính nhưng không có phương án thay thế. Hãy yêu cầu nhiều đường tấn công, điểm nỗ lực, điểm có khả năng bị phát hiện và choke point nơi đội phòng thủ có thể đo hiệu quả kiểm soát.

Lặp lại sau kế hoạch đầu tiên

Sau output đầu tiên, hãy đặt các câu hỏi tiếp nối có mục tiêu:

• “Re-rank paths assuming EDR detects PowerShell heavily.”
• “Remove techniques outside credentialed-access scope.”
• “Convert this into a purple-team exercise table.”
• “Add expected telemetry for each phase.”
• “Identify the minimum safe simulation steps for executives.”

Các vòng lặp này biến hướng dẫn red-team từ một template tĩnh thành kế hoạch phù hợp với môi trường cụ thể.

Mở rộng skill cho môi trường của bạn

Với các đội đã trưởng thành, hãy tùy chỉnh input của skill bằng mapping ATT&CK nội bộ, mô hình mức độ trọng yếu của tài sản, giả định về khả năng quan sát của EDR, đường đi cloud identity và thư viện kỹ thuật đã được phê duyệt. Bạn cũng có thể điều chỉnh engagement_planner.py để thêm ràng buộc kỹ thuật nội bộ, điểm phát hiện và định nghĩa crown jewel. Skill càng phản ánh đúng các kiểm soát thực tế và RoE của bạn, phân tích đường tấn công của nó càng hữu ích.