executing-red-team-exercise

executing-red-team-exercise 技能概覽

這個技能的用途

executing-red-team-exercise 是一個資安技能，用來規劃與追蹤逼真的紅隊演練。它協助你從偵察、技術選擇、執行到偵測缺口檢視，完整模擬對手行動，而不只是列出漏洞。如果你在 Security Audit 工作中需要 executing-red-team-exercise 技能，當目標是測試防守方是否能發現並回應一條攻擊路徑時，這會是很合適的選擇。

適合哪些人使用

最適合資安工程師、紅隊人員、SOC 主導者，以及已經取得授權、可以進行攻擊性測試的稽核團隊。當你需要一份對應 ATT&CK 的計畫、一份受控的行動大綱，或是想比較已執行技術與偵測覆蓋率時，這個技能特別有用。

它的不同之處

這個技能是以對手模擬為核心，而不是通用的滲透測試清單。它的支援腳本會拉取 MITRE ATT&CK Enterprise 資料，把技術對應到你選定的 actor，並追蹤執行狀態與偵測結果。這讓它比只問你「有什麼紅隊點子」的 prompt 更有決策價值。

如何使用 executing-red-team-exercise 技能

安裝與首次閱讀路徑

先用你的 skills manager 走 executing-red-team-exercise install 流程，然後先讀這幾個檔案：

1. skills/executing-red-team-exercise/SKILL.md
2. references/api-reference.md
3. scripts/agent.py

這三個檔案會告訴你預期的工作流程、資料模型與執行時假設。如果你只打算快速掃一個檔案，先看 SKILL.md；如果你打算真的執行 helper，請先檢查 scripts/agent.py，不要直接相信輸出格式。

提供完整的任務簡報給技能

executing-red-team-exercise usage 的模式在你明確指定以下內容時效果最好：

• 模擬的 actor 或威脅輪廓
• 目標環境或組織名稱
• 目標鏈
• 限制條件，例如僅限實驗室、時間窗口，或偏重偵測
• 你想要的輸出格式

較強的輸入：
為一家零售組織規劃紅隊演練，模擬 APT29，目標包括存取 POS 資料並評估 SOC 對橫向移動的偵測。請回傳對應 ATT&CK 的計畫與偵測缺口。

較弱的輸入：
寫一份紅隊計畫。

實務工作流程與 repository 閱讀順序

要善用 executing-red-team-exercise，很好的做法是把這個技能當作規劃層，然後再用 repository 的 helper 邏輯驗證：

• 確認 actor、目標與目的三者是否對得上
• 把技術映射到 ATT&CK 名詞
• 記錄哪些是已規劃、已執行、已偵測
• 演練結束後回顧漏掉的技術

helper script 的 CLI 範例也呈現了預期結構：
python scripts/agent.py --actor "APT29" --target "Retail Corp" --objectives "Access POS data" "Exfiltrate cardholder data" --output redteam_plan.json

什麼最能提升輸出品質

盡可能使用精確的 actor 名稱，並把目標定義成可衡量的終點。測試偵測 太模糊；偵測憑證竊取、權限提升與資料外傳嘗試 會好得多。如果你要把 executing-red-team-exercise 用在 Security Audit 報告，請要求輸出計畫加上偵測缺口摘要，而不只是敘述型演練說明。

executing-red-team-exercise 技能 FAQ

這只適合成熟的資安團隊嗎？

不一定，但它最有價值的前提，是本來就有一套可供測試的防禦程序。如果你的環境無法支援日誌、監控或回應驗證，這個技能可能只會產出一份很難實際執行的計畫。

它和一般 prompt 有什麼不同？

一般 prompt 通常只停留在想法層。executing-red-team-exercise 技能更偏向操作層：它會把技術對應到 ATT&CK、支援 actor 模擬，並幫你追蹤技術是否被偵測到。這讓它更適合重複性評估。

我一定要跑 Python script 嗎？

不一定。你也可以只拿這個技能來做規劃，但 repository 內有 scripts/agent.py，如果你想要結構化的操作物件、ATT&CK 技術載入，以及偵測缺口報告，它就很有用。就算你不跑 script，也應該在 prompt 裡盡量對齊它的欄位。

這個技能適合新手嗎？

只有在你已經理解基本紅隊與授權概念時，才算勉強適合新手。它不是一個安全的「學駭客」入門技能；它假設的是合法、已核准的測試，而且最適合實驗室、CTF 或已授權的企業環境。

如何改進 executing-red-team-exercise 技能

提供正確的限制條件

品質提升最大的關鍵，是把範圍定義清楚：目標類型、actor、目標與成功條件。對 executing-red-team-exercise 來說，請再加上操作邊界，例如「不得進行破壞性動作」、「只需回報」、「驗證電子郵件安全與端點偵測」。這能避免技能偏離成泛泛的攻擊腦力激盪。

要求輸出對齊 ATT&CK

如果你想讓 executing-red-team-exercise 的結果更扎實，請明確要求 technique IDs、tactics 與偵測註記。例如：回傳 tactics、ATT&CK technique IDs、可能的防守方遙測來源，以及缺口摘要。 這會產出比單純敘述型演練計畫更有用的 Security Audit 成品。

留意常見失誤模式

最常見的問題是目標範圍過大。另一個問題是 actor 配對錯誤：選了與目標或評估目的不相符的威脅 actor。第三個問題是把 stealth 當成唯一目標；但對稽核工作來說，真正有價值的是可觀察到的防禦訊號，以及被漏掉的偵測。

在第一版輸出後持續迭代

先把第一份計畫當草稿，再補上原本缺少的內容：環境假設、允許使用的工具、偵測來源與報告需求。如果你有使用 script，就把規劃中的技術和實際執行的技術對照，先標記哪些技術已被偵測，再要求更新版的偵測缺口報告。