《红蓝攻防》速读报告

原创

read8min
read8min

8分钟读本书

2026年7月15日 20:41
江苏

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

《红蓝攻防：构建实战化网络安全防御体系》由奇安信安服团队（张翀斌、刘敬群、顾鑫等十六人合著），2022年由机械工业出版社出版。这是一本从攻击方（蓝队）、防守方（红队）和中立组织方（紫队）三个视角，系统拆解实战化网络安全攻防演练的方法论与真实案例的\"全维作战手册\"。

一、抓骨架

一句话概括：这本书的核心逻辑是\"不知攻，焉知防\"——只有深入理解攻击者的思维、手段和节奏，才有资格谈防守。

五个核心观点贯穿全书：

第一，攻防不对称。攻击队只需撕开一个点就能拿下整座\"城池\"，防守队却需要覆盖安全工作的方方面面。从一条信息泄露到一个弱口令，从一封钓鱼邮件到一次冒充客服，任何一条防线失守都可能导致全线崩溃。

第二，实战攻防不是渗透测试。传统渗透测试有范围限制，但蓝队可以无所不用其极——社工钓鱼、物理入侵、供应链攻击。书中写道：\"蓝队是指网络实战攻防演练中的攻击一方……以发现系统薄弱环节、提升系统安全性为目标。\"

第三，人是安全链条上最弱的一环。全书几乎每一个案例都证明：技术防御再严密，只要人的安全意识没跟上，一切归零。\"人是支撑安全业务的最重要因素，专业人才缺乏是政企机构面临的挑战之一。\"

第四，2020年数据泄露创历史记录。根据Canalys报告，2020年泄露记录比过去15年总和还多，这是全书所有讨论的现实背景——威胁不是\"可能发生\"，而是\"已经发生\"。

第五，紫队是攻防演练的\"导演\"。2020年起引入沙盘推演环节，专门针对实网中\"不敢打、不能打、不让打\"的核心资产进行推演，评估被攻陷后的政治、经济、声誉影响。

二、挖精髓

十个最令人震撼的细节：

1. Excel明文密码本。攻击队攻破门户网站后，在内网服务器上发现了Excel表格，里面记录了所有系统用户的账号密码——一套密码打穿整个内网。
2. 微信客服的心理战。攻击队冒充客户向微信客服投诉，要求接收\"证据视频录像\"压缩包。被拒绝后轮番轰炸要求报工号并威胁投诉，一小时后客服心理防线崩溃，主动打开了木马文件。
3. 驻场运维成特洛伊木马。攻击队通过供应商的即时通信系统漏洞获取管理员权限，翻聊天记录定位到三名驻场目标企业的员工，通过中间人攻击推送恶意升级包，实现了\"供应链定点打击\"。
4. 声东击西的流量海啸。蓝队兵分两路：大部队用多网段跳板制造洪水流量攻击营销网站吸引火力；队长用不同IP和浏览器指纹，以最小流量悄无声息渗透另一个Web应用，使威胁数据完全淹没在\"海量攻击\"中。
5. 假工牌进金融企业。攻击队发现某金融企业子机构进出管理松散，网上买同款工牌直接进入办公区，找到无人值守工位用U盘绕过登录密码接入生产网——金融堡垒从一扇虚掩的侧门被攻破。
6. 集权系统是\"一锅端\"捷径。域控制器、堡垒机、VPN、运维管理系统等集权系统一旦失守，\"反而会给攻击者更多的辅助性手段，他们通过集权类系统可以拿下大批主机。\"
7. 钓鱼邮件以假乱真。攻击队破解员工邮箱后，利用内部\"19626钓鱼邮件事件\"通知母本，构造\"近期发现大量钓鱼邮件，以下为检测程序…\"附件继续钓鱼，两次均得手——最好的钓鱼邮件就是借用官方模板。
8. 蜜罐让防守方反客为主。红队部署伪装目标诱导攻击队攻击，持续消耗其资源，甚至可以诱导下载远控程序定位攻击者真实身份，\"将对抗工作由被动变主动\"。
9. 子公司的\"薄板效应\"。攻击母公司和一级子公司均失败后，转而攻击三级子公司，利用信任通联逐层渗透，最终通过二级子公司员工经常携带的笔记本电脑打入了核心系统。
10. 近源攻击的物理穿透。攻击者购买假工牌、假身份，直接进入办公区。书中警醒：防了网络防火墙，别忘了物理大门。

三、查漏补缺

容易被忽略的三个洞察：

一是\"防守复盘比实战更重要\"。第6章强调实战后的总结包含30多项复盘内容（目标、方案、架构、主机、应用等），复盘才是让防御体系真正迭代升级的关键动作，但大多数单位打完就完，从不复盘。

二是沙盘推演的价值被严重低估。实网攻防有太多\"不敢打、不能打、不让打\"的禁区，沙盘推演恰好填补了这个空白——它是\"无损版本的实战\"，但多数政企机构只关注实网对抗，推演沦为走过场。

三是供应链攻击的杀伤半径远超想象。不仅是软件供应商，安全服务提供商本身也可能成为跳板。书中暗示了一个细思极恐的可能：帮你做安全加固的公司，也可能是攻击者进入你网络的通道。

四、批判质疑

五处值得商榷的地方：

第一，紫队部分篇幅严重不足。全书四个部分中两个给了蓝队和红队，紫队只有三章且高度概括，对于想了解\"如何组织一场攻防演练\"的读者来说，实操信息量不够。

第二，全是成功案例，没有失败教训。九个蓝队案例都成功了，三个红队案例也都守住了。防守失败的案例——为什么被攻破？犯了哪些致命错误？几乎未涉及，削弱了\"从失败中学习\"的价值。

第三，技术时效性问题。书中列举的CVE编号（如CVE-2021-1675、CVE-2021-26855等）在成书时是最新的，但今已不是。读者应学习方法论而非抄作业。

第四，方案偏重大型政企。领导挂帅、多个工作组、24小时值守——这对金融、央企可行，但对只有三五人IT团队的中小企业，大量策略建议难以落地。

第五，\"紫队\"概念自创色彩浓。行业通用的是红队/蓝队，\"紫队\"作为第三方组织者的概念在NIST、MITRE ATT&CK等标准框架中并非常用术语，书中缺乏与其他行业标准的对标。

五、延伸推荐

《白帽子讲Web安全》（吴翰清）：更适合从技术底层理解各类Web漏洞原理。如果说《红蓝攻防》是作战指挥手册，这本就是单兵武器操作指南。

《企业安全建设指南》（聂君等）：从甲方视角系统讲解安全体系建设，弥补了本书偏重\"对抗演练\"而弱化\"日常安全运营\"的不足。

《网络安全态势感知》（欧建军等）：关于如何构建整体安全监测和威胁感知能力，是本书红队防守理念的技术深化版。

金句

任何攻击都会留下痕迹。攻击队会尽量隐藏痕迹，防止被发现；而防守者与之相对，需要尽早发现攻击痕迹。

实战攻防演练不只是对抗防守的保障演练活动，其最终目的是：通过对抗活动发现我们网络安全建设中的不足，进而改进和提升整体安全防御能力。

蜜罐技术逐渐成为红队改变被动挨打局面的一把利剑。

信息搜集是攻防活动中攻击者进行的第一步操作，也是非常重要的一步。

红队需要掌握完整的系统隔离手段，因为蓝队成功攻击到内网之后，会对内网进行横向渗透，这时系统之间的隔离显得尤为重要。

思维导图