文章总结： CISA红队演练显示，关键基础设施SOC有效性取决于人和流程而非工具。A组织因运营机制失灵、告警淹没及缺乏上报流程，红队未被察觉即获域高权限。B组织快速响应隔离失陷主机。报告建议修复AD配置缺陷、强制凭据过期、建立文档化上报流程并赋予分析人员处置权限。 综合评分： 85 文章分类： 红队,安全运营,渗透测试,安全意识,安全建设

CISA红队攻破关键基础设施，SOC与云安全盲区全面暴露

FreeBuf

2026年8月26日 19:39 上海

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

Part01

两家SOC攻防对比

CISA最新发布的一份红队咨询报告向关键基础设施运营方发出警示：即便安全系统投入巨大，仍可能失效。原因在于，有效响应告警离不开训练有素的分析人员。

该机构发布的《两个SOC的故事》报告对比了两次并行的红队演练：一次针对某政府服务与设施行业组织，另一次针对某水务与废水处理行业实体。两次演练使用了几乎相同的攻击手法，结果却截然不同。

在两次行动中，CISA红队人员都先通过网络钓鱼获取初始访问权限，随后利用Active Directory中的配置缺陷进一步扩大权限。其中包括默认启用的Machine Account Quota，以及配置不当的Active Directory证书服务模板。借助这些问题，攻击者得以完成权限提升，并在目标网络中横向移动。

Part02

CISA红队攻破关键基础设施

在A组织中，红队在完全未被察觉的情况下获得了域高权限，并触及了敏感业务系统和云资源，最终甚至能读取SOC人员的电子邮件，并在防御者自己的机器上部署键盘记录器，全程未触发任何响应。

B组织的情况则截然不同：其SOC在初始钓鱼载荷执行后的2到20分钟内就隔离了失陷工作站，切断了命令与控制通信，使入侵无法扩散。

由于B组织极快地发现了入侵行为，CISA转而采用“假设失陷”模式，由受信代理赋予红队相当于钓鱼攻击未被发现时本可获得的同等访问权限。

随后，红队再次利用相同的Machine Account Quota弱点提升权限，通过System Center Configuration Manager文件窃取明文凭据，并使用DCSync攻击获取域控制器凭据，其中包括用于伪造黄金票据的敏感账户krbtgt。

尽管面对如此深入的访问权限，B组织的防御者仍然隔离了运营技术隔离区中一台失陷的堡垒主机，并阻止了微软自动告警标记的一次可疑Azure登录。这表明即使在网络已被假定为失陷的情况下，分层检测仍然持续发挥作用。

Part03

SOC运营机制失效

CISA认为，A组织的盲区并非源于工具不足，而是运营机制失灵。该组织同时运行多个SOC和多套EDR平台，但跨团队之间缺乏沟通，日常业务活动产生的数千条误报告警将真正的入侵指标淹没。

此外，分析人员缺乏明确、标准化的可疑活动上报流程，能够采取的处置措施也十分有限。结果是，一些真实告警并没有得到及时处理。比如，一条与红队在SCCM服务器上活动相关的告警，仅仅因为防御人员无法确认该系统归属哪个团队，就被当作误报搁置。

该咨询报告的核心结论是：检测工具的有效性完全取决于其背后的人和流程。CISA敦促关键基础设施运营方修复常见的Active Directory弱点，例如不受限制的Machine Account Quota和存在ESC1漏洞的证书模板；对服务账户和云账户强制执行凭据过期策略；并针对工作负载身份采用条件访问，以封堵应用权限方面的缺口。

同样重要的是，组织需要建立文档化的上报流程、实现跨团队可见性，并赋予分析人员足够的处置权限。因为B组织的成功关键在于快速分诊和果断隔离，而非任何单一安全产品。

参考来源：

CISA Red Team Breaches Critical Infrastructure to Reveal SOC and Cloud Security Gaps

CISA Red Team Breaches Critical Infrastructure to Reveal SOC and Cloud Security Gaps

推荐阅读

#

电报讨论

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：FreeBuf 《CISA红队攻破关键基础设施，SOC与云安全盲区全面暴露》