2. 无赖式防守——\"有事找我们乙方去\"

典型表现： 不正面回应资产归属问题，以各种理由耍赖绕过单位责任人认定和漏洞认定。最常见的甩锅话术包括：

• • \"这个系统是第三方公司开发的，出了事我们也不清楚。\"
• • \"我们的运维是外包的，这个漏洞应该算在外包公司头上。\"
• • \"系统是几年前项目遗留的，现在没人维护，不该算我们的分。\"
• • \"域名确实在我们名下，但服务器不是我们的。\"

本质： 把责任推干净，漏洞本身却无人整改。

3. 先知型防守——演习前三天\"恰好\"注销备案

典型表现： 演习即将开始的前几天，某些单位\"恰好\"依法依规地注销了备案主体。域名还在，系统还在跑，但备案信息没了，查无可查，追溯无门。

有意思的地方： 操作本身完全合法合规，时间节点却\"恰好\"卡在演习前。这种情况，你懂的。

4. 碟中谍式防守——\"'无意中'恰好知道了红队IP\"

典型表现： 防守方\"无意中\"获取了红队全队的精确攻击IP地址，提前封堵。至于怎么获取的——\"巧合\"，\"我们自己分析出来的\"，\"我们威胁情报能力比较强\"。

值得注意的是： 真正技术能力强的防守单位完全可以通过流量分析和威胁情报合理溯源红队IP，这无可厚非。但某些单位的\"先知先觉\"程度，让人不得不怀疑公安部一所三所的演习指挥部是不是也存在信息泄露。

5. 一个完整的资产归属认定实战流程（SOP）

遇到嘴硬式防守时，按以下步骤操作，逐步升级证据强度：

第一层（纯外部、零触碰）：
├── ICP备案查询 → 主办单位名称
├── SSL证书查询（crt.sh）→ 组织名称
├── 工商信息查询 → 股权穿透、注册地址、高管关联
├── 公众号/小程序认证主体查询
└── 页面内容特征收集（版权信息、联系方式）

第二层（被动信息收集）：
├── Shodan/Fofa/Censys 资产扩展
├── DNS历史记录查询
├──  GitHub/Gitee 敏感信息搜索
├──  APP反编译/小程序解包
└──  社工库交叉比对（姓名、手机、邮箱）

第三层（获得权限后，低调取证）：
├── 服务器上的配置文件（数据库连接串、API密钥中的项目名）
├── 内部文档（加盖公章的PDF、内部通知、通讯录）
├── 内网拓扑信息（hosts文件、known_hosts、VPN配置）
├── 日志中的内部域名和IP段调用关系
└── 取证级截图（包含系统时间、URL、页面内容、关联证据的完整截图）

关键提醒： 第三层的操作必须低调。一旦触发防守方的告警，他们可能会在被通报前删除证据、关停服务，让你的取证工作功亏一篑。拿到证据 → 截图存证 → 再考虑下一步动作。

三、放平心态——HVV的本质和你真正该关注的事

认清现实：HVV正在变成一种形式主义

说实话，现在很多HVV演习已经逐渐变成一种形式主义。上面检查、下面应付，一套表演下来，漏洞还是那些漏洞，该烂的地方继续烂。

遇到嘴硬无赖、先知碟中谍的防守方，你的红队体验会非常难受。明明技术层面已经完成了漂亮的渗透和证据链闭环，但到了认定环节，对方一通操作下来，你的战果被砍掉大半。

这时候，放平心态。

你参加HVV不是为了跟某个单位的网络安全负责人斗气。你的目的是什么？是提升自己的技术能力，积累实战经验，看清行业格局，为自己的职业发展铺路。

HVV的本质是什么？