蓝队复盘：一次护网演练里，我们怎么反制红队

原创

奋斗的小浪
奋斗的小浪

船山信安

2026年10月30日 00:00
湖南

去阅读

防守视角 · BLUETEAM

蓝队复盘：一次护网演练里，我们怎么反制红队

红队视角写多了，换蓝队。复盘一次护网演练：我们怎么发现、溯源、反制，以及给防守者的清单。

防守不是堆设备，是把「看到、判明、处置」这三件事做快。

本文为蓝队防守复盘与能力建设分享，不含任何攻击性利用内容。

0101 监测：先能「看到」

反制的前提是看见。集中日志 + EDR + 网络流量，三者缺一个就盲人摸象。我们先把资产、账号、外联做成基线，异常才有参照。

1日志集中：把认证、进程、网络流统一收。

2EDR：端点上的进程链与脚本行为。

3外联基线：哪些 IP / 域名是正常业务。

基线是蓝队的眼睛。没有「正常长什么样」，就不可能认出「异常长什么样」。这步偷懒，后面全盲。

一个常被忽视的点：告警疲劳。规则太多、噪音太大，真正可疑的一条会被淹没。所以监测不是「能采多少采多少」，而是「能分清主次」——先保住认证、权限变更、外联这三类高频高危信号不漏，再逐步补充。

0202 溯源：把攻击画成画像

发现可疑后，按「时间线 + 攻击链」还原：从哪进、做了什么、用了什么、去了哪。MITRE ATT&CK 是最好的通用语言。

用 ATT&CK 给发现的行为贴标签（示意）

T1595 主动侦察 -> T1110 暴力破解 -> T1021 远程服务

溯源不是为了「指认对手」，而是为了「知道他在哪一步被我们看见了」——这决定了封堵点选在哪。

0303 反制：封堵与诱导

反制不是「以攻对攻」，而是合法合规地切断对方路径：封 IP、改凭据、关暴露面，必要时用蜜罐把对方引到隔离区观察。

蜜罐的价值不在「抓住谁」，而在「多争取一段观察窗口」——看对手下一步往哪走，反过来补自己的盲区。

0404 复盘：把一次事件变成能力

演练结束开复盘会：哪一步发现太慢、哪条告警被忽略、哪个加固没落地。输出三张清单——已修、待修、长期建设。

最贵的复盘是「下次又犯同一个错」。所以清单要有人跟、有期限、有复测，否则只是一次热闹的会议。

0505 给防守者的清单

1资产与暴露面先盘清，不知道的资产一定先出事。

2认证多因素 + 最小权限，断掉大部分横向。

3日志能集中、能告警、能回溯，否则看见也来不及。

4定期演练，让蓝队也跑一遍真实压力。

蓝队最强的不是工具，是「把每次被攻破都变成下一次更早发现的经验」的能力。

参考来源

MITRE ATT&CK — 防御视角 (Defend)

NIST SP 800-61 — 计算机安全事件处理指南

OWASP — 安全运维与监控

本文为蓝队防守复盘与能力建设分享，不含任何攻击性利用内容；所有反制动作均指在授权演练内的合规处置。