攻防演练 | 如何做好一名优秀的蓝队（外网篇）
原文中文，约900字，阅读约需3分钟。
📝
内容提要
本文参考ATT&CK模型，分析攻击和防守的攻防演练，重点关注侦查、资源开发和初始访问三个模块，通过指纹识别找到异常流量和可能存在攻击行为的IP。
🔎
延伸解读
时间维度分析：识别批量扫描行为
攻击者使用工具收集资产时，往往在短时间内发起大量请求，指向不同域名。蓝队可通过态势感知、WAF等设备记录告警，并用Excel汇总分析。重点关注同一IP在短时间对同一站点或不同站点的大批量访问，这些异常流量模式是发现侦查行为的关键指标。
指纹维度分析：借助威胁情报发现代理池攻击
攻击者常使用IP代理池，以不同IP发起探测来规避检测。面对这种分散式攻击，蓝队可结合威胁情报，识别其中可能被标记为恶意或可疑的IP。即使单个IP请求量不大，但若其关联威胁情报，仍能有效发现攻击行为。
场景维度分析：关联整体访问场景发现异常
对于未被标记的纯净IP，蓝队需从整体场景关联入手。正常浏览器加载页面时会请求大量JS、CSS等框架文件，而非仅加载一个页面。若某个IP的访问请求与日常用户行为模式冲突，例如只请求单一页面而忽略静态资源，则可能为异常流量，需进一步排查。
❓
Q&A
攻防演练的主要考察内容是什么？
攻防演练主要考察攻击队的攻击能力和防守方的防御能力。
ATT&CK模型在攻防演练中如何应用？
ATT&CK模型用于分析侦查、资源开发和初始访问三个模块的攻击手法。
侦查阶段攻击者通常采用哪些方式收集信息？
攻击者通常通过主动和被动方式收集目标的子域名、指纹和供应链等信息。
如何通过时间纬度分析发现异常流量？
可以通过短时间内大量请求指向不同域名来发现异常流量，并进行统计分析。
指纹纬度分析在防守中有什么作用？
指纹纬度分析可以通过威胁情报识别可能存在攻击行为的IP，从而提高防守效率。
场景维度分析如何帮助识别攻击者？
场景维度分析关注异常流量与日常流量的冲突，帮助识别与正常行为不关联的流量。
🏷️
