网络攻防技战法怎么写

写网络攻防技战法，网络最容易踩的攻防坑是把“战法”写成产品说明书。我见过一份材料，技战通篇讲防火墙吞吐量、法写IDS规则库数量，网络最后附了张拓扑图。攻防评审专家翻了两页就放下了——这玩意儿跟攻防有什么关系？技战

战法要解决的是“怎么打”的问题。攻击方怎么找突破口，法写防守方怎么布陷阱，网络双方在具体场景里怎么过招。攻防技术是技战弹药，战法是法写打法。

先锁定一个具体场景

别一上来就写“APT攻击防御战法”。网络范围太大，攻防写出来全是技战原则。挑一个能说清楚的点：比如“针对OA系统弱口令的暴力破解攻防”，或者“利用钓鱼邮件投递宏病毒的拦截与反制”。场景越小，战法越实。

我参与过一次红蓝对抗复盘。蓝队写“加强边界防护”，红队写“突破边界”。这种写法等于没写。后来改成“红队利用VPN设备未修复的CVE-2023-XXXX，在凌晨2点发起隧道穿透，蓝队通过NetFlow异常流量基线在17分钟后告警”。这才叫战法——有具体入口、具体时间窗口、具体检测手段。

攻击链要拆到动作级

写攻击战法，别停在“信息收集”这种阶段名称上。信息收集怎么收？用FOFA搜什么语法？用Google Hacking找什么文件？拿到什么算有效？这些动作写出来，别人才知道你不是抄的MITRE ATT&CK框架。

防守战法同理。“监测”两个字没有信息量。监测什么？在哪个节点监测？用什么规则？告警后几分钟内做什么？我习惯用“如果……就……”的句式：如果EDR上报某进程调用CreateRemoteThread，就自动隔离该终端并抓取内存镜像。这种写法直接能落地。

把对抗过程写出来

战法的核心是“对抗”。单方面写攻击步骤或防守配置，那是教程，不是战法。要写红队出招、蓝队接招、红队变招、蓝队再应的循环。

举个例子。红队用Cobalt Strike的Beacon回连，蓝队封了C2域名。红队换成域前置，蓝队上JA3指纹检测。红队改用Malleable C2 Profile伪装成正常流量，蓝队开始做流量基线偏离告警。这种你来我往的细节，才是评审想看的。

写的时候注意时间线。几点几分红队做了什么，蓝队几点几分发现，中间差了多少。这个时间差就是战法的价值——缩短它，或者利用它。

技术细节要经得起追问

别写“使用机器学习检测异常”。用什么模型？特征怎么选的？误报率多少？在什么数据上训练的？评审专家里真有搞算法的，一问就露馅。

我写战法时习惯附上具体命令或配置片段。比如写“利用Windows计划任务做持久化”，就贴出schtasks的完整参数；写“检测计划任务异常创建”，就给出Sysmon Event ID 4698的筛选条件。能复制粘贴去验证的东西，比形容词有说服力。

最后收在效果上

战法写完，得说清楚打完之后怎么样。攻击战法写“拿到域控权限，控制时长4小时未被发现”。防守战法写“将平均检测时间从43分钟压到6分钟，误报率控制在3%以下”。没有效果数据，前面写得再花哨也是纸上谈兵。

写战法不是写论文，不用追求面面俱到。把一个场景打穿打透，比泛泛覆盖十个场景有价值。评审专家看的是你懂不懂实战，不是看你背了多少术语。