5.2 交战规则与停火机制
5.2 交战规则与停火机制
本节摘要：授权书写定边界，交战规则管理过程。本节讲演练进行中的三套控制机制：动作分级（什么动作要提前报备）、范围锁定（技术上如何保证不越界）、停火与恢复（叫停之后按什么流程重启）。目标只有一个：让"失控"在机制上不可能发生，而不是靠自觉。
规则要写到"可直接执行"的颗粒度
交战规则（ROE）最常见的失败形态是写成了口号——"保持克制、避免影响业务"。口号无法执行，执行需要的是对动作的分类与对应程序。行业通行的做法是三级动作制：一级动作（纯观测、无副作用）自由执行；二级动作（对目标系统有轻微写入或可能触发告警）按约定频次汇总报备；三级动作（可能影响业务连续性或触碰敏感数据）逐项事前申请，书面批准后方可执行。三级制的精髓是把审批成本按风险分配：大部分动作零审批成本，高风险动作零侥幸空间。
用第 2、4 章的技术词汇把三级落地：一级如流量观测与公开信息核对；二级如建立会话后的信息收集类任务；三级如任何涉及凭据变更、服务重启、或 4.3 节对表清单里"借体类"执行的验证动作。技术团队会发现自己的日常动作天然就能归级——归级表应该由红蓝双方共同评审，避免单方定义。
范围锁定：把条款翻译成技术
授权书的范围条款是文字，交战规则要把它翻译成技术上的不可能越界。四道锁。第一道锁是目标清单硬编码：演练基础设施只对清单内目标开放作业权限，清单外地址在工具层面不可选——第 2.1 节讲过服务器是状态中枢，中枢上做清单校验，一处配置全局生效。第二道锁是网络层隔离：演练作业网段与生产网段之间的路由按清单配置，出向按 2.3 节的通道分析预留白名单，物理上不走其他路径。第三道锁是时钟窗控制：作业时段与授权时间窗自动比对，窗外的作业请求被基础设施直接拒绝。第四道锁是席位权限：不同成员按 5.5 节的席位分工持有不同操作权限，三级动作的执行权限只授予少数席位。
四道锁的共同设计哲学：不依赖记忆与自觉，依赖架构。人是会疲劳会疏忽的，凌晨三点的越界动作不会因为操作员"本应记得"而不发生。治理工程师的思维方式与安全工程师同构——假设每个环节都会出错，然后用架构兜底。
停火机制：叫停之后发生什么
停火是整个规则体系里唯一必须"慢设计"的机制——因为触发它的时刻必然是混乱时刻。一份合格的停火条款要预先回答五个问题。谁能叫停：双方联系人无条件叫停权，任何一线成员发现风险可向本方联系人提请。怎么叫停：一个双方都认识的一致信号（专用的消息关键词加电话确认），禁止含糊的表述。叫停后技术状态是什么：所有会话进入静默（不再执行新任务，仅维持可观测），基础设施冻结变更。如何恢复：双方联系人口头确认后，执行方书面复述当前状态与恢复计划，委托方书面放行——恢复比叫停更慎重，因为恢复意味着"我们确认理解了刚才发生了什么"。谁记录全过程：停火与恢复的全部动作进事件流留痕，成为复盘的一手材料。
值得展开的是"停火后的技术状态"这条。行业早期发生过这样的事故：叫停指令下达后，执行方撤出了工具，但已建立的会话还留在目标主机上——它们会继续按 2.4 节的节律回连，被委托方的监控当作新的入侵报告，二次虚惊。停火条款因此必须明确：会话侧的静默由谁确认、以什么证据确认（通常以基础设施侧的会话清单与目标侧的观测对账为准）。这个细节是"机理知识反哺治理条款"的典型例证——不懂心跳机理的人写不出这条条款。
规则的例外处理：升级路径
规则再细也会遇到"规则没说怎么办"的时刻。此时唯一正确的动作是停下来走升级：向本方联系人报告，由双方联系人协商补充约定，书面补充后再继续。行业里用一句口诀教新人："没写的就是不让做。"这句口诀看起来保守，实则保护所有人——执行者不会因临场发挥陷入责任泥潭，委托方不会为未授权的动作承担后果。升级路径的响应时效本身要写进规则：联系人多长时间内必须响应，超时未响应按什么默认动作处理（通常是继续等待而非自行判断）——连升级机制自己都要有兜底，这才是治理的彻底性。
把规则做成一张随身卡
交战规则的最终形态不是一份长文档，而是一张每个作业成员随时能查的速查卡。卡片把本节的三套机制压进一页：动作归级表（常见动作各属几级、各级的审批口）、四道锁的状态（本次演练各锁的配置值）、停火五问的答案（谁能叫、怎么叫、停后状态、怎么恢复、谁记录）。下面是卡片骨架：
交战速查卡 骨架 动作归级 一级 清单…… 二级 清单…… 三级 清单…… 审批口 一级 免审 二级 指挥席位汇总报备 三级 双方书面 范围四锁 目标清单 锁定值…… 网络隔离 配置值…… 时钟窗 窗口值…… 席位权限 分配表…… 停火五问 谁…… 信号…… 停后…… 恢复…… 记录…… 升级路径 报告本方联系人 响应时效…… 超时默认……
卡片在演练启动会上逐人确认签字，执行期间贴在作业环境里。别小看这张卡的治理意义：多数违规不是因为规则缺失，而是因为规则躺在文档库里而作业者手边没有。治理工程师的最后一公里，是把规则送到动作发生的地方——这与蓝队把分诊文档贴到告警工单里是同一种手艺。
常见疑问
问：三级审批会不会把演练拖慢到失去意义？
分级的意义恰恰是让审批成本集中在真正高风险的动作上。行业经验是：一级动作占绝大多数，三级动作在多数演练里不足少数。如果一次演练的三级动作占比异常地高，那不是审批太慢，是技术方案与授权范围错配——方案要改，而不是审批要松。
问：双盲演练里，蓝队不知道演练，停火机制还怎么运作？
委托方侧仍然有知情人——通常是安全负责人或演练管理委员会。停火信号的接收方是委托方联系人而非蓝队值守，这要求委托方内部把"演练知情人"与"被考核对象"严格分开。这也是 5.1 节联系人条款必须写明个人而非角色的原因：组织角色可以轮换，停火电话必须始终有人接。
问：演练中委托方业务出了真实故障，怎么区分是谁的责任？
这正是停火条款之外还要有一份"事件归因程序"的原因。约定好的归因流程是：先停火、再归因、后恢复——故障发生时无论怀疑谁，第一步都是行使叫停权让双方动作冻结，然后凭双方的事件流与变更记录比对时间轴，多数情况下归因一目了然。跳过"先停火"直接争论责任，是这类纠纷升级成对抗的常见起点。条款提前写好"冻结优先于定责"，双方在慌乱时刻才有台阶下。