1.4 红队、蓝队与紫队：三种角色的语言对齐

1.4 红队、蓝队与紫队

本节摘要：同一款演练平台，在红队嘴里是"调度台"，在蓝队嘴里是"靶标形态"，在紫队报告里是"共同参照物"。本节拆解三个角色的职责、证据要求与术语体系，给出一张对照表，让后续章节无论站在哪个镜头讲，你都能实时换算成自己的语言。

复盘会上的鸡同鸭讲

一次演练收尾会上，红队负责人说："我们在第三天完成了域内落点，全程无告警。"蓝队负责人反驳："我们当天处理过一条可疑外联，研判为误报。"双方都没说谎，但报告没法合并——红队说的是动作，蓝队说的是信号，两边时间轴对不上，术语也对不上。这类会议开过几轮，行业才慢慢形成了"紫队"这个词：不是第三支队伍，而是一种把攻防两侧证据放进同一张时间轴的工作方式。本节的任务，就是把三个角色的语言先对齐，后面四章才能少开几次这样的会。

三个角色，三种证据观

红队是演练的施压方，产出的是动作记录：什么时间、在授权范围内、执行了什么动作、达成了什么效果。它对证据的要求是可复现——每个动作都能追溯到任务指令与授权条款。蓝队是防御方，产出的是信号记录：告警、日志、研判结论、处置动作。它对证据的要求是可追溯——每条结论都能下钻到原始日志。紫队不是编制上的第三队，而是一套协作流程：演练中实时交换（而非事后补交）观测数据，把"红队做了什么"与"蓝队看见了什么"逐条对齐，差异点就是检测盲区。

图 1-3 三个角色的职责与证据流

术语对照表：把"同一件事"翻译三遍

后续章节会在红蓝两个镜头间切换，这张表是全书的"翻译词典"。左列是动作事实，中列是红队语境下的说法，右列是蓝队语境下的说法。

读表的正确姿势不是背，而是每次读到动作用右列自检："这个动作，我的监控面上会出现什么？"如果答案是"什么都不会"，那正是本书要帮你补的盲区。第 3 章起，每讲一个通信机理，都会在节内给出一栏"蓝队对照"，用的就是这张表的换算关系。

表格之外，三个角色对"时间"的态度差异也值得一提——这是新人最容易踩的隐形差异。红队的时间颗粒是"窗口"：动作按授权时间窗排布，停火即一切静止。蓝队的时间颗粒是"节拍"：值守按班次轮转，告警按到达顺序处理，下班不看盘是常态而不是失职。紫队流程的时间颗粒是"对齐点"：双方约定固定的核对时刻（比如每日收工），把动作流与信号流在时间轴上并盘。三种颗粒没有对错，但如果事先不约定对齐点，红队会觉得蓝队反应迟缓，蓝队会觉得红队动作鬼祟——互相的冤枉都来自颗粒差异，而不是态度。演练方案里写明对齐点，是成本最低的和解。

为什么对齐语言本身就是安全能力

很多机构把演练做成"红队表演、蓝队补漏"的两条平行线，根因就是语言不通：动作记录进不了检测工程，告警数据进不了演练复盘。紫队流程的核心贡献，是把两条线拧成检测工程的需求来源——每个未被告警覆盖的红队动作，都自动变成一条检测需求；每个误报告警，都自动变成一次规则调优。演练的价值因此从"发现若干漏洞"升级为"产出一份带优先级的检测改进清单"。这个思路会贯穿第 4 章：那里的两个复盘案例，本质上就是紫队流程在真实工作流中的样子。

一份最小可行的对齐记录

语言对齐落到实处，就是一张持续维护的对照表。演练期间，紫队协调人（或兼任者）在每个工作日收工前填一小节，字段不多，贵在坚持：

日期        红队动作摘要         蓝队可见信号        对齐结论
第2日      建立会话并取件       无                  盲区D1 边界无告警
第3日      横向试探一台主机     内部流量基线偏差     弱覆盖 告警未触发
第3日      凭据采集动作         端点敏感访问告警     命中 14分钟内响应
第4日      切换通信通道         无                  盲区D2 协议突变未检出
​

四列里最值钱的是第四列：每行都以"盲区、弱覆盖、命中"三者之一收尾，演练结束时这张表就是检测能力的体检报告。把它和 5.7 节的改进项跟踪表对接，"对齐结论"列自动变成改进项的来源。行业里的紫队报告动辄几十页，其实最有生命力的就是这张朴素表格——它能在下一次演练立项时直接拿出来核对"上次的盲区补上了没有"。

对齐记录还有一个容易被忽略的副产品：校准双方对"成功"的定义。红队以"拿到什么"论英雄，蓝队以"看见什么"论英雄，两个定义不加对齐就会各自膨胀。对齐表迫使双方用同一把尺子——某动作值不值得做，取决于它能否带来新的对齐结论，而不是能否让某一方更有面子。这个微妙的价值观转变，是紫队流程对团队文化的最大改造。

常见疑问

问：小团队没有专职红队，怎么实践紫队流程？
规模不是门槛，流程才是。哪怕只有一名安全工程师，也可以在授权测试后强制自己回答两个问题："我做的每个动作，现有监控产生了哪些信号""哪些动作完全没有信号"。把答案写成表格存档，就是最简版的紫队记录。第 5.7 节的报告规范会给出这份表格的标准骨架。

问：紫队会不会让蓝队"提前知道答案"，失去检验意义？
要看演练目标。如果目标是"考核蓝队的独立响应能力"，那就该双盲，紫队流程退到事后复盘；如果目标是"建设检测能力"，实时对齐反而效率最高。两种目标都合法，关键是在演练立项时就写明选择，别把考核型演练按建设型来带节奏——这是第 5 章交战规则要固定下来的条款之一。

问：角色会不会冲突——同一个人既当红队又当蓝队？
机构太小的时候难免，但要立两条防线。防线一是时序分离：先以蓝队身份把现有检测能力如实记录成"已知防线清单"，再切换红队身份行动，行动结束后对照清单做紫队对齐——顺序不能反，反了就先入为主。防线二是记录分离：两个身份各自的工作记录分开存放，复盘时并排呈现，让"我测了什么"与"我看见了什么"像两个团队一样对账。一个人的两个角色，用纪律做出两个视角。