与监控与蓝队协同
与监控和蓝队协同，是把测试的另一半价值挖出来：一次渗透测试不仅能产出漏洞清单，还能顺便验证检测规则是否有效、有哪些盲区。做法是与蓝队共享测试计划摘要（目标范围与关键时间点，不必透露具体攻击手法）和测试源 IP，让防守方在日志中标注测试流量、验证告警规则、记录测试动作是否被检出。纪律上有两条：高危动作提前打招呼，防守方只记录不阻断；测试结束后联合复盘检测覆盖与盲区。同时不要把检测规则细节反向同步给测试方，否则检测有效性验证就失去意义。
基本信息
| 共享内容 | 测试计划摘要（范围与时间点）+ 测试源 IP |
|---|---|
| 不共享内容 | 具体攻击手法与绕过思路 |
| 防守方动作 | 记录测试流量、验证规则、不自动阻断 |
| 沟通节奏 | 每日计划要点 + 高危动作提前打招呼 |
| 收尾 | 联合复盘检测覆盖与盲区 |
典型使用场景
- 检验检测能力：验证现有告警规则能否发现约定类型的动作
- 减少误报处置：让值班人员知道哪些流量属于测试
- 排查盲区：发现哪些攻击路径未被任何规则覆盖
- 提升协同效率：避免触发事件响应流程浪费双方资源
- 管理预期：让管理层了解测试期间不会出现无关告警
协同节奏
协同节奏
每日：测试方发当日计划要点
# 发现被误封：报备 IP 核对并解封
# 高危动作：提前打招呼，防守方只记录不阻断
# 测试结束：联合复盘检测覆盖与盲区
# 注意：不向测试方透露规则细节，保留验证意义同步内容与边界
| 内容 | 是否同步 | 原因 |
|---|---|---|
| 测试目标范围 | 同步 | 让防守方区分测试流量 |
| 关键时间点 | 同步 | 便于值班标注与观察 |
| 测试源 IP | 同步 | 避免误封与误报处置 |
| 具体攻击手法 | 不同步 | 保留检测有效性验证的意义 |
| 检测规则细节 | 不同步 | 防止测试方针对规则做规避 |
| 检测结果与盲区 | 复盘时共享 | 共同改进规则覆盖 |
好的协同让一次测试产出两份价值：漏洞清单与检测能力评估。前提是双方都清楚哪些信息该同步、哪些要保留。
对蓝队完全保密会触发事件响应、浪费双方资源；反过来同步了详细攻击手法，又会失去检测有效性验证的意义。