简介这份PPT全景图面向网络安全从业者、红蓝对抗演练人员及企业安全架构师系统梳理红蓝攻防实战的完整推演框架与蓝方防御体系。内容覆盖攻击面与暴露面识别、边界突破与防护、横向渗透与区域控制、攻陷与强控等对抗阶段并围绕基础、强化、协同三层保护机制展开同时整合数字化资产关联、风险情报、安全能力三大基础库以及日常运营、一体化对抗、战略决策协同指挥等平台方案帮助读者建立从资产梳理到战时闭环防御的整体认知。资源为单个pptx文件压缩包约19.47MB以图文并茂的幻灯片形式呈现便于直接用于汇报、培训或方案参考。目前已有1515人学习下载适合需要快速掌握红蓝攻防全景推演逻辑、对标行业落地案例的安全团队与研究人员。1. 红蓝攻防全景图到底解决什么问题从一次应急演练复盘说起很多团队做完一次红蓝对抗报告写了八十页真到下一次演练蓝队还是不知道上次红队从哪条路径打进来的红队也说不清哪一招最有效。问题不在技术在于缺一张能把攻击链、防守面、时间线、责任田压到一页纸上的红蓝攻防实战全景图。它本质上是一份结构化的作战地图横向是攻击阶段侦察、初始访问、驻留、横向、外带纵向是防守能力资产、身份、流量、终端、日志、响应交叉点标注当前覆盖度、检测规则、责任人。适合谁用安全运营负责人、红队队长、蓝队分析师以及需要向管理层汇报演练价值的工程师。它不替代 SIEM也不替代 ATTCK 导航器而是把散落在各处的实战数据收拢成一张能开会、能排期、能验收的图。2. 全景图的数据从哪来ATTCK 映射与演练日志对齐2.1 为什么选 ATTCK 做骨架而不是自研分类自研分类最大的坑是“每次演练换一套说法”去年叫“外网打点”今年叫“边界突破”数据没法纵向对比。ATTCK 的战术Tactic和技术Technique编号稳定社区检测规则多红蓝双方都能对上话。常见做法是红队按 ATTCK 记录每次攻击用的技术 ID蓝队按同一套 ID 标注检测覆盖情况。这样全景图上的每个格子都有统一坐标不会出现“红队说打了蓝队说没看见”的扯皮。选型时注意两点一是 ATTCK 版本要锁定不同版本技术 ID 会增删建议在项目启动时把版本号写进全景图的元数据二是不要试图覆盖全部技术先聚焦本次演练涉及的 20 到 30 个高频技术否则图会大到没人看。2.2 从原始日志到全景图格子的三步对齐第一步红队提交攻击日志字段至少包含时间戳、源 IP、目标 IP、ATTCK 技术 ID、攻击结果成功/失败/部分成功。第二步蓝队提交检测日志字段包含时间戳、检测规则 ID、对应 ATTCK 技术 ID、告警级别、是否误报。第三步用时间窗口建议 5 分钟做关联把同一技术 ID 下的攻击与检测配对。下面是一个用 Python 做对齐的最小脚本输入两份 CSV输出每个技术 ID 的攻击次数、检测次数、漏检次数。import pandas as pd # 红队攻击日志columns [timestamp, src_ip, dst_ip, technique_id, result] red pd.read_csv(red_team_log.csv, parse_dates[timestamp]) # 蓝队检测日志columns [timestamp, rule_id, technique_id, severity, is_false_positive] blue pd.read_csv(blue_team_log.csv, parse_dates[timestamp]) # 只保留成功和部分成功的攻击失败攻击不计入覆盖度分母 red_effective red[red[result].isin([success, partial])] # 按技术 ID 聚合攻击次数 red_agg red_effective.groupby(technique_id).size().reset_index(nameattack_count) # 蓝队去掉误报后按技术 ID 聚合检测次数 blue_valid blue[blue[is_false_positive] False] blue_agg blue_valid.groupby(technique_id).size().reset_index(namedetect_count) # 外连接合并缺失填 0 merged pd.merge(red_agg, blue_agg, ontechnique_id, howouter).fillna(0) merged[miss_count] merged[attack_count] - merged[detect_count] merged[coverage] merged.apply( lambda r: r[detect_count] / r[attack_count] if r[attack_count] 0 else 0, axis1 ) print(merged.sort_values(coverage)) merged.to_csv(coverage_by_technique.csv, indexFalse)逻辑说明red_effective过滤掉失败攻击因为失败攻击不代表防守方漏检可能是攻击方自身问题。blue_valid去掉误报避免虚高覆盖度。coverage为 0 表示该技术完全没检测到是全景图上要标红的格子。参数方面时间窗口关联这里简化成按技术 ID 聚合实际项目中建议加pd.merge_asof做时间邻近匹配窗口设 300 秒因为红蓝日志时钟常有偏差。2.3 全景图的字段设计一张表说清每个格子对齐后的数据要落到一张宽表里字段建议如下字段名含义示例tactic战术阶段初始访问technique_idATTCK 技术编号T1566technique_name技术名称钓鱼attack_count攻击次数12detect_count检测次数3miss_count漏检次数9coverage覆盖率0.25owner责任人蓝队-张工rule_id检测规则编号R-1024status整改状态待修复这张表可以直接导入 Excel 或 BI 工具生成热力图。注意owner字段必须落实到人否则全景图就是一张没人认领的壁纸。3. 用 Python 把全景图渲染成可汇报的 PPTX3.1 python-pptx 的选型理由与最小依赖标题里带.pptx说明最终交付物是幻灯片。为什么不用手工做因为演练数据每周更新手工改图会疯。python-pptx能读写 PPTX支持表格、文本框、形状足够生成全景图页面。安装命令pip install python-pptx pandas openpyxl选型对比matplotlib出图再贴进 PPT 也行但表格和文字排版会失真python-pptx直接操作原生对象改起来方便。注意它不支持渲染只能生成所以复杂图形建议先用 matplotlib 存 PNG 再插入。3.2 生成全景图页面的完整脚本下面脚本读取上一节的coverage_by_technique.csv生成一页包含标题、热力表格、漏检 Top5 的 PPTX。from pptx import Presentation from pptx.util import Inches, Pt from pptx.dml.color import RGBColor import pandas as pd df pd.read_csv(coverage_by_technique.csv) df df.sort_values(coverage) prs Presentation() slide prs.slides.add_slide(prs.slide_layouts[6]) # 空白版式 # 标题 title_box slide.shapes.add_textbox(Inches(0.5), Inches(0.3), Inches(9), Inches(0.8)) title_frame title_box.text_frame title_frame.text 红蓝攻防实战全景图 - 检测覆盖热力 title_frame.paragraphs[0].font.size Pt(28) title_frame.paragraphs[0].font.bold True # 表格取前 15 行避免页面溢出 top df.head(15) rows, cols len(top) 1, 5 table_shape slide.shapes.add_table(rows, cols, Inches(0.5), Inches(1.3), Inches(9), Inches(0.4 * rows)) table table_shape.table headers [技术ID, 技术名称, 攻击次数, 检测次数, 覆盖率] for j, h in enumerate(headers): cell table.cell(0, j) cell.text h cell.text_frame.paragraphs[0].font.size Pt(12) cell.text_frame.paragraphs[0].font.bold True for i, (_, row) in enumerate(top.iterrows(), start1): values [row[technique_id], row[technique_name], str(int(row[attack_count])), str(int(row[detect_count])), f{row[coverage]:.0%}] for j, v in enumerate(values): cell table.cell(i, j) cell.text v cell.text_frame.paragraphs[0].font.size Pt(11) # 覆盖率低于 30% 标红底 if j 4 and row[coverage] 0.3: cell.fill.solid() cell.fill.fore_color.rgb RGBColor(0xFF, 0xC7, 0xCE) # 漏检 Top5 文本框 miss_top df.sort_values(miss_count, ascendingFalse).head(5) box slide.shapes.add_textbox(Inches(0.5), Inches(1.3 0.4 * rows 0.3), Inches(9), Inches(2)) tf box.text_frame tf.text 漏检 Top5 for _, row in miss_top.iterrows(): p tf.add_paragraph() p.text f{row[technique_id]} {row[technique_name]} 漏检 {int(row[miss_count])} 次 p.font.size Pt(12) prs.save(红蓝攻防实战全景图.pptx) print(生成完毕)逻辑说明slide_layouts[6]是空白版式避免默认占位符干扰。表格行数取前 15 行因为一页放太多行字会小到看不清。覆盖率低于 30% 的单元格填红色这是汇报时最抓眼球的信号。漏检 Top5 单独用文本框列在表格下方方便领导直接问“这几个为什么没检测到”。参数调整如果技术条目超过 15 个建议分页每页 15 行Inches数值按 16:9 页面调4:3 需要改宽度。3.3 把热力图和攻击链叠加到同一页光有表格不够直观实战汇报时经常要展示攻击链。做法是用 matplotlib 画一张横向攻击链图标注每个阶段的技术 ID 和覆盖率存成 PNG 后插入 PPTX。import matplotlib matplotlib.use(Agg) import matplotlib.pyplot as plt stages [侦察, 初始访问, 驻留, 横向移动, 外带] # 每个阶段的平均覆盖率实际从 df 按 tactic 分组计算 coverage_by_stage [0.8, 0.4, 0.6, 0.2, 0.5] fig, ax plt.subplots(figsize(10, 2)) colors [#2ecc71 if c 0.6 else #f39c12 if c 0.3 else #e74c3c for c in coverage_by_stage] ax.barh(stages, coverage_by_stage, colorcolors) ax.set_xlim(0, 1) ax.set_xlabel(检测覆盖率) for i, v in enumerate(coverage_by_stage): ax.text(v 0.02, i, f{v:.0%}, vacenter) plt.tight_layout() plt.savefig(attack_chain.png, dpi150)然后在 PPTX 脚本里加一行slide.shapes.add_picture(attack_chain.png, Inches(0.5), Inches(5), widthInches(9))。注意 matplotlib 中文字体需要提前设置否则中文会变方块常见做法是plt.rcParams[font.sans-serif] [SimHei]。4. 避坑与排查全景图项目里最容易翻车的五件事4.1 红蓝日志时间不同步导致关联全错现象对齐脚本跑出来覆盖率全是 0 或全是 100%明显不合理。原因红队机器和蓝队 SIEM 的时钟差了几分钟甚至几小时按时间窗口关联时全部错位。解决演练前强制 NTP 对时脚本里加一步检查——取两份日志的最小和最大时间戳如果偏差超过 60 秒就先告警。另外用pd.merge_asof时设tolerancepd.Timedelta(5min)超出容差的不匹配。4.2 ATTCK 技术 ID 填错导致统计失真现象某个技术攻击次数异常高点进去发现红队把 T1059命令执行和 T1059.001PowerShell混着填。原因红队成员对 ATTCK 子技术不熟随手填了父技术。解决演练前发一张常用技术对照表规定必须填到子技术级别脚本里加校验如果technique_id不在预定义列表里就报错并输出行号。4.3 python-pptx 表格行高不生效现象设了table.rows[i].height但生成的 PPT 里行高还是自动撑开。原因python-pptx 的行高受单元格内容字体大小影响且部分 PPT 模板会覆盖。解决同时设置cell.text_frame.paragraphs[0].font.size和table.rows[i].height并且把cell.margin_top、cell.margin_bottom设为 0。如果还不行减少每页行数用分页代替压缩。4.4 覆盖率分母把失败攻击算进去现象蓝队明明检测到了覆盖率却很低。原因红队失败攻击也计入了attack_count而蓝队没告警是因为攻击根本没成功。解决分母只算成功和部分成功的攻击失败攻击单独统计为“攻击方自身失败”不纳入防守覆盖度。这个口径要在演练启动会上和红蓝双方确认避免事后扯皮。4.5 全景图更新后没人认领整改项现象图做得很漂亮漏检格子标了红但下次演练同样的技术还是漏。原因owner字段空着或写了“安全部”没有具体人。解决每个漏检格子必须指定一名责任人并在全景图页面底部加一行“整改截止日期”。脚本里可以加校验如果coverage 0.3且owner为空生成时抛异常强制填写。5. 进阶技巧用增量对比和自动化流水线让全景图活起来全景图最大的价值不是某一次的静态快照而是两次演练之间的增量对比。我一般会在脚本里加一个baseline.csv存上一次的覆盖率这次生成时自动计算每个技术的覆盖率变化上升标绿、下降标红。这样汇报时一句话就能说清“这次演练相比上次横向移动覆盖率从 20% 提到 45%但外带阶段掉了 10 个百分点原因是新增了一条外带通道没加检测规则。”具体做法是在对齐脚本后追加一段baseline pd.read_csv(baseline.csv)[[technique_id, coverage]] baseline baseline.rename(columns{coverage: coverage_last}) merged pd.merge(merged, baseline, ontechnique_id, howleft) merged[coverage_last] merged[coverage_last].fillna(0) merged[delta] merged[coverage] - merged[coverage_last] merged.to_csv(baseline.csv, indexFalse) # 覆盖为下次基线然后在 PPTX 里加一列“环比变化”用箭头或正负号表示。注意baseline.csv每次生成后要覆盖但建议保留历史版本命名带日期方便回溯。另一个技巧是把整个流程串成一条命令用make或 shell 脚本一键跑完拉取日志、对齐、生成 PPTX、发邮件。我自己的习惯是每周五下午自动跑一次周一早上直接看结果。这样全景图不会变成“演练结束才做一次”的摆设而是持续反映防守水位。踩过的坑有一次基线文件被误删导致环比全变成 100% 增长汇报时差点闹笑话。后来我加了校验——如果baseline.csv不存在或行数为 0脚本直接退出并提示“基线缺失请先跑一次全量生成”。这个后悔药成本很低但能避免尴尬。最后说一个验证方法拿生成的 PPTX 随机抽三个技术 ID手工去原始日志里数一遍攻击次数和检测次数和表格对不上就说明对齐逻辑有问题。我一般抽覆盖率最低和最高的各一个再加一个中间的十分钟能验完。希望帮到你。本文还有配套的精品资源点击获取