红队通过模拟攻击来测试组织的防御能力。他们像攻击者一样思考，研究目标，找出弱点并加以利用。他们的目标并非破坏系统，而是为了了解如果真正的攻击者尝试攻击会发生什么。红队演练远不止渗透测试。渗透测试侧重于特定范围，而红队演练则模拟完整的攻击活动，通常持续数周或数月，包含多个阶段和目标。

红队使用与真实攻击者相同的工具和技术。他们会钓鱼员工、利用漏洞、提升权限并进行横向移动。他们测试的是检测和响应能力，而不仅仅是预防措施。如果红队能够悄无声息地入侵系统，则说明系统存在漏洞。如果红队能够及早发现漏洞，则说明防御措施得到了验证。这两种结果都很有用。这些发现有助于改进系统。红队演练需要明确的规则。客户需要定义演练范围、禁区以及出现问题时的应对措施。如果没有这些界限，红队演练可能会造成实际损失。有了这些界限，红队演练将成为组织最有价值的安全投资之一。

红队演练阶段

• 侦察——收集有关目标的信息
• 初始访问——找到进入途径
• 持久性——保持跨时间访问权限
• 特权升级——获得更高权利
• 横向移动——到达其他系统
• 目标——完成既定目标，通常是数据泄露。

红队不是敌人，而是你雇佣的对手，目的是在其他人发现你的弱点之前找到它们。