明确目标和范围
开始前先想清楚这次攻防演练到底是为了什么。是测试内部系统的抗压能力，还是检查新上线功能的安全性？比如公司刚换了新的登录系统，那就把重点放在身份验证环节的漏洞挖掘上。同时划定好边界，哪些系统能测，哪些绝对不能碰，避免误伤核心业务。
组建红蓝双方团队
红队负责模拟攻击，蓝队专注防守响应。人员可以从运维、安全、开发岗位中抽调，最好搭配一些对业务熟悉又有实战经验的人。比如让平时处理告警最多的安全工程师加入蓝队，他们更清楚哪些异常最容易被忽略。
准备测试环境
尽量搭建一个与生产环境一致的测试环境，包括网络结构、服务器配置和常用软件版本。如果资源有限，至少保证关键服务的镜像要准确。例如数据库用的是 MySQL 8.0，测试环境就不能用 5.7 版本凑合，否则可能出现漏报或误判。
配置监控和日志收集
确保所有目标主机都开启了系统日志，并将数据集中发送到 SIEM 平台。比如使用 ELK 或 Splunk 收集日志，方便后续分析攻击路径。防火墙、WAF 和主机上的 Agent 都要确认是否正常上报信息。
journalctl -u rsyslog.service --since \"1 hour ago\"这条命令可以快速查看最近一小时 rsyslog 的运行状态，排查日志中断问题。
制定规则和应急预案
提前约定攻击手段的限制，比如禁止物理破坏、社会工程学钓鱼等超出技术范畴的操作。同时设定熔断机制，一旦发现影响真实业务，立即暂停演练。曾有团队在测试时不小心触发了主数据库锁表，幸好有预案，五分钟内就切回备用链路。
工具和权限准备
红队需要准备好扫描器、代理工具和漏洞利用框架。常见的如 Nmap、Burp Suite、Metasploit 都应提前部署好。蓝队则需确保拥有足够的权限查看流量、修改策略和隔离可疑主机。
nmap -sS -p 1-65535 192.168.1.100这个命令用于全端口 SYN 扫描，帮助发现开放服务，常用于初期信息搜集阶段。
沟通机制建立
拉个临时群组，把红蓝双方负责人加进去，用于实时通报重大动作。比如红队准备发起勒索软件模拟传播前必须通知协调人，蓝队发现大规模横向移动也要及时预警。避免因信息不通导致误判为真实事件而启动正式应急流程。