文章总结： 本文介绍了谷歌如何建立和运营内部红队的经验，强调红队需要从安全工程师和潜在对手两个视角思考问题，核心是通过引入对抗性视角挑战既有假设。文章讨论了红队的定义、讲故事的重要性、伙伴关系与协作以及如何维持健康团队，指出孤立的红队往往难以存活，红队的影响力来自于通过讲故事推动变革的能力。
综合评分： 78
文章分类： 红队,安全运营
谷歌红队负责人 – 建立并运营一支内部红队
原创
天御
天御攻防实验室
2025年11月22日 15:26
广东
本文基于谷歌历任红队负责人的演讲、博客和交流整理而成，本文从高级别视角介绍了谷歌如何建立和运营内部红队的经验。（本文为上篇，不会涉及具体的技术细节，比如如何模拟攻击者等）
备注：除了本文外，我们之前也介绍过谷歌在威胁情报、狩猎等方面的实践。
备注：读者朋友可以利用如下提示词设计一个建立和运营内部红队的计划。
“根据这份资料，如果你是XX红队负责人，设计一个建立和运营内部红队的完整计划”
今天会讲什么？
- 什么是红队？什么不是红队？ 不是教科书式的定义，而是重点讨论红队真正擅长、真正高效的场景，以及在什么情况下其他方式可能更合适。
- 讲故事：故事如何帮助我们评估风险并制定缓解措施，红队产生影响的核心要素之一：讲故事（Storytelling）来推动变革。
- 伙伴关系与协作：为什么孤立的红队会失败。大多数内部红队活不过第一年的主要原因——与组织内其他团队的关系处理。
- 维持一支健康的团队：如何建立并保持一支高效的团队
我们先从“什么是红队”开始。
安全圈在术语上很少能达成一致。 今天也不会改变这一点，这也不是我的目标。 但为了后面的讨论，我们需要一个共同的理解。
Google红队使命
其中最重要的词是“思考”。 我们希望团队在所有演练内外，都从两个视角看待遇到的每一件事： 第一，毫无疑问，作为谷歌安全工程师，职责是提升安全态势、保护用户和员工； 第二，同时以潜在对手的视角审视一切，寻找新的攻击向量。
如果回溯红队概念在军事领域的原始定义，这么想其实很自然。
“由受过训练的[…]团队成员执行的结构化、迭代流程，提供[…]一种独立的能力，用以在运营环境背景下持续挑战计划、运营、概念、组织和能力……”
这是军事领域对红队的定义，范围远比我们在安全领域使用的更广。
这也很合理——红队思维完全可以应用到各种领域。 仅在谷歌内部，除了我们，还有独立的物理安全红队、Android 红队等等。 我还见过把红队方法用于法律流程优化的组织。 核心始终不变：对你的关注领域引入对抗性视角，挑战既有假设。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：天御攻防实验室 天御《谷歌红队负责人 – 建立并运营一支内部红队》