第3章：角色分工与职责 —— 红队、蓝队、观察员、管理层职责清单
3.1 适用场景
本章适用于所有参与《数据泄露场景模拟》的团队与人员。在演练启动前，必须明确各角色的职责边界、协作关系以及汇报链路，避免在模拟过程中出现职责重叠、指令冲突或响应真空。本职责清单适用于红蓝对抗、桌面推演及技术渗透演练三类主要场景。
3.2 前置条件
- 已完成《模拟场景定义》(第2章)并对本场演练目标、范围、约束达成一致。
- 参与者名单已通过管理层审批，具备参与演练的授权。
- 每位参与者已选定所属角色组（红队 / 蓝队 / 观察员 / 管理层），不可兼职。
- 所有参与者已签署《数据泄露模拟保密承诺书》及《行为守则》。
3.3 角色定义与职责说明
核心原则：红队负责攻击（模拟威胁），蓝队负责防御（处理威胁），观察员负责记录（中立评估），管理层负责决策（资源与风险平衡）。四角色之间严禁信息单向泄露。
3.3.1 红队职责
- 攻击策划：基于第2章明确的攻击剧情，制定具体的攻击时间线、技术路径及Payload策略。
- 执行模拟攻击：在授权范围内，使用批准的工具集发起攻击（如钓鱼邮件、Web漏洞利用、横向移动）。
- 日志与证据留存：所有攻击操作的开始/结束时间、工具版本、IP地址、操作截图必须本地留存，供复盘使用。
- 攻防边界遵守：不得攻击生产系统、不得破坏非授权数据、不得向蓝队或管理层透露攻击细节。
3.3.2 蓝队职责
- 监控与检测：在模拟期间保持对安全设备（SIEM、EDR、NTA）的实时监控，记录告警时间与处置动作。
- 事件响应：依据组织《安全事件响应SOP》执行分析、抑制、消除、恢复四个阶段。
- 汇报与升级：发现可疑事件或确认数据泄露时，按预设等级向管理层通报，记录通报时间与接收人。
- 反制记录：所有拦截、封禁、取证操作必须形成时间戳日志，供观察员验证。
3.3.3 观察员职责
- 中立记录：全程旁听/旁看所有关键操作节点，但不对任何红队或蓝队动作进行提示或干预。
- 时间线校准：记录红队攻击触发时间、蓝队首次告警时间、首次遏制时间等关键时间点。
- 行为合规审查：判断红队是否超出攻击授权范围，蓝队是否遗漏高危告警。
- 产出物：完成《红蓝行为观察日志》《演练时间线对照表》《偏离剧本记录表》。
3.3.4 管理层职责
- 资源授权：审批演练所需的模拟环境、工具、网络带宽与人力资源。
- 风险决策：在演练中如出现计划外风险（如真实攻击混杂、生产系统误触），立即行使停止权。
- 验收判定：演练结束后，依据观察员报告与蓝队响应效果，判定本次演练是否通过验收。
- 复盘发起：指定复盘主持人，并确认改进项责任人。
提示：管理层不参与攻防操作的具体指令或技术讨论，仅在决策节点出现。
3.4 角色职责矩阵（输入 / 输出 / 责任边界）
| 角色 | 主要输入 | 主要输出 | 责任边界（不可越界行为） |
|---|---|---|---|
| 红队 | 攻击剧情脚本、授权工具链、模拟环境访问凭证 | 攻击操作日志、攻破证据截图、攻击成功/失败统计 | 不得直接联系蓝队成员、不得泄露攻击手法给管理层 |
| 蓝队 | 安全监控告警、事件响应SOP、威胁情报源 | 事件响应报告、根因分析矩阵、遏制时间线 | 不得主动向红队打探攻击手段、不得删除告警日志 |
| 观察员 | 实时通讯流（旁路监听）、攻防双方日志副本 | 观察日志、时间线对照表、违规行为记录 | 不得向任何一方提供战术建议或提前通知 |
| 管理层 | 观察员阶段性简报、蓝队升级通报、红队进度汇总（脱敏） | 演练继续/中止/变更决策、验收结论、改进项派遣 | 不得直接指挥攻防操作细节、不得影响观察员中立性 |
3.5 操作步骤与所需记录材料
步骤1：角色确认与工卡颁发
- 每位参与者签署《角色确认函》，明确本人所属角色与备份人选。
- 观察员向每位参与者颁发带有角色标识的电子工卡。
步骤2：职责说明书确认
- 每组推选一名联络人，阅读并确认本章职责清单。
- 联络人签字，留档至观察员处。
步骤3：通讯隔离与环境检查
- 红队使用独立通讯频道（如 Signal 群组），蓝队使用组织内部即时通讯（如 Teams）。
- 观察员与管理层共用观察频道，仅做状态同步。
- 检查所有日志记录设备（屏幕录像、日志采集探针）是否运行正常。
步骤4：初始状态记录
- 蓝队截图当前安全告警控制台状态、基线流量视图。
- 红队确认攻击环境快照已就绪。
所需记录材料清单：
1. 角色确认函（每参与者一份，签字版）
2. 角色工卡（电子化，每人一张）
3. 通讯频道分配表（群名、成员、角色标记）
4. 蓝队初始状态截图（与演练结束时的对比基线）
5. 观察员初始时间线记录表（空表，待填）3.6 异常处理
| 异常场景 | 处理动作 | 负责人 |
|---|---|---|
| 参与者临时退场 | 由备份人选接替，观察员在日志中标注角色变更时间点 | 管理层 + 观察员 |
| 红队/蓝队操作脱离剧本 | 观察员标记偏离，管理层介入评估是否停止演练 | 管理层 |
| 通讯频道串线或泄密 | 立即销毁该频道，切换备用频道；涉事人员留档 | 观察员执行，管理层审批 |
| 角色间职责争议 | 以本职责清单为准；清单未覆盖的，由管理层单次裁决 | 管理层 |
3.7 验收标准
- 所有参与者已明确本角色职责并签署角色确认函。✅
- 通讯隔离方案已生效，观察员可无干扰监听所有关键通信。✅
- 红队、蓝队、观察员均有独立的日志/记录通道，互不交叉。✅
- 管理层知晓演练中自己的决策节点与权力边界。✅
3.8 本章角色协作关系 SVG
3.9 本章交付物
- 已签署的《角色确认函》合集（观察员归档）。
- 《通讯频道分配表》（观察员维护）。
- 蓝队初始状态基线截图（蓝队队长归档，副本交观察员）。
- 《观察员初始时间线记录表》（空表，观察员持有）。