红蓝对抗本地靶场网络、凭据和样本必须隔离本地靶场的目标是验证检测和响应不是把攻击工具带进日常办公环境。开始前先固定授权和隔离边界。环境怎么搭使用独立网络和一次性凭据镜像与规则锁定版本。宿主目录默认不挂载外联按演练需要放行恶意样本放在受控位置并记录校验值。快照用于恢复但不能替代数据销毁要求。红队动作对应预期遥测进程、网络、身份或文件事件。蓝队规则保存版本、数据源与命中条件不把“没告警”直接解释为没有行为。一次回归流程重置环境执行授权步骤收集事件验证规则和处置再清理状态。记录误报、漏报和数据缺口。下一次演练从同一镜像和事件序列开始才能判断规则变化而不是环境变化。