OpenAEV 完整教程三步跑通一次靠谱的攻防演练附自检清单与排错速查表【免费下载链接】openaevOpen Adversarial Exposure Validation Platform项目地址: https://gitcode.com/GitHub_Trending/op/openaevOpenAEV 是一款免费开源的攻防演练平台你在它上面规划、排期并执行网络对手模拟它会用防御、检测、脆弱性、人员响应四个维度告诉你防线漏在哪里。把这篇教程读一遍你就能独立跑完一次完整演练演练前逐项自检、演练中搭出像真攻击的场景、演练后拿到能落地的复盘结论而不是得到一堆不知道怎么用的人脸数据。第一步演练前把环境自检清单勾完再动手演练失败的大头不在平台而在 injector 没配对。所谓 injector就是真正把动作打出去的组件——发邮件、发短信、扫端口、发挑战题每个场景步骤背后都挂着一个 injector。演练开始前按下表逐项过一遍任何一条勾不上先修掉再谈跑演练#检查项检查什么怎么算通过1injector 已启用本次用到的每个 injector 的启用开关形如*_ENABLE是否为true必填变量是否齐全在Integrations → Deployed页能看到对应卡片状态为已启动最后被看见的时间是最近的2平台连接变量OPENAEV_URL与OPENAEV_TOKEN是否已填、token 是否有效injector 出现在 Deployed 列表中且没有认证报错3唯一标识每个 injector 实例的INJECTOR_ID是否各自是一个独立的 UUIDv4两个实例之间找不到重复的 ID4外部服务所连扫描器、消息通道等外部服务的 URL 与 API 密钥是否正确服务器到该 URL 和端口是否可达一次简单请求返回 200injector 侧无超时日志5消息通道injector 容器能否按平台下发的配置连上 RabbitMQ 的主机名和端口容器挂在平台所在网络上无连接被拒日志6人员权限演练账号的角色能力是否覆盖演练中要执行的操作按 用户与权限管理 检查角色能力项无缺失能力告警7场景时间线场景里各步骤的顺序与时间是否符合计划步骤顺序等于你设计好的攻击顺序没有把时间设到过去第 2、3 项的变量长这样4 行就是全部关键配置INJECTOR_ID你的UUIDv4 INJECTOR_NAME实例名 OPENAEV_URLhttp://your-platform OPENAEV_TOKEN管理token漏配INJECTOR_ID会让 injector 无法向平台注册身份两个实例复用了同一个 ID消息会被投到错误的那台演练跑到一半莫名卡住。每个 injector 的具体必填参数以 Injectors 部署文档 中该 injector 的 README 为准内置的邮件、短信、钓鱼、挑战题等 injector 则直接在平台配置页填参数参考 内置 Injectors 说明。第二步演练中把场景搭得像一次真攻击先选 ATTCK 技术再填步骤练习场景设计的第一步不是拖组件而是选技术。OpenAEV 的 inject 按 MITRE ATTCK 框架组织从 Initial Access初始访问一路到 Lateral Movement横向移动。先想清楚你要覆盖哪些阶段、验证哪些安全控制点再为每个阶段挑一个对应技术想验证钓鱼邮件拦截就选 Phishing 类技术想验证凭据泄露后的横向发现就配 Credential Access Discovery。每个步骤挂上明确的技术标签演练结束后才能把哪个环节被突破了说清楚。时间线固定时刻发射或跟着结果走场景本质是一张时间线每个 inject 在指定时刻发射。更进阶的做法是用连锁场景Attack Chaining下一步不靠定时器而是靠上一步的输出来触发——初始访问成功了才尝试横向移动扫出开放端口才继续下一步。固定时间线适合验证按计划攻击的防守流程连锁场景更像真实对手会根据现场情况分支。两种都能用选哪种取决于你想考防守方的是流程还是反应。团队与角色让每个人只做他该做的事场景里的人不是摆设。把参演者Players编进团队给每个团队设定在这次演练中承担的职责角色Role则决定谁能看到什么、能执行什么操作。权限给多了场景里会出现能直接看到答案的人演练就失真了给少了参演者卡住不动你的数据会混进大量没做而不是做错了。原则先按真实组织架构分团队再按最少够用配角色能力最后把两个模块都确认一遍再开跑。第三步演练后盯哪些指标复盘写什么四个维度分和状态机演练的总览页给出四个仪表prevention防御、detection检测、vulnerability脆弱性、human response人员响应每根指针都是该维度的 expectation 达成比例。注意一个容易踩的坑inject 全部发完不代表演练结束——每个 inject 的执行要跑完、它挂的 expectation 要么被达成collector 或安全平台上报要么在配置窗口内过期状态才会从 Running 走到 Finished。所以演练结束前先确认采集端和安全平台的回传正常否则状态会一直悬在 Running。执行过程与状态流转见 Simulation 管理。监控与复盘从分数到行动项演练进行中盯三件事injector 执行状态Deployed 页最后心跳是否还在更新、各步骤完成进度、安全侧检测到的事件与响应时长。结束后做三件事用平台生成本次演练报告见 Reporting把四个维度的分数固定下来别只留在口头结论里逐条对照 expectation被防住的说明控制有效被漏掉的写清是没检测到还是检测到但没响应这是两类完全不同的改进项把改进项落成清单注明负责角色与复查时间并在下一次排期演练中验证这些项是否真的收敛。演练跑不动injector 故障排查速查表⚠️ 演练卡住时先查表多数情况是配置问题而不是平台问题现象根因处理场景步骤不执行对应 injector 显示离线injector 未启用或未部署确认启用参数为true并重启实例到 Deployed 页看状态是否恢复已启动injector 日志报认证或连接平台失败OPENAEV_URL或OPENAEV_TOKEN缺失/无效补填两个变量token 可用管理员 token 或管理员服务账号演练开始后步骤整体卡死不动两个 injector 实例共用同一个INJECTOR_ID给每个实例换独立的 UUIDv4重启后确认各自都出现在列表中连不上外部服务扫描器、消息平台等防火墙拦截、URL 配错或容器未与平台同网段逐段测试 URL 与端口把 injector 容器挂到平台网络再测参演用户看不到场景或无法操作角色能力不足在权限管理里给角色补上对应能力再重新分发账号inject 已全部发出但 Simulation 状态停在 Runningexpectation 还在等待达成或等待过期检查 collector 与安全平台是否正常回传或等待配置窗口过期后自动转 Finished更多细节可查 故障排查文档。开跑前的最终行动清单✅ 全部勾完再点启动能避开 90% 的返工所有 injector 在 Deployed 页为已启动最后心跳时间是最近的每个 injector 实例持有独立的 UUIDv4 标识没有复用OPENAEV_URL、OPENAEV_TOKEN与各 injector 必填变量均已配置且验证通过场景每个步骤都挂了 ATTCK 技术标签时间线顺序与攻击计划一致参演团队与角色权限按最少够用配好每个 expectation 都设了合理的过期窗口【免费下载链接】openaevOpen Adversarial Exposure Validation Platform项目地址: https://gitcode.com/GitHub_Trending/op/openaev创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考