本文档通过对比 红队 中描述的非常具体的红队风格，为红队规划提供参考。此方法表达了几种偏向，以优化蓝队的价值和热情。它特别避免试图通过红队惩罚来激励。
请审查以下问题，以检验你的红队规划是否已为蓝队的价值进行了彻底思考。
以下情况是推动红队演练的常见原因。这些对士气或团队凝聚力具有破坏性。演练可能不是实现你目标的正确工具。
没有什么比一场没有领导或影响者发起和跟进的演练更浪费了。确保演练的收益由一个热情的干系人团体推动。确保这个团体知情并能产生动力。
你可以预估从规划阶段到缓解阶段结束（或介于两者之间）所需的时间。时间预期高度依赖于每个阶段所做的决策。
确定所有可能需要了解红队计划和秘密的人员。在这里，你需要降低任何“打破玻璃”风险，并准备好联系方式，以便在发生任何紧急情况时从演练中转向。
决定你将从这次经历中在何处积累价值。到处都有权衡取舍，可能无法解决你希望通过演练解决的问题。
攻击代表着你试图缓解的风险、你试图处理的事件，或者你希望纳入响应的个人。这些决策都有规划负担，尽早识别这些负担是有帮助的。
如果你能预见你的响应过程将有多成熟，你就可以操控响应以获得更大的收益。一个不成熟的响应团队可以由游戏主持人大力引导，或者一个成熟的响应团队可以独自发现协调和沟通中的摩擦点。
蓝队会对红队有各种各样的疑问。如果操作得当，这可以是一个令人兴奋的时刻。保持这种关系的健康至关重要。红队应被视为宝贵的陪练伙伴。更好的是，一只值得追逐的兔子。
高质量的事后复盘将为数月的工作安排提供信息，并通过共享经验让每个人在使命上校准。
你可以保持演练的规模小，并尽量减少其他人的参与。要发挥创意。
只需让一名团队成员模拟一个你认为能够成功响应的事件。例如，你可以安装一个具有自动更新功能的软件，并假装它是恶意软件。然后你“追捕”“C&C”，它实际上只是其更新信标。例如，你能证明它仅限于该主机，而不涉及其他主机吗？
或者，让一名团队成员进行“未经授权的更改”，并整理一个事件时间线，记录该事件以及哪些后续行动很重要。
一定要记录你的发现、经验教训和后续行动，以呈现给他人。如果红队的经验教训是孤立的，它们就没有价值，而且它们不需要复杂。
