紅隊雲設施 IaC 自動化部署：RedC 引擎與多雲低成本架設

在現代紅隊演習（Red Teaming）中，快速建立具備高度隱匿性且可隨時拋棄的攻擊基礎設施已成為標準作業。傳統上手動配置 Redirector、C2 伺服器與監控節點不僅耗時，且容易因操作失誤留下特徵（Footprinting）。基礎架構即代码（Infrastructure as Code, IaC）的引入，讓資安工程師能以程式化方式定義攻擊環境，確保每次部署的一致性與可追溯性。(Red Hat)

RedC 引擎：基於 IaC 的紅隊自動化核心

RedC（Red Cloud）並非單一工具，而是一套結合了 IaC 理念與紅隊實務需求的自動化部署架構。其核心在於將基礎設施的置備（Provisioning）與後續的配置管理（Configuration Management）分離。透過宣告式（Declarative）方法，紅隊人員只需定義預期狀態（如：在 AWS 東京區域建立 3 台 Ubuntu 執行個體，並掛載特定的安全性群組），IaC 工具便會自動處理 API 調用與資源建立。(Aliyun)

這種架構通常包含以下三個層級：

資源管理層： 利用 Terraform 或 OpenTofu 對接多雲平台（AWS, GCP, Azure, DigitalOcean），負責虛擬機、網絡 VPC 與 DNS 紀錄的生命週期。
配置執行層： 透過 Ansible 或 Red Hat Ansible 平台，在資源建立後自動安裝 C2 框架（如 Cobalt Strike, Havoc）、配置 Nginx 反向代理與自動化申請 Let’s Encrypt 憑證。(Red Hat)
工作流調度層： 採用輕量級工作流引擎，確保任務按順序執行，例如：必須先取得靜態 IP，才能更新 Cloudflare 的 DNS 解析紀錄。(電信科學 PDF)

多雲環境下的低成本架設策略

紅隊基礎設施追求的是「高可用、低成本、易拋棄」。透過 IaC，我們可以實踐「不可變基礎設施（Immutable Infrastructure）」的原則。當某個 Redirector 被藍隊發現並封鎖時，紅隊工程師僅需修改變數文件，即可在數分鐘內於另一個雲服務商（如 Vultr 或 Linode）重建節點，而無需手動調整繁瑣的系統設定。(Aliyun)

以下是實現低成本自動化部署的關鍵技術點：

Spot Instances（競價實例）： 對於非持久性的 Redirector，使用 AWS Spot 或 GCP Preemptible VMs 可降低 70%-90% 的運算成本。
模組化組件： 將基礎設施劃分為模組（如：Phishing 模組、C2 模組、Exfiltration 模組），根據演習需求彈性組合，避免資源浪費。(Red Hat)
自動化資源回收： 在 IaC 代碼中加入 TTL（Time to Live）邏輯，演習結束後一鍵執行 terraform destroy，防止產生不必要的雲端帳單。

技術實作：自動化 Nginx Redirector 配置範例

以下展示一段簡易的 Ansible 配置片段，用於自動化部署隱匿的 Redirector。這段程式碼會安裝 Nginx 並配置反向代理，僅允許來自預期 C2 流量的請求轉發：

📂 收合（點我收起）

- name: 配置紅隊 Redirector
  hosts: redirectors
  become: yes
  tasks:
    - name: 安裝 Nginx
      apt:
        name: nginx
        state: present
        update_cache: yes

    - name: 部署 Nginx 反向代理配置
      template:
        src: nginx_proxy.conf.j2
        dest: /etc/nginx/sites-available/default
      notify: restart nginx

    - name: 啟動並啟用 Nginx 服務
      service:
        name: nginx
        state: started
        enabled: yes

配合 IaC 的版本控制（Version Control），紅隊團隊可以對這些配置進行代碼審查（Code Review），確保攻擊基礎設施中沒有包含任何可能暴露團隊身分的敏感資訊或預設密碼。(Aliyun)

策略即代碼（PaC）在紅隊運維的應用

隨著基礎設施規模擴大，單純的自動化已不足夠。領先的紅隊組織開始將「策略即代碼（Policy as Code, PaC）」納入架構中。這意味著在部署之前，會自動掃描 IaC 代碼是否符合安全最佳實踐，例如：是否不小心開放了 22 端口給全球（0.0.0.0/0），或是否誤用了未加密的通信協議。這不僅保護了紅隊的資產不被第三方利用，也提升了整體行動的專業度。(Red Hat)

MITRE ATT&CK 對應

T1583 – Acquire Infrastructure（獲取基礎設施）：利用 IaC 快速置備虛擬伺服器與域名。
T1583.003 – Virtual Private Server（虛擬專屬伺服器）：透過自動化腳本在多雲平台建立 VPS 節點。
T1071 – Application Layer Protocol（應用層協定）：自動化配置 Nginx/Apache 以模擬正常的 Web 流量進行 C2 通訊。