被误解的“三角洲行动曼德尔砖”：从噱头到实战部署，我在安全行业看到的真相

如果你也是在搜索“三角洲行动曼德尔砖”的路上点进来，我们大概率处在同一个生态：要么负责公司网络安全，要么在做游戏外挂对抗、风控策略，要么对情报分析有点偏执式的好奇。

先自我介绍一下。我叫贺林曼德尔，过去十多年在一家网络安全厂商做攻防对抗和算法风控，现在挂的对外title叫“对抗情报负责人”。我们内部把一整套“模块化攻防模拟+行为特征切片”的方案，戏称为“三角洲行动曼德尔砖”——一个一听就不像正经产品名，却慢慢在圈子里活了下来的小怪兽。

这篇文章，我打算把它拆开讲给你听：它到底指的是什么，为什么越来越多安全团队在问它，值不值得你往里面投预算和精力，以及怎么落地，才不至于变成一堆好看的PPT。

先把“悬念词”拆开，不卖关子。

• “三角洲行动”：我们内部对高强度、分阶段的攻防演练/红队行动的叫法，特指那种时间跨度长、对抗强度高、会模拟真实威胁组织链路的活动，而不是一天两天的靶场演练。
• “曼德尔砖”：源自“曼德博集合（Mandelbrot set）”那种复杂但有规律的结构，我们借这个梗来比喻——把攻击链路拆成很多小的“砖块”，每一块是一个可组合、可复用、可观测的行为单元，像积木一样拼装出真实攻击场景。

合在一起，“三角洲行动曼德尔砖”指的是一套思路：

用模块化的小“砖块”，搭建出复杂的攻防场景和对抗样本，再把这些东西喂给你的检测系统、风控系统、对抗策略，进行持续的压测和优化。

它不像是一个单一产品，更像：

• 一种安全运营方法论
• 一套行为特征资产的管理方式
• 加上一整套自动化对抗工具链

如果你来自业务侧，可以简单把它理解为：“把复杂攻击拆成可管理的颗粒，把攻防演练做成常态化、产品化，而不是一年一次的安全大戏”。

如果没有真正的痛，没人会去记一个这么拗口的名字。2026年的几个趋势，把这种“曼德尔砖”式的思路推到台前：

• 2026年上半年，IBM X-Force 和多家安全厂商联合报告提到，多阶段攻击链路的平均持续天数已经拉长到 22 天左右，攻击者更愿意慢慢渗透、横向移动，而不是一次性“砸穿”。
• 同期几份全球勒索趋势报告里，通过合法工具（LOLBins）和脚本混淆实现“低噪声渗透”的比例超过 60%。也就是说，你看日志，“每一步都不是很可疑”，凑到一起就是灾难。
• 国内互联网公司自建或采购的“攻防演练平台”数量，在 2025 到 2026 年间增长接近一倍，但不少安全负责人在封闭交流中直言：平台用得越来越“仪式化”，检测规则真正跟着演练质量走的比例却不高。

这些数字背后的共性：

攻击越来越“分片化、场景化”，而很多企业的安全还停留在“单点告警”和“固定特征”。

而“三角洲行动曼德尔砖”这种玩法，本质就是：

把对抗也做成“分片化、场景化”，让你的检测和风控有足够多的“小砖块”去理解真实世界的攻击组合。

我在给甲方做内部分享的时候，会习惯用比较直白的方式，把他们最常问的三个问题摊开：

1.异常样本永远不够用，怎么做“活”的对抗库？

现实情况很残酷：

• 日志一大堆，高质量的对抗样本极少。
• 靠自然积累真实入侵事件，速度太慢，而且代价太高。
• 模拟攻击则往往过于“教学化”，很难贴近攻击者的真实链路。

“曼德尔砖”的做法是：

• 把一次完整攻击链拆成 10~50 个行为单元，比如“凭证导出”“内网资产探测”“无文件加载”等。
• 每一块都用多种技术路径实现，例如同一个“横向移动”，分别用 PSRemoting、WMI、RDP 暴力、SMB 管道等方式。
• 每个小块都在日志层面、流量层面、行为层面精准标注元数据，比如“阶段=横向移动/工具=原生/噪声等级=低”等。

这样你得到的就不是十几个“案例”，而是几百、几千块可以任意组合的“砖”。

2026 年我们给一家公司做对抗库建设时，半年内做了大概 4200+ 个高标注“砖块”，他们的异常检测模型的高危威胁召回率在内部评估中平均提升了 17% 左右，并且误报没有明显恶化。

对你来说，更关键的不是 17% 这个数字，而是：

你终于可以用结构化的方式，去管理自己的“对抗资产”，而不是把它埋在某个大牛的脑子和几份 PPT 里。

很多安全负责人会在预算会上被问：

“我们花了这么多钱，具体挡住了什么？哪些挡不住？”

传统的做法是做几次攻防演练、出几份报告。

问题在于：

• 攻防演练多半是点状的，今天测勒索，明天测钓鱼，缺少结构化的覆盖率说明。
• 产品能力的评估，很少会从“攻击链条覆盖度”的视角去讲，只能拿“拦截次数”这种偏粗的指标。

“三角洲行动曼德尔砖”的方法，是把攻防演练和能力评估绑在一起做：

• 用“砖块”来定义你关注的攻击场景：勒索链路可以对应 30 块砖，供应链攻击对应 40 块砖…
• 把这些砖按攻击链路拼成不同场景，批量、自动化地在你的生产环境的影子环境中执行（比如流量镜像、灰度环境、预生产环境）。
• 每一块砖执行时，都自动对照你现有的：EDR/NDR/WAF/SIEM/风控策略，看哪些砖被检测、哪些砖被放行。

2026 年一份由几家云安全厂商联合发布的评估报告里用到类似方法，给出了这么一条

在 30+家大中型企业中，自评“勒索检测能力较强”的团队，在标准化攻击链覆盖测试里，平均只覆盖了约 58% 的关键行为砖块，横向移动和数据准备阶段的漏测率尤其高。

这类结果会非常“直戳心口”，但也提供了一个清晰的路线图：

• 你可以具体告诉老板：当前勒索场景，我们覆盖的是哪 58%，缺的是哪 42%。
• 下一期预算，是为哪一段链路的哪些砖，去补产品或策略。

这种“砖块化的覆盖说明”，远比一句“整体风险已降低”更有说服力。

到 2026 年，很多公司已经在用各种机器学习、规则引擎、图分析去做威胁检测，但一个尴尬点很普遍：

模型上线 3~6 个月后，就慢慢“失去锐度”，而大规模重训、重调又周期长、成本高。

在我们内部，“曼德尔砖”被用作一种持续喂养模型的“饲料工厂”：

• 新的“砖块”从哪来？
  • 外部情报：公开报告、漏洞利用 PoC、APT 行动分析。
  • 内部捕获：真实拦截到的攻击事件。
  • 红队创新：专门的对抗研究组设计新路径。
• 每块砖都带有严格标注：攻击阶段、技术栈、隐匿程度、目标环境等。
• 模型训练不会一次性把所有砖喂进去，而是按照“场景 + 重要性 + 新鲜度”分批增量更新。

这样做的效果，有点像给模型建了一条长期的“粮食供应线”：

• 新出现的攻击技术，在 2~4 周内，就有可能以“砖块”的形式进入内部训练集。
• 旧而常见的攻击手法，则通过抽样和去重，维持在合理权重，避免过拟合。

我们在 2026 年给一家大型游戏公司做外挂对抗项目时，接入了他们的行为检测引擎，用自建的“曼德尔砖库”做了增量喂养，他们内部统计了三个月的数据：

• 针对“低频高收益型外挂”的识别率，相比项目启动前提升了约 21%。
• 新外挂样本的平均“有效检测时间”从 18 天压缩到约 9 天。

这些数字不一定能原样搬到你的环境，但方向性很明确：

把对抗样本做成“砖块资产”，再接到你的模型、规则体系里，会比“临时拉一堆数据来训练一次”更符合 2026 年这种高变对抗的节奏。

说到这里，你可能已经在盘算，这个“三角洲行动曼德尔砖”在你所在的公司，应该长成什么样。我不太喜欢给一个“统一模板”，更愿意给你一个偏实战的落地顺序，你可以自己调整。

步骤一：先画出你的“关键战场地图”，别一上来就想全做在一次闭门分享上，我看到一个金融客户的安全团队，刚接触这个方法，就想把所有威胁、所有资产、所有攻击面都画成砖，结果半年过去，砖没几块，人已经过载。

经验是，从 1~2 个关键战场切入就好，譬如：

• 对交易量敏感的金融公司：重点放在账户接管、资金转移、内部越权交易的攻击链。
• 对数据泄露极度敏感的科技企业：聚焦在数据窃取、供应链投毒、内部人员滥用。
• 游戏、电商：从作弊、羊毛党、薅补贴的行为链入手。

你需要做的，不是一次性列完所有砖，而是像迭代产品一样，以这些战场为中心，逐轮加砖。

步骤二：定义“砖”的粒度与标注标准，避免烂尾“砖”如果定义得过粗，它会退化成“案例”；定义得过细，你会被标注工作压垮。

我们比较稳妥的做法是：

• 目标是一个砖块可在 1~5 分钟内被独立执行和回放，且可以被独立溯源。
• 标注维度控制在 8~15 个之间，常见的包括：攻击阶段、TTP 映射（参考 MITRE ATT&CK）、使用工具类别、对日志的可见性、对业务的影响范围、是否适合在生产影子环境执行等。

在 2026 年，多家安全厂商都在尝试把自家对抗资产用 ATT&CK 做映射，这是一条不错的捷径：

你可以直接把“砖”与 T 编号关联，让你的团队在对话与汇报时有一个行业通用的“坐标”。

步骤三：慢慢把“三角洲行动”做成常态工程，而不是年会节目很多公司把红队演练办得像“安全年会”，声势很大、动静很足，但结束之后，产出往往只剩下一份长长的报告和几次加班。

如果用“曼德尔砖”的思路，你可以把它改造成一种可持续的工程实践：

• 安排一个“小而精”的对抗小组，不需要太大规模，但要能稳定产出砖块。
• 把每一次攻防活动拆成多个迭代，每一迭代的目标不是“打穿一次”，而是沉淀一批高质量的砖。
• 在公司内部建立固定节奏，比如每两周一次“砖块回顾会”，和检测/风控/业务线一起，挑选哪些砖纳入自动对抗测试，哪些砖进入模型训练。

这样你的“三角洲行动”就不会停留在“某某专项演练”的层面，而是融进日常安全工程。

从我接触的几家头部公司看，那些做得比较好的团队，大多把这种节奏视为长期能力建设，而不是短期项目。

步骤四：谨慎评估工具链，避免被“平台”拖着走市面上 2026 年已经出现了不少号称支持“自动化攻防演练”“TTP 模块化模拟”的平台，有云产品，也有本地部署方案。

我的建议是：优先评估它是否帮你沉淀“砖”，再考虑炫酷的界面和自动化程度。

一些实用的判断点：

• 能否方便地把一次攻击行动拆解成多个步骤，并作为独立单元复用？
• 每个步骤是否支持你自定义环境要求、预期日志、标签？
• 执行后的结果，是否能回写到你的 SIEM、日志平台、机器学习训练流水线？
• 能否在不影响生产的前提下，模拟到足够贴近真实环境的场景，比如灰度环境或流量镜像？

真正值得投入时间和预算的平台，应该是帮你管理和使用“曼德尔砖”的，而不是抢走你对砖的定义权。

写到这里，回看“三角洲行动曼德尔砖”这个名字，它在我们内部也就是一个容易被同事记住、方便开玩笑的叫法。

真正有价值的，不是这个词本身，而是它指向的一种共识：

• 攻击已经模块化、组合化，你的防御也需要自己的“积木体系”。
• 一次性的大项目，抵不过持续的、小颗粒度的能力建设。
• 对抗资产不应该散落在零散报告和个人经验里，而要被结构化地管理、回放和评估。

如果你现在在负责一个公司的安全、风控、对抗，或者正打算升级现有系统，可以从这几个小动作开始尝试：

• 选一个你最在意的攻击场景，哪怕只是“某类账户盗用”，先定义出 10~20 块自己的“曼德尔砖”；
• 用现有的日志、规则系统跑一跑这批砖，看看漏在哪里；
• 在日常迭代中，把“新增砖块数量/质量”当作一个隐性 KPI，而不是只盯“拦截次数”。

等你真正收集到一两百块高质量砖，你会很自然地发现：

你已经拥有了一套属于自己的“三角洲行动曼德尔砖”，和我在这个行业里见过的那些成熟团队，有了同一种“语言”。

到那时，这个曾经看起来有点中二的词，会变成一组非常具体的数据、一批可复用的场景、几条你可以在汇报中拿得出手的图表——以及一支更有安全感和掌控感的团队。