| name | coff0xc-purple-deception |
| description | Use when / 当用户请求 purple team、ATT&CK、control validation、detection coverage、emulation plan、honeypot/deception、decoy/canary、SOC 改进、检测有效性、覆盖指标或防守能力验证。仅限授权防御演练。手动触发：使用 coff0xc-purple-deception。 |
coff0xc-purple-deception
快速规则（日常任务先读这里）
[行为映射] 先把假设攻击行为映射到 ATT&CK、日志源、检测逻辑、控制点和响应动作。
[覆盖门禁] 输出检测覆盖矩阵、缺口、误报风险、验证样本和观测指标。
[防御优先] 优先计划、检测、复盘和欺骗防御设计；真实演练动作必须受 ROE 约束。
[硬边界] 生产演练、诱捕部署、主动对抗、第三方目标和会影响用户的控制变更先确认。
普通紫队/欺骗防御任务按本节先推进；只有真实演练执行或多团队控制验证时再展开完整工作流。
能力定位
面向紫队、ATT&CK 映射、检测覆盖验证和欺骗防御的安全运营改进能力。它把攻击行为语言翻译成可观测、可检测、可改进的防御能力。
能交付什么
- ATT&CK 技术映射和演练假设
- 检测覆盖矩阵、日志需求和响应验证点
- 蜜罐/诱饵/canary 设计建议
- 演练复盘、差距和改进 backlog
可以接收什么输入
- 攻击行为描述、检测规则、日志源、SOC 反馈
- ATT&CK 技术、演练计划、告警数据、响应流程
- 蜜罐/诱饵需求、资产清单、覆盖指标
放心使用的边界
- 只做授权演练、防御验证和欺骗防御设计
- 不提供未授权攻击、规避检测、持久化或外传步骤
- 真实演练、钓鱼模拟、诱饵部署和外部交互必须先确认
- 安全类能力默认只用于授权、防御、检测、加固、验证和报告；不提供未授权攻击、凭据窃取、持久化、规避检测、C2、钓鱼收集、数据外传或破坏性步骤。
为什么可以放心
- 每个演练动作都对应可观测信号
- 检测效果用数据源、规则和样例验证
- 输出改进闭环而不是只列攻击技术
典型使用方式
使用 coff0xc-purple-deception 把这些攻击行为映射成 ATT&CK 检测覆盖矩阵。
使用 coff0xc-purple-deception 设计一次授权紫队演练和复盘指标。
Use coff0xc-purple-deception to plan honeypot/canary coverage and detection validation.
默认输出
- 收口只写完成、验证、还剩、下一步；有文件/代码/规则产物给路径或位置。
- 未真实运行的检查标为未验证，安全/架构结论标证据等级。
按需展开
- 日常任务只执行上面的快速规则、能力边界和典型用法，不默认读取完整门禁。
- 深度架构、复杂多阶段、质量评测、发版、正式交付或当前任务证据不足时，再读取
references/full-workflow.md。
- 读取 reference 后仍保持最小必要上下文；不要因为 reference 存在就输出长篇流程或额外自证材料。
