Apache Caldera (incubating) 介绍与选型指南

目标：基于 Apache 孵化器项目页、官方安装文档与上游仓库联网溯源（查询日期 2026-10-18），完成 Apache Caldera（孵化期）的认知与选型评估。本文属认知篇（A1），关键论断均随文标注来源，不做本地安装实测；该项目处于孵化期、资料以官方仓库现有信息为准，安装与运行实测请参见本专栏 B1 部署指南。

一、信息基准

1.1 查询日期与版本依据

• 查询日期：2026-10-18（本文所有版本号、发布状态与活跃度数据均以该日联网实查为准）。
• 版本基准表（项目处于孵化期、尚未形成统一的 Apache 版本号，故本文标题不带版本号，以基准表说明）：

1.2 官方来源清单

二、软件概述

本文介绍的是 Apache Caldera (incubating)：一个面向对抗行为建模、脚本化与执行的模块化平台（modular platform for modeling, scripting, and executing adversary behavior）。官方孵化器描述指出：它允许用户构建对抗模拟计划（emulation plans），提供与指挥控制服务端通信的代理（agents），支持以结构化、可扩展、可重复的方式评估安全检测能力；借助插件与社区贡献能力，覆盖对抗模拟（adversary emulation）、紫队协同（purple teaming）、检测工程（detection engineering）与持续安全验证（continuous security validation）等场景；基于 MITRE ATT&CK 框架构建（来源：孵化器项目页 Description 原文，2026-10-18 实查）。许可为 Apache License 2.0（来源：孵化器项目与上游仓库 LICENSE，2026-10-18 实查）。

Caldera 原为 MITRE 开源项目，2025 年 12 月捐赠进入 Apache 孵化器（来源：孵化器项目页 News，2026-10-18 实查）。上游 MITRE Caldera 仓库在 GitHub 拥有约 7.4k 星标（来源：第三方徽章服务，2026-10-18 实查），是安全行业广泛使用的红队自动化平台之一。

它要解决的核心问题是：把「模拟真实威胁行为者」从一次性人工操作，变成可编排、可复现、可持续回归的工程化流程，让防守方能够系统性地评估检测规则与响应能力、发现盲区。

三、核心架构

3.1 服务端（C2）与代理（Agent）

• 核心服务端：承载操作编排、插件管理与知识库的指挥控制服务，提供 Web 界面与 REST API（来源：官方文档 Getting started 与《The REST API》章节，2026-10-18 实查）。
• 代理（Agent）：部署在目标环境中的受控端程序（如官方 Sandcat 代理），按指令回连服务端并执行能力（来源：官方文档《Sandcat Plugin Details》与 agent 相关章节，2026-10-18 实查）。

3.2 能力（Ability）与对手画像（Adversary）

• Ability：最小攻击行为单元，对应 ATT&CK 的战术与技术，包含命令载荷、解析器与依赖（来源：官方文档术语章节，2026-10-18 实查）。
• Adversary：按 ATT&CK 组织的 ability 序列（对手画像/模拟计划），是操作（Operation）的执行剧本（来源：官方文档，2026-10-18 实查）。

3.3 操作（Operation）与规划器（Planner）

• Operation：服务端驱动代理执行某个 adversary 的运行实例，产出结果与时间线（来源：官方文档，2026-10-18 实查）。
• Planner：决定「下一步执行哪个 ability」的策略组件，支持顺序、随机等不同规划方式（来源：官方文档《How to Build Planners》，2026-10-18 实查）。

3.4 知识库与插件体系

操作过程中收集的事实（facts）与关系（relationships）构成知识库，供规划器与检测联动使用；Caldera 的功能以插件（plugins）组织，官方文档提供了独立的插件开发指南（来源：官方文档 facts/relationships 与《How to Build Plugins》章节，2026-10-18 实查）。

四、功能特性

💡 说明：上表来源前缀 https://caldera.readthedocs.io/en/latest/ ，2026-10-18 实查。

五、快速上手

以下步骤引自官方安装文档《Installing MITRE Caldera》「Concise」小节（来源：https://caldera.readthedocs.io/en/latest/Installing-Caldera.html ，2026-10-18 官方原文实查），官方表述为「Caldera can be installed quickly by executing the following 4 commands」，本文不做本地实测：

git clone https://github.com/mitre/caldera.git --recursive
cd caldera
pip3 install -r requirements.txt
python3 serve

官方要求（来源同上）：Linux 或 macOS 操作系统；Python 3.8 及以上（含 pip3）；NodeJS v16 及以上（Caldera v5）；现代浏览器（推荐 Google Chrome）；以及 requirements 文件所列依赖包。可选推荐：GoLang 1.17+（获得更优的代理动态编译能力）、8GB+ 内存与 2+ CPU。

服务启动后，按官方《Getting started》文档通过浏览器访问本地服务界面进行登录与首次操作（默认访问入口与初始账号说明以官方 Getting started / Startup parameters 页为准，2026-10-18 实查）。官方安装页另提供离线安装与其他独立部署形态说明（见该页对应部署小节，本文不展开）。

六、适用场景与限制

6.1 适用场景

• 红队自动化：以可编排剧本替代零散手工操作，沉淀团队攻击能力资产。
• 紫队演练：攻击执行与检测评估在同平台闭环，输出时间线与结果用于复盘。
• 检测工程：对 EDR/SIEM 规则做持续、结构化的有效性回归验证。
• 安全研究：基于插件与 REST API 开展对抗行为与自动化规划研究。

6.2 限制与注意

• 项目处于 Apache 孵化期：暂无 Apache 侧正式发行版，生产使用目前以上游 MITRE 版本为事实基准，孵化期组件行为可能持续调整（来源：孵化器项目页，2026-10-18 实查）。
• 仅可在获得明确授权的环境中使用；使用前应确认所在组织的安全与合规要求（官方文档定位为安全评估工具，2026-10-18 实查）。
• 平台包含服务端、代理与插件三层，需要一定工程化投入（Python/NodeJS/Go 环境）才能完整发挥能力（来源：官方安装文档，2026-10-18 实查）。

七、同类选型对比

对比对象选取红队自动化与攻击模拟同类方案：Metasploit Framework、Atomic Red Team 与 Cobalt Strike（活跃度数据来源：GitHub 星标数经第三方徽章服务获取、各官方发布渠道，2026-10-18 实查）。

💡 选型建议：以「验证检测能力、建设 ATT&CK 对齐的持续验证体系」为目标，选 Caldera；需要最全的漏洞利用与渗透能力则用 Metasploit；只想给检测规则做轻量原子测试，Atomic Red Team 更省事；有商业预算与隐蔽性要求时可评估 Cobalt Strike。

八、参考链接

• Apache 孵化器项目页：https://incubator.apache.org/projects/caldera.html
• Apache 官方代码仓库：https://github.com/apache/caldera
• 官方安装文档：https://caldera.readthedocs.io/en/latest/Installing-Caldera.html
• 官方入门文档：https://caldera.readthedocs.io/en/latest/Getting-started.html
• 上游项目仓库（MITRE Caldera）：https://github.com/mitre/caldera
• 项目网站（孵化期）：https://caldera.apache.org/
• MITRE ATT&CK：https://attack.mitre.org/