网络安全认为进攻效率如何量化评估？

wen 网络安全 2026-09-05 12

本文目录导读：

网络安全认为进攻效率如何量化评估？

网络安全中的进攻效率（或攻击效能）量化评估是一个极其复杂且多维度的问题，与传统的物理战争不同，网络攻击的效果往往具有隐蔽性、延迟性、非对称性和动态性。

在业界和学术界,通常没有单一的“分数”能概括，而是通过一套指标体系和数学模型来进行综合评估，以下从战术层（微观）、战略层（宏观）和评估模型三个维度进行拆解：

战术层（微观）：攻击成本与直接收益衡量

这是最底层的量化,主要关注“打一次攻击”的资源消耗与直接破坏力。

时间效率（Time-to-Compromise）：
- 从发起侦察到成功获取目标权限（或数据）的平均时长，量化标准如：分钟级、小时级还是天级。
- 公式化：入侵时间 = 渗透时间 + 提权时间 + 横向移动时间。
资源成本（Attack Cost）：
- 0-day漏洞的采购/研发成本、算力成本（如挖矿/密码爆破）、人力投入（红队工时）。
- 量化指标：投入产出比（ROI）= 造成的损失（美元）/ 攻击投入成本（美元）。
杀伤力（Destructive Impact）：
- 完整性破坏：被篡改数据的篡改率（%）。
- 机密性破坏：数据泄露量（GB/条数）、涉及核心资产的比例（%）。
- 可用性破坏：系统宕机时长（MTTR）、服务降级比例（%）。
成功率与隐蔽性（Stealth）：
- 渗透成功率（%）。
- 驻留时间（Dwell Time）：从入侵成功到被发现的时间，攻击者停留越久，通常意味着“有效攻击”越成功。

在红蓝对抗（如护网行动）或国家级APT评估中，进攻效率看的是“对体系作战的贡献”。

攻击链完成度（Cyber Kill Chain）：
- 将攻击分为侦察、武器化、投递、利用、安装、指挥控制、目标行动。
- 量化方式：攻击步骤完成率（如7步完成6步视为高度成功）；尤其是最后一步“目标行动”的达成率（如成功拿到域控权限或核心数据库）。
纵深穿透率（Lateral Movement Efficiency）：
- 在横向移动中,跨越了多少个安全区域（如从办公网到生产网）。
- 量化指标：跳板机数量、穿越安全设备（WAF/防火墙/EDR）的比例。
目标覆盖率（Mission Objective Coverage）：
是否达成预设的作战目标？瘫痪对方60%以上的关键业务节点，或窃取核心价值数据的80%。
受害者响应成本（Defender’s Cost）：
迫使对方投入的检测、响应、恢复成本是己方投入的多少倍，1元攻击成本造成对方100元防御成本”，则进攻效率极高。

为了将上述非结构化数据转化为可计算的分数,通常采用以下模型：

CVSS（通用漏洞评分系统）换算模型：这是较常用的基础模型，尽管CVSS是评估“漏洞”的，但常用于加权攻击效率，攻击向量（网络/本地）、攻击复杂度、影响（机密性/完整性/可用性）。
- 结合攻击入口（暴露面大小），用攻击效率 = f(CVSS分数 × 目标资产价值系数 / 攻击难度)来粗略估算。
时间与概率加权模型（基于贝叶斯网络）：这是目前红蓝军评估中较严谨的做法，由于在线系统大多是概率性事件，可以构建如下公式： [ E = P(Exploit) \times P(Privilege) \times P(Action) \times Impact ] ( P ) 是每一步操作的成功概率，通过历史攻防数据（如Mitre ATT&CK数据库中的成功率）拟合，最终得出的是“置信度”而非绝对分数。
杀伤链评分（基于ATT&CK矩阵）：统计攻击者使用了多少个战术/技术（TTPs），并对比防御覆盖率。
- 雷达图评分：如果攻击者组合使用了“凭证收集 + 绕过防御 + 无文件执行”，且防御方无法拦截，则判为“高效攻击”。
- 量化公式：攻击效能 = 成功命中的技术数量 / 防御方已覆盖的技术数量。

尽管有以上模型,但在实际量化中仍存在较难解决的问题：

如果你想在实际工作中（如蓝队防务评估或红队报告）量化，建议采用“双维加权记分卡”：

*效率维度（得分权重40%）计算达成目标的时间（快慢）与资源**（金钱/工具）消耗。
*效果维度（得分权重60%）计算造成的数据损失（核心资产占比）、系统破坏程度（可用性下降）和防御突破深度**（控制了边界主机还是核心区服务器）。
最终评级：将两者得分加权后，映射为“无效（0-20）”、“低效（20-50）”、“有效（50-80）”、“致命（80-100）”四个等级。

一句话总结：进攻效率的量化，本质上是算投入产出比，防守方如果能在不增加预算的情况下，通过欺骗防御或诱饵技术让攻击者花费更多时间且无法触及核心数据，就是在“降低对方的进攻效率”。