本文目录导读：
在网络安全领域，“进攻三区”通常借用自体育分析（如篮球的“进攻三区”效率值），指对攻击方在关键区域（如核心数据区、关键业务系统、边界突破点）的攻击效率进行量化评估,以下是一套可操作的量化框架：
明确“进攻三区”定义
先界定三个战术区域，
- 一区（边界突破区）：外部到DMZ/边缘网络
- 二区（横向移动区）：内网横向渗透路径
- 三区（核心资产区）：数据库、域控、关键业务系统
核心量化指标
区域突破效率（Zone Breach Efficiency, ZBE）
ZBE = 该区成功突破次数 / 该区总攻击尝试次数反映攻击方在该区的成功率。
单位时间推进速率（Advance Rate, AR）
AR = 从进入该区到突破下一区的时间（中位数）时间越短,攻击效率越高。
攻击成本效率（Cost Efficiency, CE）
CE = 该区获取的有效情报/权限价值 / 投入的攻击资源（工具、时间、暴露风险）可用CVSS评分、权限等级（如user→admin）加权。
路径收敛度（Path Convergence, PC）
PC = 成功路径数 / 理论可行路径数衡量攻击方能否快速找到最优路径。
检测规避率（Evasion Rate, ER）
ER = 未被蓝方检测到的攻击动作数 / 总攻击动作数综合效率值公式（示例）
三区效率值 = w1·ZBE + w2·(1/AR归一化) + w3·CE + w4·PC + w5·ER权重w由红队演练目标设定（如侧重隐蔽性则提高ER权重）。
数据采集与实施
- 红队演练/攻防对抗：记录每次攻击的ATT&CK战术编号、时间戳、成功/失败、检测状态
- 蜜罐与欺骗防御：量化攻击方在诱饵区的行为效率
- 漏洞利用链分析：用攻击图（Attack Graph）计算最短路径与实际路径比
- 自动化工具：Caldera、Atomic Red Team、自定义SIEM日志关联
注意事项
- 需区分演练环境与真实事件，避免指标失真
- 效率值应结合蓝队响应时间做对照，单独看进攻效率意义有限
- 定期校准权重，防止指标被“刷分”优化
这套框架可用于红队能力评估、防御体系短板定位和攻防演练复盘，需要针对具体场景（如云环境、OT网络）细化指标时,可进一步调整区域划分和权重。
