本文目录导读：
在网络安全领域,特别是红队（攻击方）或渗透测试的语境下，讨论进攻效率并不是为了支持恶意攻击，而是为了评估防御体系的薄弱环节、优化安全资源配置，以及衡量安全建设的投入产出比。
要量化评估进攻效率,学术界和工业界通常从时间、成本、成功率、影响面等维度建立数学模型，以下是主流的量化评估框架和方法：
核心量化指标（KPI）
进攻效率通常可以用以下几个核心指标来衡量：
- TTE：漏洞利用时间
- 定义：从发现目标漏洞到成功利用该漏洞所需的时间。
- 量化公式：( TTE = T{exploit} - T{discovery} )
- 意义：TTE越短，说明攻击工具的自动化程度越高，或者防御方的修复速度跟不上。
- TTC：突破时间
- 定义：从开始攻击到获得目标网络初始访问权限（如获得第一个Shell）的时间。
- 应用：常用于勒索软件演练或红蓝对抗，衡量防御方检测和阻断的响应速度。
- 攻击成本
- 定义：完成一次成功攻击所需的资源总和，包括时间成本、计算资源（算力）、金钱（购买0day或基础设施）和人力成本。
- 量化：( Cost = C{time} + C{compute} + C{money} + C{human} )
- 成功率
- 定义：在多次尝试中，成功突破防御的比例。
- 量化：( P{success} = \frac{N{success}}{N_{total}} )
- 影响范围
- 定义：单次成功攻击所能控制的资产数量或数据量。
- 量化：横向移动的深度（跳板机数量）或泄露数据的字节数。
经典量化模型与框架
A. 网络杀伤链模型
这是最经典的线性模型,将攻击分为7个阶段：侦察、武器化、交付、利用、安装、命令与控制、目标达成。
- 量化逻辑：评估进攻效率就是看穿透每一层所需的时间。
- 效率公式：( E = \frac{1}{\sum_{i=1}^{7} T_i} )
- 防御视角：如果在某一层（如交付阶段）防御方拦截率极高，攻击方的整体效率就会趋近于0。
B. MITRE ATT&CK 映射
MITRE ATT&CK 是一个攻击行为知识库。
- 量化方法：统计攻击方使用了多少种战术和技术。
- 效率指标：
- 技术覆盖率：攻击方使用的技术占防御方检测规则库的比例。
- 检测逃逸率：攻击方成功绕过EDR/IDS检测的次数。
- 应用：如果攻击方用3个技术就达成了目标，而防御方有100个检测规则，说明防御规则存在大量盲区，进攻效率极高。
C. 攻击图与马尔可夫链
这是一种更数学化的方法,适用于复杂网络。
- 原理：将网络状态视为节点，攻击行为视为边。
- 量化：
- 最短路径：从入口到核心资产的最短攻击路径长度。
- 成功概率：基于漏洞CVSS评分计算路径上每一步的成功率乘积。
- 效率评估：( E = \frac{1}{L \times P{fail}} )（( L )为路径长度，( P{fail} )为失败率），路径越短、失败率越低，效率越高。
D. 成本-收益模型
从经济学角度评估。
- 进攻ROI：( ROI = \frac{获取资产价值 - 攻击成本}{攻击成本} )
- 应用：APT组织通常追求高ROI（长期潜伏，低频率攻击）；而脚本小子追求低门槛（使用现成工具，广撒网）。
实际评估中的量化方法（红蓝对抗）
在实战演练中,通常通过以下方式量化：
- 时间戳分析：
- 记录每个攻击动作的精确时间。
- 计算MTTD和MTTR，这两个指标同时反映了攻击方的效率和防御方的效率。
- 得分制：
- 在CTF或对抗演练中,夺取Flag、控制域控、获取特定数据都有对应分值。
- 效率 = 总得分 / 总耗时。
- 资源消耗比：
攻击方消耗的算力（如爆破密码的GPU小时）与成功获取的权限之比。
- 隐蔽性指标：
- 告警触发次数：攻击过程中触发了多少次防御告警，触发越少，效率越高（隐蔽性越好）。
评估的局限性
在量化进攻效率时,需要注意以下问题：
- 环境依赖性：在无防御的靶场中效率极高，但在有EDR、NDR、蜜罐的环境中效率会骤降。
- 零日漏洞的影响：使用未知漏洞（0day）时，防御方检测率为0，此时进攻效率趋于无穷大，但这不能代表防御体系无效，只能说明未知威胁难以量化。
- 人为因素：社会工程学攻击的效率很难用技术指标量化，因为它取决于目标的防范意识。
量化评估进攻效率的通用公式可以概括为：
[ \text{进攻效率} = \frac{\text{达成的目标价值} \times \text{成功率}}{\text{时间成本} + \text{资源成本} + \text{被检测风险}} ]
对于防御方而言，研究进攻效率的量化，目的是提高攻击者的成本（增加时间、增加资源消耗、提高被检测概率），从而将攻击效率降低到不可接受的水平，实现安全防护的目标。
