当攻击成本越来越高,攻击行为就越来越走向商业化,从收益成本角度来考量攻击行为变得可行
1.直接收益:攻击者通过突破目标系统,可以直接在目标系统上获得的信息资产,在现实中可以换取的价值.
2.心理收益:攻击者通过突破目标系统,可以获得某种心理满足的价值,一般而言,这很难具体衡量,这和攻击者所拥有的能投入成本能力和对心理满足追求的程度相关,但理论上,不会超过一个大致的范围.
但是在攻击者发起攻击之前,是很难准确计算出自己的实际收益的,其实是否发起攻击,攻击者考量的是预期的收益与成本进行比较.所以即使防护体系能让攻击者实际收益远小于成本,但是攻击者错误估算了预期收益,也是可能发起攻击的.从这个意义上说,防护一方,传递的信息应该不要让攻击者高估自己的信息资产的价值(应让其低估,当然密罐除外)
1.漏洞发现的成本:挖掘适合攻击场景的漏洞是需要成本的,包括时间,技术投入,人力成本.
2.漏洞利用实现的成本:从VISTA开始,攻击与防护的对抗越来越强,包括漏洞的可利用性降低增加的成本,新的利用技术投入,人力成本.
3.漏洞实施的成本,每次针对攻击目标,包括信息收集,分析,实施,攻击成功之后的控制和资产获取
5.新漏洞/利用技术被泄露的风险成本:攻击的成本有些是固定成本,如漏洞发现的成本和漏洞利用实现的成本,如果能针对更多的目标,收益扩大,自然成本就被摊薄.但是,由于在VISTA之后,新漏洞/利用技术越来越成为稀缺资源,大范围的使用,会让厂商及时发现并迅速修补而失去价值,这就决定了攻击者在这方面的成本被提高了,攻击者不会一味追求扩大攻击目标获取收益而导致新漏洞/利用技术迅速失效.
6.攻击被发现的风险成本:包括法律风险,国家层面就是外交甚至是反制风险.