攻击者是指任何未经授权试图入侵系统的人。这个词涵盖的范围很广。脚本小子运行着他们并不了解的工具。有组织犯罪集团运营着带有客服和利润分成机制的勒索软件分支机构。国家级黑客团队领取固定薪水，耗费数月时间，并精心打造定制恶意软件。内部威胁潜伏在公司内部，拥有合法凭证。黑客行动主义者则攻击他们不认同的组织。每个群体都拥有不同的技能、资源和目标。

经济动机占据主导地位。勒索软件赎金、被盗凭证和信用卡数据在地下市场都有现成的买家。初始访问代理将入口点出售给勒索软件团伙。漏洞利用开发者将零日漏洞卖给出价最高的人。整个生态系统已经高度专业化。攻击者各自专精、外包，并从中抽取分成。这种结构使得溯源更加困难。入侵者可能并非部署勒索软件的人，也未必是最终获利最多的人。防御者应该假定攻击者动机强烈，且拥有时间和资源。问题不在于是否有人会尝试，而在于防御措施能否奏效。

攻击者的动机

• 经济利益——勒索软件、欺诈、凭证盗窃
• 间谍活动——国家支持的情报收集
• 意识形态——黑客行动主义和颠覆
• 内部人员不满——报复还是胁迫

并非所有攻击者都是天才。许多攻击者只是机会主义者，他们会寻找未打补丁的系统漏洞。而打补丁则堵住了他们原本指望的漏洞。