Towards a Cognitive-Support Tool for Threat Hunters
Dieses Paper präsentiert das Threat Hunter Board, ein Prototyp-Tool, das darauf ausgelegt ist, die kognitive und kollaborative Arbeit von Threat Huntern durch die Externalisierung von Argumentationsprozessen und die Organisation von Ermittlungsansätzen zu unterstützen, zusammen mit einem vorgeschlagenen Framework aus sechs Design-Heuristiken zur Evaluierung solcher Systeme zur kognitiven Unterstützung.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich Cybersicherheit als eine riesige, chaotische Detektei vor. In dieser Agentur arbeiten spezielle Detektive, die sogenannten Threat Hunter (Bedrohungssuchende). Ihre Aufgabe ist es nicht nur, auf einen Alarm zu warten; sie müssen proaktiv durch das digitale Gebäude streifen und nach Hinweisen suchen, dass etwas Schlimmes im Gange ist, bevor es jemand anderes bemerkt.
Das Problem ist laut dieser Arbeit, dass diese Detektive einige der härtesten geistigen Arbeiten leisten, die es gibt. Sie müssen tausende winziger Hinweise jonglieren, erraten, was ein Krimineller als Nächstes tun könnte, und sich merken, wie alles zusammenhängt. Derzeit sind die Werkzeuge, die sie benutzen, so, als hätte man nur eine Lupe und eine Taschenlampe, aber kein Notizbuch, keine Karte und keine Möglichkeit, mit dem Rest des Teams zu kommunizieren, ohne zu vergessen, was man gerade gefunden hat.
Hier ist, was die Forscher (von der University of Victoria) getan haben, um zu helfen:
Das Problem: Eine Gehirn-Überlastung
Stellen Sie sich den Geist eines Threat Hunters wie ein Whiteboard vor, das ständig gelöscht und neu beschrieben wird. Er muss:
- Punkte verbinden, die weit voneinander entfernt liegen.
- Sich erinnern: „Warte, ich dachte, dieser Benutzer sei verdächtig, aber dann habe ich diese Datei überprüft...“
- Zwischen verschiedenen Teams und Schichten wechseln, ohne den roten Faden der Geschichte zu verlieren.
Die Arbeit besagt, dass bestehende Tools großartig darin sind, Daten zu finden, aber schrecklich darin, dem menschlichen Gehirn dabei zu helfen, diese Daten zu organisieren. Es ist wie eine Bibliothek mit Millionen von Büchern, aber ohne Regale, ohne Index und ohne die Möglichkeit, Randnotizen zu machen.
Die Lösung: Das „Threat Hunter Board“
Die Forscher haben ein Prototyp-Tool namens Threat Hunter Board entwickelt. Man kann sich das als eine digitale „Kommandozentrale“ oder ein riesiges, interaktives Whiteboard vorstellen, das direkt neben den anderen Werkzeugen des Detektivs steht.
Anstatt nur Rohdaten zu betrachten, lässt das Board den Detektiv seine eigene Geschichte zeichnen. Es besitzt vier „Superkräfte“:
- Die Leinwand (Das große Ganze): Stellen Sie sich ein riesiges, unendliches Blatt Papier vor, auf dem Sie Hinweise per Drag-and-Drop platzieren können. Sie können Linien ziehen, die einen verdächtigen Benutzer mit einer seltsamen Datei verbinden, die er geöffnet hat. Es verwandelt einen chaotischen Haufen von Daten in eine klare visuelle Karte.
- Waypoints (Markierungen: „Hier habe ich etwas gefunden“): Wenn ein Detektiv einen wichtigen Hinweis findet, setzt er eine „Flagge“ (einen Waypoint) auf die Karte. Es ist wie ein Signal: „Stopp hier! Das ist wichtig.“ Diese Flagge speichert nicht nur das Bild, sondern auch die Notizen darüber, war Warum es wichtig war.
- Storylines (Der Handlungsstrang eines Films): Während die Untersuchung wächst, gruppiert der Detektiv diese Flaggen in eine „Storyline“. Dies ist vergleichbar mit dem Schreiben eines Kapitels in einem Krimiroman. Es erzählt die Geschichte des Verbrechens: „Zuerst loggte sich der Benutzer ein. Dann lud er Dateien herunter. Dann versuchte er, sie zu verstecken.“ Dies hilft dem Detektiv, den gesamten Handlungsverlauf im Kopf zu behalten.
- Die Checkliste (Die Schichtübergabe): Wenn die Schicht eines Detektivs endet, geht er nicht einfach weg. Er nutzt eine Checkliste, um sicherzustellen, dass er nichts übersehen hat, und um eine klare Notiz für den nächsten Detektiv zu hinterlassen. Es ist wie das Hinterlassen einer detaillierten „To-Do-Liste“ und einer Karte, wo er die Geschichte unterbrochen hat, damit die nächste Person genau dort anknüpfen kann, wo die letzte aufgehört hat.
Wie es in der Realität funktioniert (Das „Jay“-Szenario)
Die Arbeit erzählt die Geschichte eines Detektivs namens Jay, um zu zeigen, wie dies funktioniert:
- Der Anfang: Jay sieht, dass ungewöhnlich viele Dateien geöffnet werden. Er setzt einen „Waypoint“ auf das Board und schreibt: „Vielleicht ist das nur ein Datentransfer?“
- Die Wendung: Er überprüft die Berechtigungen des Benutzers und stellt fest, dass es kein Datentransfer ist. Er zieht eine Linie auf dem Board, die den Benutzer mit den Dateien verbindet, und ändert damit seine Geschichte.
- Die Zusammenarbeit: Später stößt ein anderer Detektiv dazu. Anstatt dass Jay alles verbal erklären muss, schaut der neue Detektiv einfach auf das Board. Er sieht die Karte, die Flaggen und die Notizen. Er versteht sofort die Geschichte, die Jay aufgebaut hat.
- Der Abschluss: Jay findet den Beweis, dass Daten gestohlen wurden. Er aktualisiert die „Storyline“ zu: „Bestätigt: Datendiebstahl.“ Er hakt seine Liste ab, und die nächste Schicht weiß genau, was zu tun ist.
Die „Faustregeln“ (Design-Heuristiken)
Die Forscher haben nicht nur ein Tool gebaut; sie haben auch eine Reihe von sechs Regeln (genannt Heuristiken) aufgestellt, wie man jedes Tool bauen kann, das das menschliche Denken besser unterstützt. Diese Regeln sind wie eine Checkliste für Tool-Designer, um sicherzustellen, dass sie die Dinge nicht noch verwirrender machen. Zum Beispiel:
- Navigation: Kann ich meine Schritte leicht nachvollziehen?
- Klarheit: Hilft mir das, das Chaos zu verstehen?
- Gedächtnis: Hilft mir das, mich zu erinnern, damit ich nicht alles im Kopf behalten muss?
Was sie bisher herausgefunden haben
Die Arbeit gibt zu, dass dies noch ein Prototyp ist (ein sehr detailliertes Modell, kein fertiges Produkt, das bereits im Handel erhältlich ist).
- Sie haben dies mithilfe eines „Cognitive Walkthrough“ getestet, was wie eine Simulation ist, bei der man vorgibt, die Detektive zu sein, um zu sehen, ob das Tool Sinn ergibt.
- Erste Ergebnisse deuten darauf hin, dass es gut funktioniert, um Detektiven zu helfen, ihre Gedanken zu organisieren und Geschichten mit Teamkollegen zu teilen.
- Sie haben es noch nicht mit Hunderten von echten Detektiven „im Feld“ getestet (das ist der Plan für die Zukunft).
Das Fazit
Diese Arbeit argumentiert, dass wir, um digitale Kriminelle zu fangen, Werkzeuge brauchen, die respektieren, wie das menschliche Gehirn funktioniert. Das Threat Hunter Board ist eine neue Art von Werkzeug, das wie ein digitaler Skizzenblock und ein Geschichtsbuch fungiert und Detektiven hilft, ein chaotisches Datenchaos in eine klare, gemeinsame Geschichte zu verwandeln, die das gesamte Team verstehen und darauf reagieren kann.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.