Towards a Cognitive-Support Tool for Threat Hunters
Cet article présente le Threat Hunter Board, un prototype d'outil conçu pour soutenir le travail cognitif et collaboratif des chasseurs de menaces en externalisant le raisonnement et en organisant les pistes d'investigation, ainsi qu'un cadre proposé de six heuristiques de conception pour évaluer ces systèmes de support cognitif.
Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Imaginez la cybersécurité comme une agence de détectives géante et chaotique. À l'intérieur de cette agence, il y a des détectives spéciaux appelés Chasseurs de Menaces (Threat Hunters). Leur travail ne consiste pas seulement à attendre qu'une alarme se déclenche ; ils doivent parcourir proactivement le bâtiment numérique, cherchant des indices que quelque chose de mal se passe avant que quiconque ne s'en aperçoive.
Le problème, selon cet article, est que ces détectives effectuent l'un des travaux mentaux les plus difficiles au monde. Ils doivent jongler avec des milliers de petits indices, deviner ce qu'un criminel pourrait faire ensuite, et se souvenir de la manière dont tout cela s'articule. Actuellement, les outils qu'ils utilisent sont comme avoir une loupe et une lampe torche, mais sans carnet de notes, sans carte et sans moyen de parler au reste de l'équipe sans oublier ce que vous venez de trouver.
Voici ce que les chercheurs (de l'Université de Victoria) ont fait pour aider :
Le Problème : Une Surcharge Cérébrale
Imaginez l'esprit d'un Chasseur de Menaces comme un tableau blanc qui est constamment effacé et réécrit. Ils doivent :
- Relier des points qui sont éloignés les uns des autres.
- Se souvenir : « Attendez, je pensais que cet utilisateur était suspect, mais ensuite j'ai vérifié ce fichier... »
- Passer d'une équipe à une autre et d'un quart de travail à un autre sans perdre le fil de l'histoire.
L'article explique que les outils existants sont excellents pour trouver des données, mais ils sont très mauvais pour aider le cerveau humain à organiser ces données. C'est comme avoir une bibliothèque avec des millions de livres, mais sans étagères, sans index et sans moyen d'écrire des notes dans les marges.
La Solution : Le « Tableau du Chasseur de Menaces » (Threat Hunter Board)
Les chercheurs ont construit un outil prototype appelé le Threat Hunter Board. Vous pouvez considérer cela comme un « centre de commandement » numérique ou un immense tableau blanc interactif qui se trouve juste à côté des autres outils du détective.
Au lieu de simplement regarder des données brutes, le Tableau permet au détective de dessiner sa propre histoire. Il possède quatre « super-pouvoirs » :
- Le Canevas (La Vue d'Ensemble) : Imaginez une feuille de papier géante et infinie où vous pouvez glisser-déposer des indices. Vous pouvez tracer des lignes reliant un utilisateur suspect à un fichier étrange qu'il a ouvert. Cela transforme un tas de données désordonnées en une carte visuelle claire.
- Les Points de Passage (Les Marqueurs « Voici ce que j'ai trouvé ») : Lorsqu'un détective trouve un indice important, il dépose un « drapeau » (un Point de Passage) sur la carte. C'est comme dire : « Arrêtez-vous ici ! Ceci est important. » Ce drapeau sauvegarde non seulement l'image, mais aussi les notes expliquant pourquoi elle était importante.
- Les Fil Conducteurs (L'Intrigue du Film) : À mesure que l'enquête progresse, le détective regroupe ces drapeaux en un « Fil Conducteur ». C'est comme créer un chapitre dans un roman policier. Cela raconte l'histoire du crime : « D'abord, l'utilisateur s'est connecté. Ensuite, il a téléchargé des fichiers. Puis, il a essayé de les cacher. » Cela aide le détective à garder toute l'intrigue en tête.
- La Liste de Contrôle (La Passation de Consignes) : Lorsque le quart de travail d'un détective se termine, il ne part pas simplement. Il utilise une liste de contrôle pour s'assurer qu'il n'a rien oublié et pour rédiger une note claire pour le prochain détective. C'est comme laisser une liste de tâches détaillée et une carte de l'endroit où il s'est arrêté, afin que la personne suivante puisse reprendre l'histoire exactement là où elle s'est interrompue.
Comment cela fonctionne en situation réelle (Le scénario de « Jay »)
L'article raconte l'histoire d'un détective nommé Jay pour montrer comment cela fonctionne :
- Le Début : Jay voit un nombre étrange de fichiers ouverts. Il dépose un « Point de Passage » sur le Tableau et écrit : « Peut-être s'agit-il d'un simple transfert de données ? »
- Le Rebondissement : Il vérifie les permissions de l'utilisateur et réalise qu'il ne s'agit pas d'un transfert de données. Il trace une ligne sur le Tableau reliant l'utilisateur aux fichiers, modifiant ainsi son histoire.
- La Collaboration : Plus tard, un autre détective arrive. Au lieu que Jay doive tout expliquer verbalement, le nouveau détective regarde simplement le Tableau. Il voit la carte, les drapeaux et les notes. Il comprend instantanément l'histoire que Jay était en train de construire.
- La Conclusion : Jay trouve la preuve que des données ont été volées. Il met à jour le « Fil Conducteur » en indiquant : « Confirmé : Vol de données. » Il coche sa liste, et l'équipe suivante sait exactement quoi faire.
Les « Règles d'Or » (Heuristiques de Conception)
Les chercheurs n'ont pas seulement construit un outil ; ils ont également rédigé un ensemble de six règles (appelées heuristiques) sur la façon de construire n'importe quel outil qui aide l'humain à mieux réfléchir en cybersécurité. Ces règles sont comme une liste de contrôle pour les concepteurs d'outils afin de s'assurer qu'ils ne rendent pas les choses plus confuses. Par exemple :
- Navigation : Puis-je facilement retracer mes pas ?
- Clarté : Cela m'aide-t-il à donner du sens au désordre ?
- Mémoire : Cela m'aide-t-il à me souvenir des choses pour que je n'aie pas à tout garder en tête ?
Ce qu'ils ont découvert (Jusqu'à présent)
L'article admet qu'il s'agit encore d'un prototype (un modèle très détaillé, pas encore un produit fini vendu en magasin).
- Ils ont testé l'outil à l'aide d'un « parcours cognitif » (cognitive walkthrough), qui est une sorte de simulation où l'on fait semblant d'être les détectives pour voir si l'outil est cohérent.
- Les premiers résultats suggèrent qu'il fonctionne bien pour aider les détectives à organiser leurs pensées et à partager des histoires avec leurs coéquipiers.
- Ils n'ont pas encore testé l'outil auprès de centaines de vrais détectives sur le terrain (c'est le plan pour l'avenir).
L'Essentiel
Cet article soutient que pour attraper les criminels numériques, nous avons besoin d'outils qui respectent le fonctionnement du cerveau humain. Le Threat Hunter Board est un nouveau type d'outil qui agit comme un carnet de croquis numérique et un livre d'histoires, aidant les détectives à transformer un chaos de données en une histoire claire et partagée que toute l'équipe peut comprendre et exploiter.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.