Towards a Cognitive-Support Tool for Threat Hunters
Questo articolo presenta il Threat Hunter Board, un prototipo di strumento progettato per supportare il lavoro cognitivo e collaborativo dei threat hunter attraverso l'esternalizzazione del ragionamento e l'organizzazione degli indizi investigativi, insieme a un framework proposto di sei euristiche di progettazione per la valutazione di tali sistemi di supporto cognitivo.
Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo
Immagina la cybersecurity come una gigantesca e caotica agenzia di investigazione. All'interno di questa agenzia, ci sono investigatori speciali chiamati Threat Hunters (Cacciatori di Minacce). Il loro compito non è solo aspettare che scocchi un allarme; devono vagare proattivamente attraverso l'edificio digitale, cercando indizi che qualcosa di brutto stia accadendo prima che qualcun altro se ne accorga.
Il problema, secondo questo articolo, è che questi investigatori stanno compiendo uno dei lavori mentali più difficili del mondo. Devono gestire migliaia di piccoli indizi, ipotizzare cosa potrebbe fare un criminale dopo e ricordare come tutto si incastri tra loro. Attualmente, gli strumenti che usano sono come avere una lente d'ingrandimento e una torcia, ma senza un taccuino, senza una mappa e senza un modo per parlare con il resto del team senza dimenticare ciò che si è appena trovato.
Ecco cosa hanno fatto i ricercatori (dell'Università di Victoria) per aiutare:
Il Problema: Un Sovraccarico Mentale
Pensa alla mente di un Threat Hunter come a una lavagna che viene costantemente cancellata e riscritta. Devono:
- Collegare punti che sono lontani tra loro.
- Ricordare: "Aspetta, pensavo che questo utente fosse sospetto, ma poi ho controllato quel file..."
- Passare da un team all'altro e da un turno all'altro senza perdere il filo della storia.
L'articolo afferma che gli strumenti esistenti sono ottimi per trovare i dati, ma sono terribili nell'aiutare il cervello umano a organizzare quei dati. È come avere una biblioteca con milioni di libri ma senza scaffali, senza un indice e senza un modo per scrivere note a margine.
La Soluzione: Il "Threat Hunter Board"
I ricercatori hanno costruito un prototipo di strumento chiamato Threat Hunter Board. Puoi immaginarlo come un centro di comando digitale o una grande lavagna interattiva che si trova proprio accanto agli altri strumenti dell'investigatore.
Invece di guardare solo dati grezzi, la Board permette all'investigatore di disegnare la propria storia. Ha quattro "superpoteri" principali:
- La Tela (Il Quadro Generale): Immagina un enorme foglio di carta infinito dove puoi trascinare e rilasciare indizi. Puoi disegnare linee che collegano un utente sospetto a un file strano che ha aperto. Trasforma un ammasso disordinato di dati in una mappa visiva chiara.
- I Waypoint (I Segnalini "Ecco Cosa Ho Trovato"): Quando un investigatore trova un grande indizio, posiziona una "bandierina" (un Waypoint) sulla mappa. È come dire: "Fermati qui! Questo è importante". Questa bandiera salva non solo l'immagine, ma anche le note sul perché fosse importante.
- Le Storyline (La Trama del Film): Man mano che l'indagine cresce, l'investigatore raggruppa queste bandierine in una "Storyline". Questo è come creare un capitolo in un romanzo giallo. Racconta la storia del crimine: "Per prima cosa, l'utente ha effettuato l'accesso. Poi, ha scaricato dei file. Poi, ha cercato di nasconderli". Questo aiuta l'investigatore a tenere l'intera trama nella testa.
- La Checklist (Il Passaggio di Consegne): Quando il turno di un investigatore finisce, non se ne va semplicemente. Usa una checklist per assicurarsi di non aver tralasciato nulla e per scrivere una nota chiara per l'investigatore successivo. È come lasciare una lista dettagliata di "cose da fare" e una mappa di dove si era interrotto, in modo che la persona successiva possa riprendere la storia esattamente da dove si era fermata.
Come Funziona Nella Realtà (Lo Scenario di "Jay")
L'articolo racconta la storia di un investigatore di nome Jay per mostrare come funziona questo sistema:
- L'Inizio: Jay vede un numero insolito di file che vengono aperti. Posiziona un "Waypoint" sulla Board e scrive: "Forse si tratta solo di un trasferimento dati?".
- Il Colpo di Scena: Controlla i permessi dell'utente e si rende conto che non è un trasferimento dati. Disegna una linea sulla Board che collega l'utente ai file, cambiando la sua storia.
- La Collaborazione: Più tardi, un altro investigatore si unisce a lui. Invece di dover spiegare tutto a voce, il nuovo investigatore guarda la Board. Vede la mappa, le bandierine e le note. Capisce istantaneamente la storia che Jay stava costruendo.
- La Conclusione: Jay trova la prova che i dati sono stati rubati. Aggiorna la "Storyline" dicendo: "Confermato: Furto di dati". Spunta la sua lista e il turno successivo sa esattamente cosa fare.
Le "Regole d'Oro" (Euristiche di Design)
I ricercatori non si sono limitati a costruire uno strumento; hanno anche scritto un insieme di sei regole (chiamate euristiche) su come costruire qualsiasi strumento che aiuti meglio il pensiero umano nella cybersecurity. Queste regole sono come una checklist per i progettisti di strumenti, per garantire che non rendano le cose ancora più confuse. Ad esempio:
- Navigazione: Posso ripercorrere facilmente i miei passi?
- Chiarezza: Questo mi aiuta a dare un senso al caos?
- Memoria: Questo mi aiuta a ricordare le cose in modo da non doverle tenere tutte nella mia testa?
Cosa Hanno Scoperto (Per Ora)
L'articolo ammette che si tratta ancora di un prototipo (un modello molto dettagliato, non un prodotto finito in vendita nei negozi).
- Lo hanno testato usando un "cognitive walkthrough", che è una sorta di simulazione in cui fingono di essere gli investigatori per vedere se lo strumento ha senso.
- I primi risultati suggeriscono che funziona bene per aiutare gli investigatori a organizzare i propri pensieri e a condividere storie con i compagni di squadra.
- Non lo hanno ancora testato con centinaia di veri investigatori "sul campo" (questo è il piano per il futuro).
In Breve
Questo articolo sostiene che, per catturare i criminali digitali, abbiamo bisogno di strumenti che rispettino il modo in cui funzionano i cervelli umani. Il Threat Hunter Board è un nuovo tipo di strumento che funge da taccuino per schizzi e libro di storie digitale, aiutando gli investigatori a trasformare un caos di dati in una storia chiara e condivisa che l'intero team può comprendere e su cui può agire.
Sommerso dagli articoli nel tuo campo?
Ricevi digest giornalieri degli articoli più recenti corrispondenti alle tue parole chiave di ricerca — con riassunti tecnici, nella tua lingua.