Towards a Cognitive-Support Tool for Threat Hunters
Dit artikel presenteert de Threat Hunter Board, een prototype tool ontworpen om het cognitieve en collaboratieve werk van threat hunters te ondersteunen door redeneringen te externaliseren en onderzoekssporen te organiseren, samen met een voorgesteld framework van zes designheuristieken voor het evalueren van dergelijke cognitieve ondersteuningssystemen.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
Stel je cybersecurity voor als een gigantisch, chaotisch detectiebureau. Binnen dit bureau werken speciale detectives genaamd Threat Hunters. Hun taak is niet alleen om te wachten tot er een alarm afgaat; ze moeten proactief door het digitale gebouw dwalen, op zoek naar aanwijzingen dat er iets mis is voordat iemand anders het merkt.
Het probleem is, volgens dit artikel, dat deze detectives zich bezighouden met een van de moeilijkste mentale taken ter wereld. Ze moeten duizenden kleine aanwijzingen combineren, raden wat een crimineel als volgende zou kunnen doen, en onthouden hoe alles met elkaar samenhangt. Momenteel zijn de hulpmiddelen die ze gebruiken alsof ze een vergrootglas en een zaklamp hebben, maar geen notitieblok, geen kaart en geen manier om met de rest van het team te praten zonder te vergeten wat ze net hebben gevonden.
Dit is wat de onderzoekers (van de University of Victoria) hebben gedaan om te helpen:
Het Probleem: Een Overbelast Brein
Denk aan het brein van een Threat Hunter als een whiteboard dat constant wordt uitgewist en opnieuw wordt beschreven. Ze moeten:
- Punten verbinden die ver uit elkaar liggen.
- Onthouden: "Wacht, ik dacht dat deze gebruiker verdacht was, maar toen controleerde ik dat bestand..."
- Wisselen tussen verschillende teams en diensten zonder de draad van het verhaal te verliezen.
Het artikel stelt dat bestaande tools geweldig zijn in het vinden van data, maar vreselijk zijn in het helpen van het menselijk brein om die data te organiseren. Het is alsof je een bibliotheek hebt met miljoenen boeken, maar zonder planken, zonder index en zonder de mogelijkheid om aantekeningen in de kantlijn te maken.
De Oplossing: Het "Threat Hunter Board"
De onderzoekers hebben een prototype-tool gebouwd genaamd het Threat Hunter Board. Je kunt dit zien als een digitale "commandocentrale" of een gigantisch, interactief whiteboard dat direct naast de andere tools van de detective staat.
In plaats van alleen naar ruwe data te kijken, laat het Board de detective toe om hun eigen verhaal te tekenen. Het heeft vier "superkrachten":
- Het Canvas (Het Grote Plaatje): Stel je een gigantisch, oneindig vel papier voor waar je aanwijzingen kunt slepen en neerzetten. Je kunt lijnen trekken die een verdachte gebruiker verbinden met een vreemd bestand dat zij hebben geopend. Het verandert een rommelige stapel data in een duidelijke visuele kaart.
- Waypoints (De "Hier heb ik iets gevonden"-markeringen): Wanneer een detective een belangrijke aanwijzing vindt, plaatst hij een "vlag" (een Waypoint) op de kaart. Het is alsof je zegt: "Stop hier! Dit is belangrijk." Deze vlag slaat niet alleen het plaatje op, maar ook de aantekeningen over waarom het belangrijk was.
- Storylines (Het Plot van de Film): Naarmate het onderzoek groeit, groepeert de detective deze vlaggen in een "Storyline". Dit is als het creëren van een hoofdstuk in een mysterieserie. Het vertelt het verhaal van de misdaad: "Eerst logde de gebruiker in. Daarna downloadden ze bestanden. Daarna probeerden ze deze te verbergen." Dit helpt de detective om het hele plot in hun hoofd te houden.
- De Checklist (De Overdracht van de Dienst): Wanneer de dienst van een detective eindigt, loopt hij niet zomaar weg. Hij gebruikt een checklist om er zeker van te zijn dat hij niets is vergeten en om een duidelijke notitie te schrijven voor de volgende detective. Het is als het achterlaten van een gedetailleerde "To-Do"-lijst en een kaart van waar hij is gebleven, zodat de volgende persoon het verhaal precies kan oppakken waar het stopte.
Hoe het werkt in de praktijk (Het "Jay"-scenario)
Het artikel vertelt een verhaal over een detective genaamd Jay om te laten zien hoe dit werkt:
- Het begin: Jay ziet dat er een vreemd aantal bestanden wordt geopend. Hij plaatst een "Waypoint" op het Board en schrijft: "Misschien is dit gewoon een dataoverdracht?"
- De wending: Hij controleert de rechten van de gebruiker en realiseert zich dat het geen dataoverdracht is. Hij tekent een lijn op het Board die de gebruiker verbindt met de bestanden, waardoor hij zijn verhaal aanpast.
- De samenwerking: Later sluit een andere detective aan. In plaats van dat Jay alles mondeling moet uitleggen, kijkt de nieuwe detective simpelweg op het Board. Ze zien de kaart, de vlaggen en de aantekeningen. Ze begrijpen direct het verhaal dat Jay aan het opbouwen was.
- De conclusie: Jay vindt bewijs dat er data is gestolen. Hij werkt de "Storyline" bij met de tekst: "Bevestigd: Datadiefstal." Hij vinkt zijn lijst af, en de volgende dienst weet precies wat te doen.
De "Vuistregels" (Design Heuristics)
De onderzoekers hebben niet alleen een tool gebouwd; ze hebben ook een reeks van zes regels (heuristieken) opgesteld voor hoe je elke tool kunt bouwen die een mens helpt beter na te denken in cybersecurity. Deze regels zijn als een checklist voor tool-ontwerpers om ervoor te zorgen dat ze de boel niet verwarrender maken. Bijvoorbeeld:
- Navigatie: Kan ik mijn stappen gemakkelijk terugvolgen?
- Helderheid: Helpt dit mij om de chaos begrijpelijk te maken?
- Geheugen: Helpt dit mij om dingen te onthouden, zodat ik ze niet allemaal in mijn hoofd hoef te houden?
Wat ze tot nu toe hebben ontdekt
Het artikel geeft aan dat dit nog een prototype is (een zeer gedetailleerd model, nog geen afgewerkt product dat in winkels wordt verkocht).
- Ze hebben het getest met een "cognitive walkthrough", wat een soort simulatie is waarbij ze doen alsof ze de detectives zijn om te zien of de tool logisch is.
- De eerste resultaten suggereren dat het goed werkt om detectives te helpen hun gedachten te organiseren en verhalen met teamgenoten te delen.
- Ze hebben het nog niet getest met honderden echte detectives in de praktijk (dat is het plan voor de toekomst).
De Kernboodschap
Dit artikel betoogt dat we, om digitale criminelen te vangen, tools nodig hebben die respect hebben voor de manier waarop het menselijk brein werkt. Het Threat Hunter Board is een nieuw soort tool dat fungeert als een digitaal schetsboek en verhalenboek, dat detectives helpt om een chaotische bende aan data te veranderen in een duidelijk, gedeeld verhaal dat het hele team kan begrijpen en waar zij op kunnen acteren.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.