Towards a Cognitive-Support Tool for Threat Hunters
Este artigo apresenta o Threat Hunter Board, um protótipo de ferramenta projetado para apoiar o trabalho cognitivo e colaborativo de caçadores de ameaças ao externalizar o raciocínio e organizar pistas investigativas, juntamente com um framework proposto de seis heurísticas de design para avaliar tais sistemas de suporte cognitivo.
Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo
Imagine a cibersegurança como uma agência de detetives gigante e caótica. Dentro desta agência, existem detetives especiais chamados Threat Hunters (Caçadores de Ameaças). O trabalho deles não é apenas esperar que um alarme toque; eles têm de percorrer proativamente o edifício digital, procurando pistas de que algo de mau está a acontecer antes que qualquer outra pessoa note.
O problema, de acordo com este artigo, é que estes detetives estão a realizar um dos trabalhos mentais mais difíceis do mundo. Eles têm de equilibrar milhares de pequenas pistas, adivinhar o que um criminoso poderá fazer a seguir e lembrar-se de como tudo se encaixa. Atualmente, as ferramentas que utilizam são como ter uma lupa e uma lanterna, mas sem um caderno, sem um mapa e sem uma forma de falar com o resto da equipa sem esquecerem o que acabaram de encontrar.
Aqui está o que os investigadores (da Universidade de Victoria) fizeram para ajudar:
O Problema: Uma Sobrecarga Cerebral
Pense na mente de um Threat Hunter como um quadro branco que é constantemente apagado e reescrito. Eles têm de:
- Conectar pontos que estão distantes entre si.
- Lembrar-se: "Espera, eu achei que este utilizador era suspeito, mas depois verifiquei aquele ficheiro..."
- Alternar entre diferentes equipas e turnos sem perder o fio da meada.
O artigo diz que as ferramentas existentes são ótimas a encontrar dados, mas são péssimas a ajudar o cérebro humano a organizar esses dados. É como ter uma biblioteca com milhões de livros, mas sem prateleiras, sem índice e sem forma de escrever notas nas margens.
A Solução: O "Threat Hunter Board"
Os investigadores construíram um protótipo de ferramenta chamado Threat Hunter Board. Pode pensar nisto como um "centro de comando" digital ou um quadro branco gigante e interativo que fica mesmo ao lado das outras ferramentas do detetive.
Em vez de apenas olhar para dados brutos, o Board permite ao detetive desenhar a sua própria história. Tem quatro "superpoderes" principais:
- O Canvas (A Visão Geral): Imagine um papel gigante e infinito onde pode arrastar e largar pistas. Pode desenhar linhas ligando um utilizador suspeito a um ficheiro estranho que ele abriu. Transforma uma pilha desordenada de dados num mapa visual claro.
- Waypoints (Marcadores de "Aqui está o que encontrei"): Quando um detetive encontra uma pista importante, ele coloca uma "bandeira" (um Waypoint) no mapa. É como dizer: "Pare aqui! Isto é importante." Esta bandeira guarda não apenas a imagem, mas também as notas sobre por que razão aquilo era importante.
- Storylines (O Enredo do Filme): À medida que a investigação cresce, o detetive agrupa estas bandeiras numa "Storyline" (Linha de História). Isto é como criar um capítulo num romance de mistério. Conta a história do crime: "Primeiro, o utilizador fez login. Depois, descarregou ficheiros. Depois, tentou escondê-los." Isto ajuda o detetive a manter todo o enredo na cabeça.
- O Checklist (A Passagem de Turno): Quando o turno de um detetive termina, ele não se vai embora simplesmente. Ele utiliza um checklist para garantir que não deixou passar nada e para escrever uma nota clara para o próximo detetive. É como deixar uma lista de "Tarefas a Fazer" detalhada e um mapa de onde parou, para que a próxima pessoa possa retomar a história exatamente onde ela parou.
Como Funciona na Vida Real (O Cenário do "Jay")
O artigo conta a história de um detetive chamado Jay para mostrar como isto funciona:
- O Início: Jay vê um número estranho de ficheiros a ser aberto. Ele coloca um "Waypoint" no Board e escreve: "Talvez isto seja apenas uma transferência de dados?"
- A Reviravolta: Ele verifica as permissões do utilizador e percebe que não é uma transferência de dados. Ele desenha uma linha no Board ligando o utilizador aos ficheiros, alterando a sua história.
- A Colaboração: Mais tarde, outro detetive junta-se a ele. Em vez de Jay ter de explicar tudo verbalmente, o novo detetive apenas olha para o Board. Ele vê o mapa, as bandeiras e as notas. Compreende instantaneamente a história que Jay estava a construir.
- A Conclusão: Jay encontra provas de que os dados foram roubados. Ele atualiza a "Storyline" para dizer: "Confirmado: Roubo de Dados". Ele marca a sua lista e o próximo turno sabe exatamente o que fazer.
As "Regras de Ouro" (Heurísticas de Design)
Os investigadores não construíram apenas uma ferramenta; eles também escreveram um conjunto de seis regras (chamadas heurísticas) sobre como construir qualquer ferramenta que ajude o pensamento humano em cibersegurança. Estas regras são como um checklist para designers de ferramentas, para garantir que não estão a tornar as coisas mais confusas. Por exemplo:
- Navegação: Consigo retratar os meus passos facilmente?
- Clareza: Isto ajuda-me a dar sentido à confusão?
- Memória: Isto ajuda-me a lembrar-me das coisas para que não tenha de as manter todas na minha cabeça?
O Que Descobriram (Até Agora)
O artigo admite que isto ainda é um protótipo (um modelo muito detalhado, não um produto finalizado para venda nas lojas ainda).
- Testaram utilizando um "percurso cognitivo" (cognitive walkthrough), que é como uma simulação onde fingem ser os detetives para ver se a ferramenta faz sentido.
- Os resultados iniciais sugerem que funciona bem para ajudar os detetives a organizar os seus pensamentos e a partilhar histórias com os colegas de equipa.
- Ainda não o testaram com centenas de detetives reais no terreno (este é o plano para o futuro).
A Conclusão Principal
Este artigo defende que, para apanhar criminosos digitais, precisamos de ferramentas que respeitem o funcionamento do cérebro humano. O Threat Hunter Board é um novo tipo de ferramenta que atua como um caderno de esboços digital e um livro de histórias, ajudando os detetives a transformar uma confusão caótica de dados numa história clara e partilhada que toda a equipa consegue compreender e agir.
Afogado em artigos na sua área?
Receba digests diários dos artigos mais recentes que correspondam às suas palavras-chave de pesquisa — com resumos técnicos, no seu idioma.