壹、引言
由於技術在不同領域的擴展，如金融服務、醫療服務、公***服務以及水、電、電信等關鍵基礎設施，計算機安全已成為社會的壹個基本要素。根據麻省理工學院(MIT)的說法，安全團隊將面臨的風險主要是針對物聯網(IoT)設備、區塊鏈和關鍵基礎設施[1]的攻擊;例如，麻省理工學院提到，攻擊者在2019年主要使用人工智能和量子技術進行攻擊。這種情況涉及有準備充分的組織和有能力面對這些新挑戰的安全專業人員;在國際層面上，壹些組織已經定義了通過稱為計算機事件響應小組(CSIRTs)[2]的專家和研究人員團隊快速響應安全風險的策略。CSIRT由來自網絡安全、法律、心理學和數據分析師等領域的專家組成。CSIRT根據預先設定的程序和政策，對網絡安全事件做出快速有效的反應，並降低網絡攻擊的風險。
CSIRTs中的安全分析人員需要處理大量的數據，以便i)確定觸發可能的攻擊警報的模式或異常，ii)更快速和有效地執行檢測過程。CSIRTs的成員正在尋求基於技術解決方案的新策略，如大數據、機器學習和數據科學[3]。為了加快數據分析方法[4]的研究進程，美國國家標準與技術研究院(NIST)等國際組織啟動了數據科學研究計劃(DSRP)。在網絡安全領域，認知科學在信息安全過程中的應用推動了認知安全[5]的概念;這允許進行預測性和說明性分析，從而提供安全攻擊的可能影響的視圖。CSIRTs成功的另壹個關鍵因素是團隊協作能力和對不同環境的適應能力。在21世紀的[7]時代，安全專業人員需要團隊合作、批判性思維和溝通等技能。2015年9月,壹個之間的協作計算機協會(ACM), IEEE計算機協會(IEEE CS),信息系統協會特殊利益集團對信息安全和隱私(AIS SIGSEC),以及國際信息處理聯合會技術委員會信息安全教育(11.8聯合會WG)提出了壹個網絡安全教育課程指南提到非技術技能計價的軟技能,對於安全專業人員來說至關重要，並專註於:團隊合作、溝通、情景感知的生成，以及使用不同組織文化[8]的操作。
在組織中產生網絡安全態勢感知的能力允許確定積極的策略來面對正在進行的和即將到來的攻擊或威脅。情境意識產生於三個認知過程:認知、理解和投射。認知過程是人類行為固有的，它會受到不同因素的影響，例如:壓力、疲勞、分心、物理或環境條件。分析任務的績效以及這些因素的影響是壹些研究者感興趣的。例如，Robert Karasek提出了需求控制模型[9]，該模型研究了計算機人員在不同工作領域的認知、情感和身體需求，計算機人員的心理需求水平較高。在此背景下，發展認知策略在信息加工的各個層面都是必要的;此外，還需要分析執行功能如何通過:抑止控制、工作記憶處理[10]優化來整合各級信息處理，從而幫助網絡安全專業人員高效工作和充足的響應時間。
在這項研究中，我們提出了壹個模型來整合網絡安全領域的認知技能、團隊合作和數據分析，如圖1所示。認知安全可以利用安全分析人員的認知能力的特點，將這種知識和智能轉移到計算機系統中;通過這樣做，他們可以向安全團隊執行壹個即時響應動作或通知，以做出針對安全攻擊的決策，如圖1所示。
研究的其余部分組織如下。第二節介紹了有關自動網絡安全響應的相關工作。第三節介紹了心理學在網絡安全中的重要性的背景。第四部分提出了壹個基於認知過程的自動化網絡安全框架的建議。最後，第六部分總結了本文的研究結論，並提出了今後的工作方向。
二、相關工作
根據麻省理工學院評論[11]的分析，在2018年，城市將安裝多層傳感器來監測空氣質量、垃圾水平或交通量;這壹預測，加上Gartnert對2020年的預測，[12]將有204億臺聯網設備。在新的安全場景中，組織必須面對網絡或計算平臺的規模和復雜性的急劇變化，這些網絡或計算平臺是組織支持服務提供和設備連接的基礎。在這種新的背景下，傳統的安全解決方案的行動能力和人類對安全事件的檢測和響應能力受到了限制。為組織和研究人員評估的網絡安全的替代方案是使用認知模型作為壹種提議，以增強計算環境的安全性和擴大人類的分析能力。
在[13]中，作者提出了壹個基於機器學習的檢測與基於時間邏輯的分析的組合，允許區分異常和啟用動態網絡響應。在[14]中，包括對個人設備的認知安全的使用，以允許設備識別所有者和自主安全，以便設備采取自己的安全決策。基於函數和依賴關系[15]的知識，可以實現診斷的自動化。在“數字服務生態系統中的自主計算方法調查”[16]中，提出了應用自主計算概念的25種不同的數字生態系統，在[13]中，提出了認知安全方法如何能夠建立“良好異常”來建立正常的操作參數，以及任何變化如何生成網絡設備的自動自動重新配置來控制數據流。
三、認知技能和網絡安全
a 態勢感知
態勢感知被定義為，從心理學領域，作為壹種能力，產生對他的生活的理解，基於他的經驗[17]。這壹概念已適用於計算機系統領域;例如，Lewis將計算系統的自我意識定義為基於內部和外部事件[18]獲取自身知識的能力。在[19]中，自我意識被定義為為計算機系統生成關於自身和環境的知識，並根據這些知識決定將要執行的行動的能力。
1)網絡安全態勢感知(CSA):態勢感知(SA)的概念描述了組織當前的威脅和攻擊情況，可能的攻擊的影響，以及攻擊者的識別和用戶行為[20]。分析人員必須了解安全情況並確定影響的可能性。為了生成態勢感知，我們可以使用OODA循環。Breton提出的認知OODA循環是基於感知、理解和投射[21]的認知過程。表壹展示了認知階段、認知過程和根據Brenton的提案產生的產品之間的關系。
2)網絡認知態勢感知(CCSA):
為了建立組織的網絡安全態勢意識，我們可以依靠面向決策過程的認知方面的支持。適應了網絡空間的感知、理解和投射的認知過程，我們將擁有如表二所示的關系。
b .非技術技能
美國國土安全部(DHS)和國家網絡安全聯盟(NCSA)等組織都開展了國家網絡安全意識月活動，在2018年慶祝了第15屆[22]，以促進社區了解數字環境中的風險和威脅的相關方面。在這些領域中，安全專業人員必須具有非技術技能，以便能夠以清晰和壹致的方式向壹組沒有技術背景的人員傳播知識。針對組織內的網絡安全，防禦策略基於風險管理，如圖2所示分為四個級別的網絡安全風險管理生命周期。
在網絡安全風險管理生命周期內，至少需要以下人員:
?團隊領導/協調員;
?負責系統和信息安全;
?溝通團隊或公關;
?分類器或分類;
?事件管理團隊-二級;
?法律團隊。
這強調了在壹個由不同學科的專業人員***同協作的環境中發展協作技能的必要性，因此團隊合作對於網絡安全專家來說是壹項非常重要的技能。Newstrom提到，21世紀的組織或公司更加靈活，能夠迅速適應變化，橫向關系更加有效;因此，今天的組織更加重視靈活的結構和橫向溝通。任務和角色以更開放的方式定義，環境更加動態，團隊的創建允許實現所描述的方面。莫林認為，復雜性和多學科工作是21世紀的壹部分，未來的教育必須以人類狀況和人類之間的多樣化關系為中心。Morin在《21世紀教育》中提到的另壹個重要方面是讓學生準備好面對日常生活中不同事件所產生的不確定性。
關於Morin提到的關於關註學生人性方面的第壹個方面，開始強調以加強技能為重點的培訓可能是很重要的。芒福德將技能分為四類[25]:
1)認知能力;
2)人際交往能力;
3)業務技能;
4)戰略技能。
壹般來說，在網絡安全領域的大學主要關註提高認知、商業和戰略技能，但不太關註非技術技能。根據Mumford提出的分類，團隊合作、協作、溝通和網絡被包括在人際交往技能的類別中。未來的網絡安全專業人士正在大學學習;因此，工程教育需要鼓勵非技術技能的發展。Kyllonen提出了21世紀需要的技能，其中以下提到[7]:
?批判性思維;
?口頭和書面溝通;
?勞動倫理;
?團隊合作;
?合作;
?專業;
?故障排除。
良好的網絡安全工作人員框架[26]為安全專業人員建立了壹套知識、技能和能力與非技術方面相關，如:
?有能力參與計劃小組，協調小組和任務小組的工作;
?能夠運用合作技巧和策略;
?應用批判性閱讀/思考技能的能力;
?與他人有效合作的能力。
關於Morin在計算機科學領域提出的第二個方面，即不確定性，壹些作者如[27]和[28]提到，軟件開發過程中的不確定性可能與人的參與、並發性和問題領域的不確定性有關。在軟件環境中，產品的開發和用戶最初提出的需求的變化之間可能會出現不確定性。在網絡安全領域，不確定性可能與其他方面有關，如時間、類型和網絡攻擊的目標。
團隊合作也會產生不確定性;在[29]中，作者提到，不確定性可以在人的功能和環境工作中產生，取決於諸如先見者、利他主義智力、收獲和意外收獲等變量。在[30]中，作者認為，不確定性取決於團隊的結構和成員之間的相互作用。
如圖3所示，在21世紀的教育背景下，對計算機科學工程專業的學生進行網絡安全領域的教育，主要有四個方面是必須要做的。
四、基於認知技能的網絡安全自動反應
我們對事件反應自動化的建議是基於建立態勢意識的重要性，在理解組織安全的積極和消極方面的基礎上做出正確的決策。我們的提議利用了協作的方法來產生自我意識和決策，是基於安全分析師的認知過程的重要性，以能夠確定壹個安全事件在多個事件之間，它必須被識別出壹個異常行為，可以警告攻擊。我們的建議中考慮的壹個方面是為了加強認知過程。在2017年RSA會議上，IBM[31]展示了安全分析師在調查事件時必須執行的認知任務，在表III中，我們提出了網絡安全認知任務和認知過程之間的聯系。
對於自動響應安全事件的過程，我們提出了如圖4所示的分層架構。我們的建議強調分析層，在分析層中對不同來源(如傳感器、日誌或安全博客)獲得的數據進行理解。此外，在這壹層中，安全分析人員的經驗和有效的溝通是最基本的，因為它將預測充分評估事件，並將其歸類為事件，並建立最適當的決策，以減少攻擊的影響。具體地說，在這壹層中，我們提出了兩個允許建立情境意識的子組件:i)自動學習的子組件和ii)團隊合作。這兩個子組件***享壹種直接交流的方式，目的是生成標簽，用於培訓基於分析人員通過互動和交換思想生成的知識的監督學習算法。另壹方面，無監督學習算法可以檢測不容易檢測到的模式或異常，並提醒安全分析人員確定它們是否與***同的安全攻擊相對應。
設計了壹個基於數據管理流程的框架，以確保不同層次數據的完整性和質量;然後,它包括:
?收集;
?準備;
?分析;
?可視化;
?訪問。
在下面的圖4中，我們將詳細描述組成我們所提議的框架的層。
a)網絡收集層:涵蓋將用於創建網絡安全態勢感知的信息來源。在資料來源中，可以考慮下列情況:
?網絡模擬平臺;
?傳感器;
?入侵檢測系統;
?脆弱性分析;
?安全門戶、博客或訂閱源;
?netflow;
?服務器和網絡設備日誌。
b)基礎設施層:基礎設施層包含以下組件:
?數據收集服務器，在這些服務器中，將對不同來源的信息進行數據攝取處理。至少考慮三個服務器來實現負載平衡和高可用性。
?索引服務器，在這些服務器中執行數據索引的過程，並在此基礎上定義屬性，在此基礎上對數據進行調試和處理，生成可視化層的信息。至少考慮兩臺服務器用於負載平衡和高可用性進程。
?隊列管理服務器,該服務器建立流程管理大數據解決方案的處理資源在多個請求信息同時執行報告服務器和數據可視化,這個服務器處理數據可視化工具,允許與分析師能夠執行的交互信息的查詢。
?入侵檢測服務器，在此服務器中定義了檢測與安全攻擊相關的模式的規則，服務器可以訪問安全傳感器。
?警報管理服務器，在此服務器中，警報管理被定義為在檢測到異常模式時通知分析師，在此服務器中包含了壹個事件管理系統，允許在檢測到安全事件前對升級進行流控制。
c)索引層:用於定義搜索字典。
d)態勢感知層:這壹層是我們的核心建議。在這壹層的目標是建立壹個基線安全狀態的壹個組織,為此我們考慮兩個部分,第壹個組成的機器學習算法,允許識別模式或異常基於預處理來自不同數據源的數據服務器日誌,第二部分稱為團隊合作產生自我意識的建立基於CSIRT安全分析人士的合作。基於團隊產生的知識，妳可以訓練學習算法來提高它們的準確性。
e)分類層:它定義了針對安全分析師、CsIRT或事件管理過程中的其他參與者生成的警報。根據良好做法，明智的做法是定義警報級別的分類。
f)自動響應層:它定義了可以自動的響應動作，因為這對於建立安全事件管理計劃是必要的。
五、討論
在心理學研究中，工作績效是壹個尋求提高工作績效的話題，考慮到個人和環境變量。我們在這項研究中分析的變量是在網絡安全領域執行事件管理的專業人員的認知技能。我們認為，與執行功能相關的認知過程越高，安全分析人員所解決的任務的性能就越好，這是由於對減少攻擊影響的快速響應要求越高。出於這個原因，加強認知靈活性是至關重要的，以便i)擴大事件數據的分析，ii)能夠可視化更多的可能性，以面對網絡攻擊，ii)發展抑制控制，以提高其決策的精確度和有效性。另壹方面，工作記憶對於經驗的儲存和隨後對這些信息的使用起著至關重要的作用，所以這種認知過程也有助於對組織所面臨的風險和威脅的情況形成意識。另壹個關鍵變量與事件管理專業人員工作中的壓力管理有關，以制定策略，使他們能夠抵消勞動力需求。
在基於態勢感知的網絡安全管理模型中，分析執行功能是否集成感知、理解和投射過程，以提高任務績效，可以增強決策過程。非技術技能在許多方面起著至關重要的作用，因為如果沒有足夠的溝通和建立***享知識的能力，網絡安全團隊將無法達到應對安全攻擊所需的效率。例如，在面對出現的事件或問題時，處理復雜性不應該由安全分析人員進行簡單的推理，而是要能夠生成表示復雜性的心理模型，並作為壹個團隊進行工作。這種理解可能很復雜，因此，管理***享的心理地圖等建議可能具有重要意義。另壹個事實是多學科工作，來自不同領域的專家必須壹起參與，但是由於對這對搭檔的知識有限、不同的技術詞匯和異質的工作方法，存在交互問題。最後，處理活動或與其他團隊成員交互的結果的不確定性。
提出的大數據模型涵蓋了網絡安全狀態(網絡安全態勢感知)知識生成必須考慮的不同組成部分。僅僅實現壹個大數據架構是不足以解決處理海量數據處理的問題的，我們應該致力於尋找可靠的信息源，建立數據質量控制流程，生成安全承諾指標，並定義更新數據時間。
為了從安全分析師可以處理的信息中建立態勢感知，我們提出了壹個由4個模塊組成的框架，如圖5所示:來源、認知過程、協作安全任務和軟技能。團隊合作支持四個模塊。在[23]中，作者提到團隊的目標是鼓勵成員分析他們壹起工作的方式，識別他們的弱點，並開發新的協作形式。要做到這壹點，學習過程必須把重點放在任務上。按照裝備建設[23]的Newstrom模型，我們在網絡安全領域提出以下建議:
?經過培訓的專家識別問題;
?數據收集;
?反饋行動計劃的制定;
?生成態勢感知;
?解決方案經驗;
?持續改進。
六、結論和未來工作
技術和社會的變化產生了動態和復雜的環境，產生了大量的數據。這壹事實給安全分析人員帶來了新的挑戰，他們必須處理數據以確定允許識別威脅或安全攻擊的模式或異常情況。認知安全的使用提供了在短時間內處理大量不同格式數據的能力，從而提高了安全操作的有效性。在網絡安全領域，大數據主要用於監控行動和異常檢測，這些行動集中在反應性安全策略上，但其他安全活動可以通過大數據分析增強，用於主動戰略，如威脅搜索或網絡欺騙。
事件管理的網絡安全任務包括識別有關事件的數據，以確定攻擊場景的振幅。從有關威脅和攻擊的數據中發展經驗，可以建立對網絡安全狀況的意識。建立網絡安全態勢意識需要認知和情感技能，其中認知過程的能力至關重要;感知和註意是允許安全分析人員從外部環境收集信息的第壹個過濾器。與工作記憶、認知靈活性和抑制性控制相關的高級認知過程參與決策和事件管理任務中外部化的行為。
通過以下兩種技能，可以實現安全分析師認知過程的持續改進:
1)過程控制。過程控制是團隊成員的壹項重要技能，因為它幫助成員有建設性地感知、理解和反應。
2)反饋讓妳有數據支撐妳的決定，根據他們對團隊其他成員的看法自我修正。
關於大數據和機器學習在安全領域的應用，在商業和學術領域有不同的建議;然而，它們並沒有得到廣泛實施。我們認為，今後壹項可能的工作是分析造成這種情況的原因，壹般來說，可能是預算、人員經驗、技術支持不足。此外，通過焦點小組進行的綜述可能是補充本研究的重要貢獻。