[論文レビュー] Sonification in security operations centres: what do security practitioners think?

Louise Axon, Bushra Alahmadi+3 more|arXiv (Cornell University)|Jul 17, 2018

User Authentication and Security Systems参考文献 33被引用数 4

ひとこと要約

本研究は、セキュリティオペレーションセンター（SOC）におけるネットワークデータの音声化（音声によるデータ表現）統合について、セキュリティプロフェッショナルの視点を調査するものである。41名のSOCプロフェッショナルを対象としたアンケートとインタビューを通じて、周辺監視と異常検出が主な活用事例であることが明らかになった一方で、疲労、複雑さ、統合の難しさといった課題も浮き彫りにされ、高ストレスなSOC環境において効果的で疲労が少なく、柔軟な音声化システムを設計するための要件が導かれた。

ABSTRACT

In Security Operations Centres (SOCs) security practitioners work using a range of tools to detect and mitigate malicious computer-network activity. Sonification, in which data is represented as sound, is said to have potential as an approach to addressing some of the unique challenges faced by SOCs. For example, sonification has been shown to enable peripheral monitoring of processes, which could aid practitioners multitasking in busy SOCs. The perspectives of security practitioners on incorporating sonification into their actual working environments have not yet been examined, however. The aim of this paper therefore is to address this gap by exploring attitudes to using sonification in SOCs. We report on the results of a study consisting of an online survey (N=20) and interviews (N=21) with security practitioners working in a range of different SOCs. Our contribution is a refined appreciation of the contexts in which sonification could aid in SOC working practice, and an understanding of the areas in which sonification may not be beneficial or may even be problematic.We also analyse the critical requirements for the design of sonification systems and their integration into the SOC setting. Our findings clarify insights into the potential benefits and challenges of introducing sonification to support work in this vital security-monitoring environment.

研究の動機と目的

• SOCにおけるセキュリティプロフェッショナルが音声化を日常業務に統合する際にどのように捉えているかを理解すること。
• 音声化がSOCの監視および検出タスクを強化できる実用的かつ具体的な活用事例を同定すること。
• 特に疲労、複雑さ、使いやすさの観点から、現実のSOC環境における音声化システムの課題と設計要件を明らかにすること。
• SOC運用の独自の要件に適合した、ユーザー中心の音声化ツールの開発を支援すること。

提案手法

• 音声化の活用事例に関する初期の見解を収集する目的で、20名のセキュリティプロフェッショナルに対してオンラインアンケートを実施した。
• 21名のSOCプロフェッショナルを対象に、半構造化インタビューを実施し、態度、課題、設計ニーズについて深く探求した。
• インタビュー中に、ネットワークパケットの音声化プロトタイプを開発・実装し、議論を具体的な聴覚的表現に基づかせた。
• 反復的なフィードバックを通じて活用事例を精錬し、プロフェッショナルの意見に基づいて現実的で有益でないと判断されたものを除外した。
• インタビューのデータ分析を通じて、音声の複雑さ、カスタマイズ性、疲労軽減の観点から設計要件を抽出した。
• 定性的分析を用いて、SOCの騒音、ネットワークの複雑さ、認知負荷に関連する統合の課題を同定した。

実験結果

リサーチクエスチョン

• RQ1 SOC業務のどのような具体的な文脈において、音声化が実用的な利点をもたらすと考えられるか？
• RQ2 セキュリティプロフェッショナルが、既存のワークフローに音声化を統合するにあたり、予想される課題は何か？
• RQ3 現実のSOC環境において、音声化システムが効果的かつ使いやすいようにするために不可欠な設計要件は何か？
• RQ4 音声化による監視において、注意力散漫や聴取者疲労のリスクはどのように認識されているか？
• RQ5 従来の可視化ツールと比較して、音声化は周辺監視および異常検出をどのように支援しているか？

主な発見

• セキュリティプロフェッショナルは、マルチタスク処理中やSOC外での作業時など、周辺監視が音声化の主な活用事例であり、有望であると認識している。
• 音声化による異常検出は、従来の可視化手法と併用可能な有効な補完手段と見なされており、特に通常のネットワーク行動からの逸脱を特定するのに有効である。
• 聴取者疲労は深刻な懸念事項であり、多くのプロフェッショナルが、長時間にわたる音声化データへのさらなる暴露がパフォーマンスを低下させ、使い勝手を損なう可能性があると警告している。
• 認知負荷を最小限に抑えるために、特に主要監視作業以外のタスクにおいても、低複雑性の聴覚的ディスプレイが強く求められている。
• プロフェッショナルは、音声化システムが柔軟でカスタマイズ可能であり、異なるSOCタイプ、ネットワークのベースライン、職務役割に適応可能である必要があると強調している。
• トレーニングとシステムチューニングが重要な課題であると同定されており、ネットワークの「通常動作」に音声化をカスタマイズするのには時間がかかり、ユーザーが音声を的確に解釈できるように訓練するのにも多くの時間がかかるとされている。