[논문 리뷰] Sonification in security operations centres: what do security practitioners think?

Louise Axon, Bushra Alahmadi외 3명|arXiv (Cornell University)|2018. 07. 17.

User Authentication and Security Systems참고 문헌 33인용 수 4

한 줄 요약

이 연구는 보안 운영 센터(SOC)에서 네트워크 데이터를 시각화하는 데 사용되는 소리(소니피케이션)를 통합하는 데 있어 보안 전문가들의 시각을 조사한다. 41명의 SOC 전문가를 대상으로 한 설문조사와 인터뷰를 통해 연구는 주로 주변 감시와 이상 탐지 기능이 핵심 활용 사례로 나타나며, 피로, 복잡성, 통합 문제 등 도전 과제가 존재함을 밝혀내어, 고압적이고 압축된 SOC 환경에서 효과적이고 피로를 최소화하며 유연한 소니피케이션 시스템을 설계하기 위한 요구사항을 도출한다.

ABSTRACT

In Security Operations Centres (SOCs) security practitioners work using a range of tools to detect and mitigate malicious computer-network activity. Sonification, in which data is represented as sound, is said to have potential as an approach to addressing some of the unique challenges faced by SOCs. For example, sonification has been shown to enable peripheral monitoring of processes, which could aid practitioners multitasking in busy SOCs. The perspectives of security practitioners on incorporating sonification into their actual working environments have not yet been examined, however. The aim of this paper therefore is to address this gap by exploring attitudes to using sonification in SOCs. We report on the results of a study consisting of an online survey (N=20) and interviews (N=21) with security practitioners working in a range of different SOCs. Our contribution is a refined appreciation of the contexts in which sonification could aid in SOC working practice, and an understanding of the areas in which sonification may not be beneficial or may even be problematic.We also analyse the critical requirements for the design of sonification systems and their integration into the SOC setting. Our findings clarify insights into the potential benefits and challenges of introducing sonification to support work in this vital security-monitoring environment.

연구 동기 및 목표

• SOC에서 일하는 보안 전문가들이 일상적인 워크플로우에 소니피케이션을 통합하는 데 대해 어떻게 인식하고 있는지 이해하기 위해.
• 소니피케이션을 통해 모니터링 및 탐지 작업을 향상시킬 수 있는 실질적인 활용 사례를 특정하기 위해.
• 특히 피로, 복잡성, 사용성 측면에서 실제 SOC 환경에서의 소니피케이션 시스템에 대한 도전 과제와 설계 요구사항을 밝혀내기 위해.
• SOC 운영의 고유한 요구사항을 감안해 사용자 중심의 효과적인 소니피케이션 도구 개발을 뒷받침하기 위해.

제안 방법

• 초기 소니피케이션 활용 사례에 대한 인사이트를 확보하기 위해 20명의 보안 전문가를 대상으로 온라인 설문조사를 실시하였다.
• 21명의 SOC 전문가를 대상으로 반구조화된 인터뷰를 진행하여 태도, 도전 과제, 설계 요구사항을 깊이 있게 탐구하였다.
• 인터뷰 중에 네트워크 패킷의 소니피케이션 프로토타입을 개발하고 구현하여 논의를 구체적인 청각적 표현에 기반하게 하였다.
• 전문가의 피드백을 반복적으로 반영하여 실용적이거나 유익하지 않다고 판단되는 활용 사례를 폐기하였다.
• 인터뷰 데이터 분석을 통해 소리의 복잡성, 개인화, 피로 완화에 중점을 둔 설계 요구사항을 도출하였다.
• 질적 분석을 통해 SOC 내 소음, 네트워크 복잡성, 인지적 부하와 관련된 통합 과제를 식별하였다.

실험 결과

연구 질문

• RQ1 SOC 업무의 어떤 특정 맥락에서 소니피케이션이 실질적인 이점을 제공할 수 있는가?
• RQ2 보안 전문가들이 기존 워크플로우에 소니피케이션을 통합하는 데 있어 예상하는 도전 과제는 무엇인가?
• RQ3 실제 SOC 환경에서 효과적이고 사용 가능한 소니피케이션 시스템을 위해 필수적인 설계 요구사항은 무엇인가?
• RQ4 소니피케이션 기반 감시에서의 산만함과 청취자 피로의 위험은 전문가들이 어떻게 평가하는가?
• RQ5 기존의 시각화 도구와 비교해 소니피케이션이 주변 감시와 이상 탐지에 어떤 역할을 하는가?

주요 결과

• 보안 전문가들은 다중 작업 중이거나 SOC 외부에 있을 때의 주변 감시가 소니피케이션의 핵심이자 유망한 활용 사례로 지목하였다.
• 기존의 시각화 기법과의 보완으로서 소니피케이션을 통한 이상 탐지는 특히 정상 네트워크 행동에서의 이탈을 식별하는 데 유용하다고 평가되었다.
• 청취자 피로가 주요 우려 사항이었으며, 많은 전문가들이 장시간 소니피케이션 데이터에 노출될 경우 성능 저하와 사용성 감소가 발생할 수 있다고 경고하였다.
• 특히 주요 감시 작업 외의 업무에서는 낮은 복잡도의 청각적 디스플레이가 인지적 부하를 최소화하기 위해 필수적이다.
• 전문가들은 소니피케이션 시스템이 다양한 SOC 유형, 네트워크 기준선, 직무 역할에 맞게 민첩하고 커스터마이징 가능하며 유연하게 적응할 수 있어야 한다고 강조하였다.
• 훈련과 시스템 캘리브레이션은 중요한 과제로 지목되었으며, 네트워크의 '정상' 행동에 맞게 소니피케이션을 캘리브레이션하고 사용자가 소리를 효과적으로 해석할 수 있도록 훈련시키는 데 상당한 시간이 소요된다고 밝혔다.