[논문 리뷰] A Survey on Human and Personality Vulnerability Assessment in Cyber-security: Challenges, Approaches, and Open Issues

Dimitra Papatsaroucha, Yannis Nikoloudakis외 3명|arXiv (Cornell University)|2021. 06. 18.

Information and Cyber Security참고 문헌 110인용 수 9

한 줄 요약

이 종합 검토는 사이버보안 분야에서 인간과 성격 기반의 취약성을 조사하며, 사회공학 공격에 대한 사용자 취약성에 영향을 미치는 요인들을 분석한다. 심리적, 사회적, 문화적 특성에 기반한 사용자 취약성 프로파일을 제안하고, 현재 평가 프레임워크의 격차—특히 내부자 위협의 忽略—를 밝혀내며, 성격과 행동 요인을 통합한 지속적이고 동적인 취약성 평가 모델의 필요성을 제기한다.

ABSTRACT

These days, cyber-criminals target humans rather than machines since they try to accomplish their malicious intentions by exploiting the weaknesses of end users. Thus, human vulnerabilities pose a serious threat to the security and integrity of computer systems and data. The human tendency to trust and help others, as well as personal, social, and cultural characteristics, are indicative of the level of susceptibility that one may exhibit towards certain attack types and deception strategies. This work aims to investigate the factors that affect human susceptibility by studying the existing literature related to this subject. The objective is also to explore and describe state of the art human vulnerability assessment models, current prevention, and mitigation approaches regarding user susceptibility, as well as educational and awareness raising training strategies. Following the review of the literature, several conclusions are reached. Among them, Human Vulnerability Assessment has been included in various frameworks aiming to assess the cyber security capacity of organizations, but it concerns a one time assessment rather than a continuous practice. Moreover, human maliciousness is still neglected from current Human Vulnerability Assessment frameworks; thus, insider threat actors evade identification, which may lead to an increased cyber security risk. Finally, this work proposes a user susceptibility profile according to the factors stemming from our research.

연구 동기 및 목표

• 사이버 공격, 특히 사회공학 공격에 대한 인간의 취약성에 영향을 미치는 심리적, 사회적, 문화적 요인을 분석하기 위해.
• 기존 사이버보안 프레임워크 내 인간 취약성 평가 모델을 평가하고 그 한계를 규명하기 위해.
• 사용자 관련 보안 위험을 줄이기 위한 예방, 완화 및 훈련 전략의 현황을 검토하기 위해.
• 기존 프레임워크에서 악성 내부자 행동 평가가 부재하여 조직 보안에 악영향을 미친다는 점을 부각하기 위해.
• 성격 및 행동 특성에 기반한 종합적인 사용자 취약성 프로파일을 제안하여 위험 평가 향상에 기여하기 위해.

제안 방법

• 심리적, 신뢰, 기만에 대한 취약성에 중점을 두고 인간 요소에 관한 동료 심사 논문을 대상으로 체계적 문헌 검토를 수행하였다.
• 기존 인간 취약성 평가 모델을 분류하고, 설계, 범위, 조직 보안 프레임워크에의 통합 여부를 평가하였다.
• 사용자 행동 수정을 목표로 하는 훈련 및 인식 프로그램의 효과성과 그 결과를 분석하였다.
• 주요 격차를 특정화하였으며, 특히 지속적인 평가의 부재와 악성 내부자 행동의 배제를 포함한다.
• 성격 특성(예: 신뢰성, 개방성), 사회적 영향력, 문화적 맥락을 통합한 사용자 취약성 프로파일을 제안하였다.
• qualitative synthesis를 활용하여 동적이고 적응형 취약성 평가 분야의 향후 연구 및 프레임워크 개발을 위한 권고안을 도출하였다.

실험 결과

연구 질문

• RQ1 심리적, 사회적, 문화적 요인이 개인의 사이버 공격에 대한 취약성에 어떤 기여를 하는가?
• RQ2 현재 인간 취약성 평가 모델은 어떻게 구성되어 있으며, 실제 적용 시 그 한계는 무엇인가?
• RQ3 기존 취약성 평가 프레임워크에서 내부자 위협 행동이 왜 자주 간과되는가?
• RQ4 현재의 훈련 및 인식 프로그램은 사회공학에 대한 사용자 취약성을 어느 정도 효과적으로 줄이는가?
• RQ5 성격 및 행동 요인을 활용해 어떻게 지속적이고 동적 사용자 취약성 프로파일을 설계할 수 있는가?

주요 결과

• 현재 인간 취약성 평가는 조직의 일회성 평가로 간주되며, 지속적이고 적응형 프로세스로 간주되지 않는다.
• 기존 프레임워크는 악성 내부자 역할을 대부분 간과하여 의도적인 사용자 기반 위협을 탐지하는 데 중요한 격차를 노출한다.
• 신뢰, 개방성, 성실성 등의 성격 특성이 사회공학 공격에 대한 취약성에 중대한 영향을 미친다.
• 협력의 기준과 권위 인식과 같은 문화적 및 사회적 요소는 기만 상황에서 사용자 행동을 형성하는 데 핵심적인 역할을 한다.
• 개인화 및 동적 피드백의 부재로 인해 현재의 훈련 및 인식 프로그램은 장기적으로 볼 때 효과가 제한적이다.
• 성격, 행동, 맥락을 기반으로 한 사용자 취약성 프로파일은 향후 적응형 위험 평가 시스템의 기초로 제안된다.