[论文解读] CyberSecurity Challenges: Serious Games for Awareness Training in Industrial Environments

Tiago Espinha Gasiba, Ulrike Lechner+1 more|arXiv (Cornell University)|Feb 20, 2021

Information and Cyber Security被引用 4

一句话总结

本文介绍了网络安全挑战（CyberSecurity Challenges，CSC），一种基于夺旗赛（capture-the-flag）框架的严肃游戏，旨在提升工业软件开发人员的网络安全编码意识。该游戏采用防御性、情景化的挑战，与 IEC 62443 和 SEI-CERT 指南等标准保持一致，实证结果表明开发者参与度和接受度高，80% 的参与者报告在培训中安全编码意识和参与感显著提升。

ABSTRACT

Awareness of cybersecurity topics, e.g., related to secure coding guidelines, enables software developers to write secure code. This awareness is vital in industrial environments for the products and services in critical infrastructures. In this work, we introduce and discuss a new serious game designed for software developers in the industry. This game addresses software developers' needs and is shown to be well suited for raising secure coding awareness of software developers in the industry. Our work results from the experience of the authors gained in conducting more than ten CyberSecurity Challenges in the industry. The presented game design, which is shown to be well accepted by software developers, is a novel alternative to traditional classroom training. We hope to make a positive impact in the industry by improving the cybersecurity of products at their early production stages.

研究动机与目标

• 为解决工业软件开发人员在识别代码中漏洞方面普遍存在的安全编码意识不足这一关键问题。
• 设计一种严肃游戏，通过真实世界、与工业相关的场景，有效训练开发人员掌握安全编码实践。
• 评估该游戏在本地和远程培训环境中的有效性，特别是在工业环境中的应用。
• 评估开发人员和管理层对游戏作为传统课堂教学培训替代方案的接受度。
• 提供一种可扩展、可重用的框架，用于将网络安全意识整合到软件开发生命周期中。

提出的方法

• 该游戏基于夺旗赛（CTF）类型，但针对防御性训练进行了调整，重点在于识别和修复代码中的安全缺陷。
• 挑战使用开源组件和 Sifu 平台构建，可实现可复现、安全且隔离的培训环境。
• 游戏支持三种角色：个人玩家、团队协作成员和教练，以促进协作学习和导师指导。
• 挑战按安全主题（如输入验证、身份认证缺陷等）分类，并与 SEI-CERT 和 OWASP 等公认的编码安全标准对齐。
• 通过工作坊和在线会议形式在工业环境中部署游戏，基于 13 次部署的反馈进行迭代式设计优化。
• 评估包括问卷调查、参与者反馈以及对多次工业部署中经验教训的分析。

实验结果

研究问题

• RQ1 网络安全挑战游戏在多大程度上提升了工业软件开发人员的安全编码意识？
• RQ2 与传统培训相比，开发人员和管理层如何评价该游戏的可用性、相关性和有效性？
• RQ3 该游戏能否成功适应工业环境中的本地和远程培训？
• RQ4 哪些设计和部署因素最有助于该游戏的成功与可扩展性？
• RQ5 该游戏能否有效用于高校环境中为未来软件开发人员进行准备？

主要发现

• 80% 的参与者在游戏后报告安全编码实践意识显著提高，且对参与度和学习效果给予高度积极评价。
• 参与者一致认为游戏有趣且具有激励作用，70% 的人表示希望将在游戏中获得的技能应用于实际开发工作。
• 游戏获得开发人员和管理层的一致认可，工业培训项目中未出现任何采纳阻力。
• 反馈指出提示功能和用户界面仍有改进空间，但即便采用极简设计，整体可用性仍获积极评价。
• 该游戏成功支持仅防御性挑战和混合攻防挑战两种模式，证明在多种培训场景中均具有效性。
• 该框架已在工业界部署 13 次，结果一致积极，并基于真实世界反馈持续优化改进。