[论文解读] Security, Availability, and Multiple Information Sources: Exploring Update Behavior of System Administrators

Christian Tiefenau, Maximilian Häring+2 more|arXiv (Cornell University)|Jul 17, 2020

Information and Cyber Security参考文献 52被引用 6

一句话总结

本项混合方法研究调查了企业环境中系统管理员的更新行为，发现即使经验丰富的管理员也难以预测更新的后果并避免停机。尽管他们认识到更新对安全至关重要，但往往因信息来源不可靠、缺乏供应商文档以及过度依赖同行网络而延迟或避免更新，凸显了需要更易用的监控与更新工具，以提升大规模IT安全水平。

ABSTRACT

Experts agree that keeping systems up to date is a powerful security measure. Previous work found that users sometimes explicitly refrain from performing timely updates, e.g., due to bad experiences which has a negative impact on end-user security. Another important user group has been investigated less extensively: system administrators, who are responsible for keeping complex and heterogeneous system landscapes available and secure. In this paper, we sought to understand administrators' behavior, experiences, and attitudes regarding updates in a corporate environment. Based on the results of an interview study, we developed an online survey and quantified common practices and obstacles (e.g., downtime or lack of information about updates). The findings indicate that even experienced administrators struggle with update processes as the consequences of an update are sometimes hard to assess. Therefore, we argue that more usable monitoring and update processes are essential to guarantee IT security at scale.

研究动机与目标

• 了解系统管理员在企业环境中经历、感知并采取行动于软件更新过程的方式。
• 识别尽管管理员意识到安全风险，但阻碍及时有效系统更新的主要障碍。
• 探讨多种信息来源（尤其是非供应商渠道，如同行和在线社区）在塑造更新决策中的作用。
• 评估专家建议与系统管理员实际更新实践之间的差距。
• 为改进更新工作流程和工具提供可操作的见解，以提升大规模IT安全水平。

提出的方法

• 对七名系统管理员进行了深入的、半结构化的定性访谈，以探索其更新体验、挑战及信息来源。
• 基于访谈发现开发在线调查，收集了67份有效回复，以量化常见的更新实践和障碍。
• 使用主题分析法对访谈记录进行分析，识别出重复出现的挑战、应对策略及信息获取行为。
• 使用描述性统计分析调查数据，评估停机、缺乏文档和更新内容不明确等障碍的频率与影响。
• 将管理员自报的行为与专家建议进行对比，识别更新实践中的错配。
• 评估自报数据的可靠性和代表性，承认其局限性，如自我选择偏差和潜在的回忆偏差。

实验结果

研究问题

• RQ1 系统管理员如何在企业环境中感知并管理与系统更新相关的风险？
• RQ2 管理员在决定是否以及何时应用更新时依赖哪些信息来源？这些来源与官方供应商来源相比如何？
• RQ3 哪些是最显著的阻碍及时更新的因素？这些因素在不同组织背景下有何差异？
• RQ4 管理员在多大程度上信任或不信任供应商提供的更新信息？哪些因素影响其决策？
• RQ5 管理员过去更新经历如何塑造其当前的更新行为和态度？

主要发现

• 即使经验丰富的系统管理员也难以预测更新的直接后果，尤其是在系统可用性和稳定性方面。
• 停机担忧是阻碍及时更新的主要障碍，67%的调查受访者表示这是延迟更新的主要原因。
• 由于软件供应商提供的文档不足或不清晰，管理员经常依赖非供应商来源，如在线论坛、同行网络和社区报告。
• 缺乏细粒度的更新信息（例如，具体变更内容、受影响的组件）导致犹豫不决，增加跳过更新的风险。
• 大量管理员报告在经历负面更新后（如系统崩溃或意外配置更改）选择避免更新。
• 尽管认识到更新对安全至关重要，但许多管理员仍因感知到的风险和缺乏情境感知工具而延迟或跳过补丁。