[论文解读] Sonification in security operations centres: what do security practitioners think?

Louise Axon, Bushra Alahmadi+3 more|arXiv (Cornell University)|Jul 17, 2018

User Authentication and Security Systems参考文献 33被引用 4

一句话总结

本研究探讨了安全从业者对在安全运营中心（SOC）中集成声音化技术（即利用声音表示网络数据）的看法。通过对41名SOC专业人员的调查与访谈，研究识别出外围监控和异常检测是关键应用场景，同时指出了与疲劳、复杂性和集成相关的挑战，进而提出了在高压SOC环境中实现有效、低疲劳、灵活的声音化系统的设计需求。

ABSTRACT

In Security Operations Centres (SOCs) security practitioners work using a range of tools to detect and mitigate malicious computer-network activity. Sonification, in which data is represented as sound, is said to have potential as an approach to addressing some of the unique challenges faced by SOCs. For example, sonification has been shown to enable peripheral monitoring of processes, which could aid practitioners multitasking in busy SOCs. The perspectives of security practitioners on incorporating sonification into their actual working environments have not yet been examined, however. The aim of this paper therefore is to address this gap by exploring attitudes to using sonification in SOCs. We report on the results of a study consisting of an online survey (N=20) and interviews (N=21) with security practitioners working in a range of different SOCs. Our contribution is a refined appreciation of the contexts in which sonification could aid in SOC working practice, and an understanding of the areas in which sonification may not be beneficial or may even be problematic.We also analyse the critical requirements for the design of sonification systems and their integration into the SOC setting. Our findings clarify insights into the potential benefits and challenges of introducing sonification to support work in this vital security-monitoring environment.

研究动机与目标

• 理解SOC中的安全从业者如何看待声音化技术在其日常工作中集成的看法。
• 识别声音化技术在SOC中增强监控与检测任务的实际应用场景。
• 揭示在真实SOC环境中，声音化系统在疲劳、复杂性和可用性方面面临的关键挑战与设计需求。
• 为开发符合SOC操作独特需求的、以用户为中心的有效声音化工具提供依据。

提出的方法

• 对20名安全从业者开展在线调查，收集其对声音化应用场景的初步看法。
• 对21名SOC从业者进行半结构化访谈，深入探讨其态度、挑战与设计需求。
• 在访谈过程中开发并演示了一个网络数据包声音化原型，以使讨论基于具体的听觉呈现。
• 通过迭代反馈优化应用场景，剔除从业者认为不切实际或无益的应用场景。
• 分析访谈数据，提取聚焦于声音复杂性、个性化和疲劳缓解的设计需求。
• 采用定性分析方法，识别与SOC环境噪音、网络复杂性及认知负荷相关的集成挑战。

实验结果

研究问题

• RQ1 在SOC工作的哪些具体情境下，声音化技术能提供切实益处？
• RQ2 安全从业者在将声音化技术集成到其现有工作流程中时，预见了哪些挑战？
• RQ3 声音化系统在真实SOC环境中实现有效性和可用性所必需的设计需求是什么？
• RQ4 从业者如何看待基于声音化监控带来的分心风险和听觉疲劳？
• RQ5 与传统可视化工具相比，声音化技术在支持外围监控和异常检测方面发挥什么作用？

主要发现

• 安全从业者将外围监控（尤其是在多任务处理或离开SOC时）视为声音化技术的主要且有前景的应用场景。
• 使用声音化技术进行异常检测被视为对现有可视化技术的可行补充，尤其适用于识别与正常网络行为的偏差。
• 听觉疲劳是主要关注点，许多从业者警告称，长时间暴露于声音化数据可能损害性能并降低可用性。
• 迫切需要低复杂度的听觉显示，以最小化认知负荷，特别是针对非主要监控任务。
• 从业者强调，声音化系统必须具备灵活性、可定制性，并能适应不同类型的SOC、网络基线和岗位角色。
• 培训与系统调优被识别为关键挑战，需投入大量时间对声音化系统进行校准以匹配网络的‘正常’行为，并有效训练用户理解声音信号。