Неопределенность в атаках: как предугадать действия киберзлоумышленников

от

Автор: Денис Аветисян

Новое исследование выявляет роль неприятия неопределенности в поведении атакующих, предлагая более точные модели для прогнозирования и предотвращения кибератак.

🐢

Ищешь ракеты? Это не к нам. У нас тут скучный, медленный, но надёжный, как швейцарские часы, фундаментальный анализ.

Бесплатный Телеграм канал

В статье рассматривается моделирование и обнаружение неприятия неопределенности у киберпреступников для улучшения когнитивных стратегий защиты, выходящих за рамки традиционных моделей, основанных на избежании потерь.

Несмотря на значительные успехи в кибербезопасности, моделирование поведения атакующих остается сложной задачей, часто ограничиваясь анализом потерь. В работе ‘Detecting Ambiguity Aversion in Cyberattack Behavior to Inform Cognitive Defense Strategies’ исследуется возможность выявления неприятия неопределенности — когнитивной предвзятости, влияющей на решения хакеров в условиях неполной информации. Предлагаемый подход позволяет в реальном времени оценивать уровень этой предвзятости на основе анализа действий атакующих, зафиксированных в экспериментах и обработанных с помощью больших языковых моделей и фреймворка MITRE ATT&CK. Может ли учет когнитивных особенностей злоумышленников стать ключом к созданию более адаптивных и эффективных систем защиты информации?

За пределами Рациональности: Ограничения Модели Ожидаемой Пользы

Традиционные модели кибербезопасности часто строятся на упрощающем допущении о рациональности злоумышленников, предполагая, что они действуют, максимизируя ожидаемую выгоду от своих действий. Однако, такое представление не соответствует реальному положению дел. В действительности, поведение атакующих редко основывается исключительно на логическом расчете затрат и выгод. Вместо этого, на их решения влияют множество факторов, включая эмоциональные реакции, когнитивные искажения и даже случайные события. Предположение о рациональности — это удобная абстракция для построения теоретических моделей, но она игнорирует сложность человеческого поведения и, как следствие, создает уязвимости в системах защиты, поскольку не учитывает иррациональные, но предсказуемые паттерны действий злоумышленников.

Традиционные модели кибербезопасности часто основываются на упрощенном представлении о злоумышленниках как о рациональных агентах, стремящихся к максимальной выгоде. Однако, данное предположение игнорирует повсеместное влияние когнитивных искажений — систематических ошибок в мышлении, которые неизбежно возникают у людей. Эти искажения, такие как склонность к подтверждению своей точки зрения или эффект привязки, могут приводить к предсказуемым ошибкам в оценке рисков и принятии решений, что, в свою очередь, создает уязвимости в системах защиты. Например, злоумышленник может использовать эффект фрейминга, представляя угрозу в определенном свете, чтобы манипулировать восприятием жертвы и обойти ее защиту. Понимание этих когнитивных особенностей поведения является критически важным для разработки более устойчивых систем и предвидения действий атакующих, поскольку позволяет учитывать нерациональные аспекты человеческого поведения в контексте кибербезопасности.

Понимание когнитивных искажений имеет решающее значение для создания более устойчивых систем информационной безопасности и прогнозирования действий злоумышленников. Традиционные модели, основанные на предположении о рациональности атакующих, не учитывают, что решения часто принимаются под влиянием эвристик и предрассудков — например, склонности к подтверждению своей точки зрения или чрезмерной уверенности в собственных силах. Изучение этих особенностей позволяет выявлять закономерности в поведении злоумышленников, предсказывать их возможные действия и, следовательно, разрабатывать более эффективные контрмеры. Например, зная о склонности к риску при потенциальной выгоде, можно усилить защиту наиболее привлекательных целей, а учитывая эффект привязки, — более тщательно проверять начальные условия при оценке угроз. В конечном итоге, отход от упрощенных моделей рациональности в сторону учета когнитивных особенностей злоумышленников открывает новые возможности для повышения надежности и безопасности информационных систем.

Механизмы Атаки: GAMBiT и Оперативные Заметки

Эксперименты GAMBiT представляют собой инновационный подход к исследованиям в области кибербезопасности, основанный на использовании реальных людей в качестве атакующих в реалистичной среде киберполигона. В отличие от традиционных методов, полагающихся на автоматизированные системы или теоретические модели, GAMBiT позволяет наблюдать и анализировать поведение атакующих в динамике, приближенной к реальным условиям. Участники, выполняющие роль атакующих, получают доступ к смоделированной инфраструктуре и выполняют поставленные задачи, в то время как их действия фиксируются и анализируются для выявления закономерностей и мотиваций. Этот подход обеспечивает более глубокое понимание тактик, техник и процедур (TTP), используемых злоумышленниками, и позволяет разрабатывать более эффективные меры защиты.

В ходе экспериментов GAMBiT создаются детальные «Оперативные заметки» — текстовые журналы, фиксирующие ход мыслей и обоснования действий, предпринимаемых участниками, моделирующими атакующих. Эти журналы представляют собой записи от первого лица, в которых зафиксированы не только технические шаги, но и мотивация, принятые решения и оценка рисков на каждом этапе атаки. Информация собирается в режиме реального времени, что позволяет зафиксировать полный спектр когнитивных процессов, влияющих на выбор стратегии и тактики. Формат свободной записи обеспечивает полноту и детализацию, недостижимую при использовании структурированных анкет или формализованных протоколов.

Протоколы операций, полученные в ходе экспериментов GAMBiT, предоставляют уникальную возможность изучения когнитивных факторов, определяющих решения атакующих. В отличие от традиционных абстрактных моделей, основанных на предположениях о рациональности злоумышленников, эти записи содержат детальные описания хода мыслей, мотивации и обоснования действий, непосредственно зафиксированные от лица атакующего в реалистичной среде. Анализ этих данных позволяет выявить закономерности в принятии решений, такие как влияние когнитивных искажений, эвристик и эмоциональных факторов на выбор целей, методов и стратегий атак. Такой подход позволяет перейти от теоретических построений к эмпирически обоснованному пониманию психологии атакующих, что необходимо для разработки более эффективных средств защиты.

Из Текста в Анализ: LLM и Поведенческий Анализ

Для автоматической обработки неструктурированных ‘Operation Notes’ используется аннотация на основе больших языковых моделей (LLM). Этот процесс позволяет извлекать ключевые тактические решения и обоснования, содержащиеся в текстовых заметках. LLM анализирует текст, идентифицируя действия, цели и контекст, что позволяет преобразовать свободный текст в структурированные данные для последующего анализа. Извлеченные данные включают конкретные действия атакующего, использованные инструменты и мотивы, лежащие в основе этих действий, обеспечивая детализированное понимание стратегии злоумышленника.

Интеграция с логами Suricata позволяет получить комплексное представление о действиях атакующего и обосновании этих действий. Данные, полученные из анализа неструктурированных текстовых описаний операций (Operation Notes) с помощью языковых моделей, сопоставляются с информацией из логов Suricata, фиксирующих сетевую активность. Это обеспечивает возможность отслеживания последовательности действий атакующего — от начальной сетевой разведки до выполнения вредоносных действий — и понимания контекста, в котором эти действия происходили. Совместный анализ позволяет установить взаимосвязь между наблюдаемыми сетевыми индикаторами и тактическими решениями атакующего, зафиксированными в Operation Notes, что существенно повышает эффективность анализа инцидентов и реагирования на угрозы.

Аннотированные данные, полученные в результате анализа текстовых описаний операций, сопоставляются с фреймворком MITRE ATT&CK для классификации и анализа поведения атакующих в масштабе. Этот процесс позволяет автоматически соотносить тактические действия, выявленные в логах Suricata и описаниях операций, с конкретными техниками и подтехниками ATT&CK. Сопоставление обеспечивает структурированный подход к анализу, позволяя идентифицировать повторяющиеся паттерны атак, оценивать тактические цели злоумышленников и определять пробелы в системе защиты. В результате, становится возможным автоматизированный анализ поведения атакующих и масштабируемая оценка рисков на основе общепринятой таксономии.

Моделирование Когнитивных Искажений: Платформа PsychSim

В рамках PsychSim используется подход, основанный на частично наблюдаемых марковских процессах принятия решений (POMDP), для моделирования действий злоумышленников в условиях неполной информации. В отличие от традиционных моделей, предполагающих полное знание о системе, POMDP позволяет учитывать неопределенность и неточность данных, доступных атакующему. Это достигается путем представления состояния системы не как полностью известной величины, а как вероятностного распределения, обновляемого по мере получения новой информации. Атакующий, моделируемый в рамках данной структуры, принимает решения, основываясь не на абсолютной уверенности, а на оценке вероятностей различных исходов, что позволяет более реалистично воспроизводить его поведение и стратегии в условиях реальных киберугроз. Такой подход особенно важен при анализе сложных систем, где злоумышленник сталкивается с множеством неизвестных факторов и вынужден действовать на основе неполных данных.

В рамках разработанной модели, известной как PsychSim, когнитивные искажения, такие как неприятие неопределенности и неприятие потерь, были интегрированы для симуляции влияния этих факторов на стратегии атак. Данный подход позволяет исследовать, как склонность избегать рискованных ситуаций с неясными исходами или, наоборот, чрезмерная фокусировка на предотвращении потерь, формируют поведение атакующих в киберпространстве. Моделирование этих искажений дает возможность предсказать, какие действия будут предприняты атакующим в условиях неполной информации, и, следовательно, более эффективно разрабатывать контрмеры для защиты информационных систем. Имитация влияния когнитивных предубеждений позволяет получить реалистичные сценарии атак, учитывающие психологические особенности злоумышленников, что существенно повышает точность прогнозов и эффективность мер безопасности.

Проверка модели осуществлялась путем сопоставления результатов симуляций с эмпирическими данными, полученными в ходе проекта GAMBiT. Анализ показал, что модель, учитывающая неприятие потерь, в настоящий момент объясняет большую часть наблюдаемой вариативности в поведении атакующих. Однако, модель, основанная на неприятии неопределенности, выявила значительно больше высоконадежных наблюдений — 237 против 0 в случае модели неприятия потерь ($χ²(0) = 254.02, p < .001$). Это указывает на то, что, хотя неприятие потерь может быть более общим объяснением, неприятие неопределенности выделяет конкретные, уверенные паттерны поведения, которые могут быть критически важны для понимания и прогнозирования стратегий злоумышленников в киберпространстве.

За Пределами Предсказания: Новая Эра Адаптивной Безопасности

Исследования показали, что злоумышленники подвержены когнитивным искажениям, особенно в ситуациях, характеризующихся неопределенностью, известной как неопределенность Найтa. Это означает, что при принятии решений в условиях недостатка информации, атакующие склонны к систематическим ошибкам в суждениях. Вместо рациональной оценки рисков, их поведение определяется психологическими особенностями, такими как склонность к избеганию потерь и неприятие неоднозначности. Эти когнитивные предубеждения существенно влияют на выбор целей, методов атак и оценку вероятности успеха, создавая предсказуемые закономерности в их действиях, которые могут быть использованы для повышения эффективности систем безопасности. Понимание этих психологических механизмов открывает новые возможности для разработки адаптивных стратегий защиты, способных учитывать и эксплуатировать уязвимости в мышлении атакующих.

Платформа PsychSim представляет собой мощный инструмент для прогнозирования действий злоумышленников и разработки адаптивных мер безопасности. Основываясь на принципах когнитивной психологии и моделировании поведения, PsychSim позволяет не просто реагировать на атаки, но и предвидеть их, анализируя вероятные решения злоумышленника в условиях неопределенности. Система учитывает когнитивные искажения и эвристики, которыми руководствуются атакующие при выборе целей и методов, что позволяет создавать защитные механизмы, способные эффективно противодействовать наиболее вероятным сценариям. В отличие от традиционных подходов, ориентированных на обнаружение известных угроз, PsychSim обеспечивает проактивную защиту, адаптирующуюся к изменяющимся тактикам злоумышленников и минимизирующую риски в условиях постоянно развивающейся киберугрозы. Использование платформы позволяет значительно повысить эффективность систем безопасности, переходя от пассивной обороны к активному противодействию.

Исследования показали, что злоумышленники подвержены когнитивным искажениям, и эти особенности могут быть использованы для повышения эффективности систем безопасности. Анализ поведения атакующих выявил значительные различия в вероятностных распределениях, связанных с неприятием потерь и неприятием неопределенности — статистически подтвержденные тестом Вилкоксона с ранговым знакомством, который показал p-значение менее 0.001. Это позволяет создавать оборонительные стратегии, эксплуатирующие эти предсказуемые поведенческие паттерны, фактически превращая уязвимости атакующих в сильные стороны системы защиты. Вместо пассивного реагирования на угрозы, можно проектировать системы, активно влияющие на процесс принятия решений злоумышленником, направляя его действия в заранее определенные, безопасные рамки.

Исследование поведения атакующих в условиях неопределённости выявляет, что избегание неоднозначности играет ключевую роль в принятии решений, что подтверждает важность когнитивных моделей для построения эффективных систем защиты. Данная работа, углубляясь в анализ когнитивных искажений, демонстрирует, что предсказуемость действий злоумышленника напрямую связана с их стремлением к чёткости и определённости. В связи с этим, особенно примечательна мысль Дональда Кнута: «Прежде чем оптимизировать код, убедитесь, что он работает». Эта фраза, кажущаяся простой, отражает фундаментальный принцип — необходимо сначала понять базовое поведение системы (в данном случае, атакующего), прежде чем пытаться улучшить или предсказать его действия. Игнорирование этого принципа, подобно попытке оптимизировать некорректный алгоритм, неизбежно приведет к ошибочным результатам и неэффективной защите.

Куда Далее?

Представленная работа, хотя и демонстрирует перспективность моделирования неприятия неопределенности в поведении атакующих, оставляет ряд вопросов, требующих строгого математического обоснования. Простое включение данного когнитивного искажения в существующие модели, без доказательства его влияния на асимптотическое поведение атак, представляется недостаточным. Необходимо установить, как неприятие неопределенности взаимодействует с другими когнитивными искажениями, и как эти взаимодействия влияют на оптимальные стратегии защиты. В частности, вопрос о вычислительной сложности обнаружения неприятия неопределенности в реальном времени остается открытым.

Дальнейшие исследования должны быть направлены на разработку формальных методов верификации корректности моделей когнитивного поведения атакующих. Симуляции, основанные на эвристиках, полезны, но недостаточны для построения действительно надежной системы защиты. Следует исследовать возможность применения методов теории игр и теории принятия решений для анализа стратегий, используемых атакующими, учитывая их неприятие неопределенности. Необходимо строго доказать, что предложенные контрмеры действительно снижают вероятность успешной атаки в долгосрочной перспективе.

В конечном счете, истинный прогресс в области когнитивной защиты требует не просто описания поведения атакующих, но и создания формальной теории, позволяющей предсказывать и предотвращать атаки на основе математически обоснованных принципов. Иначе, это останется лишь элегантной, но непроверяемой гипотезой.

Оригинал статьи: https://arxiv.org/pdf/2512.08107.pdf

Связаться с автором: https://www.linkedin.com/in/avetisyan/

Смотрите также:

2025-12-11 05:45