Hack hackerens sind, og revolutionér cyberforsvaret

Vi er gået fra forsigtighed til krise inden for cybersikkerhed. Hvis du stadig sætter din lid til forældede firewalls og statiske signaturkontroller – som er tilstrækkelige mod enkle, forudsigelige angreb – lader du døren stå på vid gab for moderne angribere, der bruger taktikker, som ændrer sig hurtigere, end du kan nå at installere programrettelser.

For eksempel kan teknikker til at udnytte eksisterende systemressourcer (LOTL), hvor angribere udnytter legitime værktøjer som PowerShell eller WMI, bruges til at undgå registrering i traditionelle systemer. Denne ufleksibilitet efterlader forsvarere i en reaktiv position, hvor de kun håndterer sårbarheder, efter at de er blevet offentliggjort eller udnyttet, i stedet for proaktivt at afbryde angreb ved deres kilde. 

En blind vinkel i de fleste sikkerhedsopsætninger er at glemme, at angribere, trods alle deres evner, stadig er mennesker – og lige så tilbøjelige til fordomme og genveje som resten af os. Det er her, idéen om at “hacke hackerens sind” kommer ind i billedet.

Ved at udnytte disse kognitive svagheder kan du få en mere fleksibel og proaktiv måde at lukke ned for trusler på, før de eskalerer. Når du kombinerer denne indsigt med AI-drevet registrering, reagerer du ikke længere bare; du sætter sikkerhedsdriften tilbage i førersædet.

I denne artikel lærer du, hvordan du kan hacke hackerens sind gennem modstandsorienteret kognitiv konstruktion (ACE), som kan vende situationen på hovedet og gøre det muligt for dig at overliste angribere, før de får fodfæste.

Kognitive fordomme inden for cybersikkerhed

ACE blev først foreslået af Chelsea K. Johnson og kolleger fra Laboratoriet for avanceret cybersikkerhedsforskning og udnytter veldokumenterede psykologiske principper som sunk cost-fejlslutningen (SCF) til at få angribere til at spilde tid og ressourcer.

Ved at udnytte disse kognitive sårbarheder flytter ACE forsvarsstrategier fra reaktive til proaktive – og forsinker angribere længe nok til, at forsvarere kan neutralisere trusler, før de eskalerer.

Angribere er stadig mennesker, uanset hvor stor deres ekspertise er. De er afhængige af mentale genveje eller heuristikker, især under stress eller tidspres. Forskning viser, at angribere i pressede miljøer er tilbøjelige til fejl i beslutningstagningen, som forsvarere kan forudsige og udnytte.

ACE fokuserer på at forstå og udnytte de heuristikker, som modstandere støtter sig til, når de træffer disse beslutninger. 

En ny tilgang til cyberforsvar

Den grundlæggende forskning omkring ACE blev udført på en eksperimentel platform kaldet CYPHER, som simulerede beslutningsscenarier med relevans for cybersikkerhed. Forskningen fokuserede specifikt på at udnytte SCF.

I forbindelse med cyberangreb kan en angriber fokusere på en resultatløs udnyttelsesvej, blot fordi vedkommende har investeret betydelig tid eller indsats, selv om der findes en bedre mulighed et andet sted på netværket. 

Nyere undersøgelser har identificeret en række kognitive fordomme, som angribere udviser under beslutningstagning, herunder standardbias, tilgængelighedsheuristik og aktualitetsbias (Aggarwal et al., 2024; Ferguson-Walter et al., 2018; Pharmer et al., 2024). Disse fordomme, som afspejler systematiske og forudsigelige fejl i angribernes beslutningstagning, skaber betydelige muligheder for, at forsvarere kan forstyrre angribernes operationer. 

Fordomme, som forsvarere kan udnytte

For at operationalisere ACE kan forsvarere anvende følgende taktikker, der hver især knyttes til specifikke kognitive fordomme:

1. Implementer honningpotter (fejlslutningen om uoprettelige omkostninger): Honningpotter kan efterligne værdifulde aktiver, samtidig med at de simulerer gradvise fremskridt, f.eks. ved at give trinvis adgang til stadig mere "følsomme" filer. Angribere kan eksempelvis ledes til at dekryptere lokkefiler, som i sidste ende ikke giver nogen reel værdi, hvilket forstærker deres følelse af at have investeret i målet. Dette er et klassisk trick, hvor man »hacker hackerens sind«: Når en angriber føler sig engageret, er vedkommende mindre tilbøjelig til at trække sig – selv når det er en fælde.
2. Indfør standardveje (standardbias): Ved at skabe veje, der fremstår som naturlige eller oplagte valg, f.eks. en synlig liste over brugernavne med lokkemidler strategisk placeret øverst, kan forsvarere lede angribere mod overvågede systemer, samtidig med at kritiske aktiver beskyttes.
3. Præsentér lokkesystemer (tilgængelighedsheuristik): Lokkesystemer bør fremstå enklere eller mere tilgængelige end værdifulde mål, så angribere omdirigeres til disse isolerede miljøer. Værktøjer som Canary-tokens eller simulerede svage punkter i netværket kan fungere som effektive lokkemidler.
4. Gentagen vildledning (bias mod det seneste): Dynamiske lokkelegitimationsoplysninger, roterende URL'er eller regelmæssigt ændrede tilsyneladende sårbarheder kan forstærke angribernes afhængighed af velkendte metoder og føre dem ind i gentagne blindgyder.
5. Brug vildledende alarmer (tvetydighedseffekt): Tvetydige systemalarmer, f.eks. fejl, der antyder delvis registrering, kan forvirre angribere og forsinke deres beslutningstagning. Vage fejlmeddelelser kan eksempelvis få angribere til at tøve, så forsvarere får bedre mulighed for at overvåge og reagere effektivt.

Skalering af ACE med AI og GANs

Efterhånden som teknikker inden for kognitiv ingeniørkunst udvikler sig, kan de i høj grad ændre cybersikkerheden. Ved at kombinere disse metoder med AI-drevne systemer, der er trænet i angribernes adfærd, kan forsvarere automatisere ACE-taktikker og udøve psykologisk pres i stor skala – helt uden behov for direkte menneskelig indgriben.

For at føre dette endnu videre giver generative adversarial-netværk (GANs), en stærk delmængde af maskinlæring, banebrydende muligheder for at skalere ACE-strategier. Disse systemer består af to neurale netværk – generatoren, som skaber simulerede output, og diskriminatoren, som evaluerer dem. Ved at arbejde i opposition til hinanden forfiner netværkene hinanden, hvilket muliggør dynamisk simulering af angribernes adfærd og reaktioner.

Det gør GANs særligt velegnede til at generere kontekstfølsomme lokkemiljøer, der udnytter kognitive bias som tilgængelighedsheuristikken eller standardbias. Sådanne lokkemiljøer kan tilpasse sig i realtid og ændre deres præsentation eller kompleksitet, efterhånden som angribere reagerer, hvilket skaber et dynamisk forsvarslag, der forudser angribernes træk.

Manipulér angribernes adfærd i realtid

Er du klar til at vende situationen mod angriberne? Spor deres bevægelser i realtid, og udnyt selve de bias, der styrer deres beslutninger, til at lede dem væk fra følsomme mål, før de overhovedet indser, hvad der sker.

Sådan gør du:

• Find vendepunktet: Ud over blot at implementere lokkemidler kan AI-drevne forsvar registrere, hvornår angribere forpligter sig til en bestemt rute.
• Hæv indsatsen: Når du først har fået dem på krogen, skal du øge kompleksiteten i dit lokkemiddel. Frist dem til at investere endnu mere tid og flere ressourcer, og træk dem væk fra de virkelige mål.
• Forbliv tilpasningsdygtig: Det handler ikke kun om at reagere, men om aktivt at styre angriberne væk fra kursen og tvinge dem ind i blindgyder, længe før de når noget værdifuldt.
• Bryd beslutningskæden: Når du tager kampen op på det kognitive niveau, blokerer du ikke bare angreb – du nedbryder de mentale genveje, som angriberne støtter sig til. Afbryd de velkendte veje, så vil de enten spilde tiden eller trække sig helt.

AI i udvikling

Angribere udnytter også AI, og der går ikke lang tid, før de tilpasser sig selv de mest sofistikerede fælder. Fremover har forsvarere brug for fuldt tilpasningsdygtige AI-modeller, der lærer undervejs, imødegår nye mønstre og skifter retning uden at vente på menneskelig godkendelse. Det er den eneste måde at holde trit med modstandere, der er lige så engagerede i innovation som dig.

Cybersikkerhedsforsvar i et AI-drevet landskab

Samspillet mellem offensiv og defensiv AI vil sandsynligvis definere den næste front inden for cybersikkerhed. For at holde sig foran modstanderne skal organisationer:

• Udnytte data fra RED-hold-simuleringer, APT-øvelser og hændelser fra den virkelige verden for at træne tilpasningsdygtige forsvarsmodeller.
• Udvikle KPI'er til at måle succes for ACE-baserede strategier, f.eks. reduceret opholdstid for angribere eller øget ressourcespild.
• Forholde sig til etiske overvejelser og sikre, at defensiv AI forbliver objektiv og modstandsdygtig over for udnyttelse.

Modstridende kognitiv teknik giver en ny måde at væve menneskelig psykologi ind i moderne teknologi på, hvilket giver forsvarere overtaget over angribere. Efterhånden som praksissen modnes, bliver brugen af ACE i sikkerhedsoperationscentre afgørende for at holde sig et skridt foran.

Fra reaktivt til proaktivt cyberforsvar

Implementering af ACE-baserede strategier gør det muligt for ledere inden for cybersikkerhed at udstyre deres teams med de nødvendige værktøjer til at forudse og manipulere angribernes adfærd. 

Kombinationen af menneskelig psykologi og AI-drevne systemer vil spille en afgørende rolle i den næste æra inden for cyberforsvar og sikre, at forsvarere altid er et skridt foran. Gør dit forsvar smartere, og sørg for, at dine cybersikkerhedsoperationer er agile, tilpasningsdygtige og i stand til at neutralisere avancerede trusler, før de overhovedet opstår. 

Hvis du er klar til at holde dig foran angriberne, så begynd med at gøre deres fordomme til din stærkeste allierede—for nogle gange er den bedste måde at hacke systemet på at hacke sindet bag det.

Abonner på nyhedsbrevet fra The CTO Club for at få flere indsigter, tips og værktøjer inden for cyberforsvar.