Hack hackerens sinn og revolusjoner cybersikkerheten

Vi har gått fra forsiktighet til krise innen cybersikkerhet. Hvis du fortsatt setter din lit til utdaterte brannmurer og statiske signatursjekker – tilstrekkelig mot enkle, forutsigbare angrep – lar du døren stå vidåpen for moderne angripere som bruker taktikker som endrer seg raskere enn du rekker å installere sikkerhetsoppdateringer.

For eksempel kan teknikker for å leve av landet (LOTL), der angripere utnytter legitime verktøy som PowerShell eller WMI, brukes til å unngå oppdagelse av tradisjonelle systemer. Denne rigiditeten gjør at forsvarere havner i en reaktiv posisjon, der de håndterer sårbarheter først etter at de er offentliggjort eller utnyttet, i stedet for proaktivt å avbryte angrep ved kilden. 

En blindflekk i de fleste sikkerhetsoppsett er at man glemmer at angripere, til tross for all sin dyktighet, fortsatt er mennesker – og like utsatt for skjevheter og snarveier som resten av oss. Det er her ideen om å «hacke hackerens sinn» kommer inn.

Ved å utnytte disse kognitive svakhetene kan du få en mer fleksibel og proaktiv måte å stanse trusler på før de eskalerer. Når du kombinerer denne innsikten med AI-drevet oppdagelse, reagerer du ikke bare lenger; du setter sikkerhetsdriften tilbake i førersetet.

I denne artikkelen lærer du hvordan du kan hacke hackerens sinn gjennom adversariell kognitiv ingeniørkunst (ACE), som kan snu situasjonen og gjøre det mulig for deg å overliste angripere før de får fotfeste.

Kognitive skjevheter innen cybersikkerhet

ACE ble først foreslått av Chelsea K. Johnson og kolleger fra Laboratoriet for avansert cybersikkerhetsforskning, og utnytter veldokumenterte psykologiske prinsipper som feilslutningen om allerede påløpte kostnader (SCF) for å få angripere til å kaste bort tid og ressurser.

Ved å utnytte disse kognitive sårbarhetene flytter ACE forsvarsstrategier fra reaktive til proaktive – og forsinker angripere lenge nok til at forsvarere kan uskadeliggjøre trusler før de eskalerer.

Angripere, uansett ekspertisenivå, er fortsatt mennesker. De benytter mentale snarveier eller heuristikker, særlig under stress eller tidspress. Forskning viser at angripere i situasjoner med høyt press er utsatt for feil i beslutningstakingen som forsvarere kan forutsi og utnytte.

ACE fokuserer på å forstå og utnytte heuristikkene som motstandere baserer seg på når de tar disse beslutningene. 

En ny tilnærming til cyberforsvar

Den grunnleggende forskningen rundt ACE ble gjennomført på en eksperimentell plattform kalt CYPHER, som simulerte beslutningsscenarier som er relevante for cybersikkerhet. Forskningen fokuserte spesifikt på å utnytte SCF.

I forbindelse med cyberangrep kan en angriper fokusere på en lite fremgangsrik utnyttelsesmetode ganske enkelt fordi vedkommende har investert betydelig tid eller innsats, selv om det finnes en bedre mulighet et annet sted i nettverket. 

Nyere studier har identifisert en rekke kognitive skjevheter som angripere utviser under beslutningstaking, blant annet standardinnstillingsskjevhet, tilgjengelighetsheuristikk og nylighetskjevhet (Aggarwal et al., 2024; Ferguson-Walter et al., 2018; Pharmer et al., 2024). Disse skjevhetene, som gjenspeiler systematiske og forutsigbare feil i angripernes beslutningstaking, skaper betydelige muligheter for forsvarere til å forstyrre angripernes operasjoner. 

Skjevheter forsvarere kan utnytte

For å operasjonalisere ACE kan forsvarere ta i bruk følgende taktikker, der hver av dem knyttes til bestemte kognitive skjevheter:

1. Distribuer honningfeller (sunk cost-feilslutningen): Honningfeller kan etterligne verdifulle ressurser samtidig som de simulerer gradvis fremdrift, for eksempel ved å gi trinnvis tilgang til stadig mer «sensitive» filer. Angripere kan for eksempel ledes til å dekryptere lokkefiler som til syvende og sist ikke gir noen reell verdi, noe som forsterker følelsen av å ha investert i målet. Dette er et klassisk «å hacke hackerens sinn»-grep: Når en angriper føler at vedkommende har investert tid og ressurser, er det mindre sannsynlig at han eller hun trekker seg – selv når det er en felle.
2. Introduser standardbaner (standardbias): Ved å opprette baner som fremstår som naturlige eller åpenbare valg, for eksempel en synlig liste over brukernavn med lokkemidler strategisk plassert øverst, kan forsvarere lede angripere mot overvåkede systemer samtidig som kritiske ressurser beskyttes.
3. Presenter lokkesystemer (tilgjengelighetsheuristikk): Lokkesystemer bør fremstå som enklere eller mer tilgjengelige enn verdifulle mål, slik at angripere ledes til disse isolerte miljøene. Verktøy som Canary-tokens eller simulerte svake punkter i nettverket kan fungere som effektive lokkemidler.
4. Gjentatt avledning (nylighetsbias): Dynamisk genererte lokkebrukernavn, roterende nettadresser eller sårbarheter som tilsynelatende endres regelmessig, kan forsterke angripernes avhengighet av kjente metoder og trekke dem inn i gjentatte blindgater.
5. Bruk villedende varsler (tvetydighetseffekten): Tvetydige systemvarsler, for eksempel feil som antyder delvis oppdagelse, kan forvirre angripere og forsinke beslutningene deres. Vage feilmeldinger kan for eksempel få angripere til å nøle, slik at forsvarere får bedre mulighet til å overvåke og reagere effektivt.

Skaler ACE med AI og GAN-er

Etter hvert som kognitive ingeniørteknikker utvikler seg, kan de endre cybersikkerheten betydelig. Ved å kombinere disse metodene med AI-drevne systemer – trent på angriperes atferd – kan forsvarere automatisere ACE-taktikker og utøve psykologisk press i stor skala, uten behov for direkte menneskelig inngripen.

For å ta dette enda lenger gir generative adversarial-nettverk (GANs), en kraftig undergruppe av maskinlæring, banebrytende muligheter for å skalere ACE-strategier. Disse systemene består av to nevrale nettverk – generatoren, som lager simulerte resultater, og diskriminatoren, som evaluerer dem. Ved å arbeide mot hverandre forbedrer nettverkene hverandre, noe som muliggjør dynamisk simulering av angriperes atferd og reaksjoner.

Dette gjør GANs spesielt egnet til å generere lokkemiljøer som er tilpasset konteksten, og som utnytter kognitive skjevheter som tilgjengelighetsheuristikk eller standardbias. Slike lokkemiljøer kan tilpasse seg i sanntid ved å endre presentasjonen eller kompleksiteten etter hvert som angripere reagerer, og dermed skape et forsvarslag i utvikling som forutser angripernes trekk.

Manipuler angriperes atferd i sanntid

Er du klar til å snu situasjonen mot angriperne? Følg bevegelsene deres i sanntid og utnytt selve skjevhetene som styrer beslutningene deres, slik at du leder dem bort fra sensitive mål før de i det hele tatt innser hva som skjer.

Slik gjør du det:

• Oppdag veivalget: AI-drevne forsvar kan gjøre mer enn bare å distribuere lokkemidler – de kan registrere når angripere forplikter seg til en bestemt fremgangsmåte.
• Øk innsatsen: Når du først har fått dem på kroken, kan du øke kompleksiteten i lokkemiddelet. Frist dem til å investere enda mer tid og ressurser, og trekk dem bort fra virkelige mål.
• Forbli tilpasningsdyktig: Dette handler ikke bare om å reagere, men om aktivt å styre angripere ut av kurs og tvinge dem inn i blindgater lenge før de når noe verdifullt.
• Bryt beslutningskjeden: Når du tar kampen til det kognitive nivået, blokkerer du ikke bare angrep – du river ned de mentale snarveiene angriperne er avhengige av. Steng av disse velkjente veiene, så vil de enten kaste bort tid eller trekke seg helt tilbake.

AI i utvikling

Angripere tar også i bruk AI, og det vil ikke ta lang tid før de tilpasser seg selv de mest sofistikerte fellene. Fremover trenger forsvarere helt tilpasningsdyktige AI-modeller som lærer underveis, motvirker nye mønstre og endrer strategi uten å vente på menneskelig godkjenning. Det er den eneste måten å holde tritt med motstandere som er like dedikerte til innovasjon som du er.

Cyberforsvar i et AI-drevet landskap

Samspillet mellom offensiv og defensiv AI vil sannsynligvis definere cybersikkerhetens neste grenseområde. For å ligge foran motstanderne må organisasjoner:

• Utnytte data fra RED-team-simuleringer, APT-øvelser og hendelser fra den virkelige verden for å trene opp tilpasningsdyktige forsvarsmodeller.
• Utvikle KPI-er for å måle hvor vellykkede ACE-baserte strategier er, for eksempel redusert oppholdstid for angripere eller økt sløsing med ressurser.
• Ta hensyn til etiske spørsmål og sørge for at defensiv AI forblir upartisk og motstandsdyktig mot utnyttelse.

Adversarial kognitiv ingeniørkunst gir en ny måte å veve menneskelig psykologi inn i moderne teknologi på, slik at forsvarere får overtaket mot angripere. Etter hvert som praksisen modnes, vil bruk av ACE i sikkerhetsoperasjonssentre bli avgjørende for å holde seg ett skritt foran.

Fra reaktivt til proaktivt cyberforsvar

Implementering av ACE-baserte strategier gjør det mulig for ledere innen cybersikkerhet å utstyre teamene sine med verktøyene de trenger for å forutse og manipulere angriperes atferd. 

Kombinasjonen av menneskelig psykologi og AI-drevne systemer vil spille en avgjørende rolle i den neste epoken innen cyberforsvar og sikre at forsvarere alltid ligger ett skritt foran. Gjør forsvaret ditt smartere, og sørg for at cybersikkerhetsoperasjonene dine er smidige, tilpasningsdyktige og i stand til å nøytralisere avanserte trusler før de i det hele tatt oppstår. 

Hvis du er klar til å holde deg foran angriperne, kan du begynne med å gjøre fordommene deres til din sterkeste allierte – for noen ganger er den beste måten å hacke systemet på å hacke sinnet bak det.

Abonner på nyhetsbrevet til The CTO Club for mer innsikt, tips og verktøy innen cyberforsvar.