sécurité cognitive: pyramide de la douleur

Je jure que mes meilleurs messages proviennent de conversations aléatoires sur Internet.

La pyramide de la douleur décrit les types d'indicateurs que vous pouvez utiliser pour comprendre / détecter une cyberattaque. Dans un moment curieux, j'ai demandé à son créateur, David Bianco, s'il existait encore une version désinformation.

Euh… pas encore? Et il y réfléchit, et moi aussi, alors j'ai griffonné quelques tweets.

Question de David: «The Pyramid of Pain consiste à aider les analystes et les ingénieurs de détection à faire de meilleurs choix en ce qui concerne les types de CIO qu'ils utilisent pour la détection des incidents de sécurité. Comment décririez-vous un analogue dans l'espace de désinformation? » déclenché:

Je pense que ce serait similaire. Nous avons créé la pyramide des artefacts / récits / incidents / campagnes parce que les éléments du bas étaient plus faciles à trouver, à analyser et à traiter que ceux du haut, et nous voulions que les gens lèvent les yeux sur «nous avons trouvé des choses; supprimer des éléments "…

• … En bas, je voyais des artefacts: hashtags connus, phrases, images, etc. - des choses que nous savons être présentes dans de nombreuses campagnes de désinformation, discours de haine, messages extrémistes, etc.
• Ensuite, par exemple les adresses IP? Nous avons un tas de sites, de comptes, de groupes connus qui poussent à la désinformation et à des complots comme antivax. Ce sont des endroits dans lesquels on sait aller chercher…
• Après ça? noms - mais noms de domaine, noms de groupe, noms de page, noms de compte . Les mots qui, lorsque vous les voyez dans une URL, sont de bons indicateurs indiquant que c'est quelque part que vous pourriez vouloir regarder. Un peu plus difficile maintenant: peut vérifier de nouvelles adresses, mais doit attendre le contenu et obtenir des faux positifs
• Puis «faits» . C'est là que vous entrez dans la vérification des faits et que vous avez besoin d'équipes d'humains effectuant des recherches en arrière-plan, utilisant la recherche d'images, etc. La vérification des faits semble plus atomique que les récits; plus difficile à discerner
• Les artefacts de l'hôte de désinformation sont intéressants, et ensuite. Une grande partie de l'activité en ligne crée des traces (c'est pourquoi nous avons créé le côté gauche d'AMITT), mais cela peut prendre des compétences, des ressources ou un accès direct pour les trouver. Je pense qu'il y a des recherches à faire dans cette couche.
• (BTW, j'ai du mal à savoir où placer les artefacts d'attribution dans cette pyramide. Je soupçonne qu'une grande partie de ce qui est nécessaire proviendrait d'artefacts d'hôte et de connaissances de base, et pourrait être hors de portée des IoC)
• Outils . Je mettrais des choses comme des bots, des cyborgs (compte humain + bot), des outils C&C, etc. ici. Et il est difficile de détecter les cyborgs sans faire une analyse de réseau, etc. ces jours-ci. J'essaie de faire correspondre les sommets de la pyramide.
• Je garde les TTP au sommet, même si je soupçonne qu'il pourrait y avoir quelques couches supplémentaires. Et pas seulement parce que j'ai écrit le livre sur la façon de faire cela -https://github.com/cogsec-collaborative/AMITT - possible d'automatiser une partie de cela, mais généralement manuel.