恶意软件分析中的协作工作：理解恶意软件分析师的角色和挑战

研究背景与问题

• 作者发现了哪些问题或挑战？

  • 恶意软件分析为防御日益猖獗的网络攻击提供了关键的信息。尽管恶意软件分析需要与团队内部及外部的协作者进行高效沟通，但关于这些分析师的实际协作方式及沟通障碍的研究不足。
  • 缺乏明确的角色和协作方式可能会导致关键沟通错误，例如由于误传恶意软件样本触发感染或由于未及时分享分析结果导致的误报和漏报。

• 为什么这个问题很重要？

  • 恶意软件分析的成果作用于安全运营中心 (SOC)、事件响应团队 (IRT)、威胁情报团队等，其沟通和协作效率直接影响组织的整体安全水平。
  • 若沟通中的挑战得不到解决，可能会导致关键数据未被及时处理或使用，从而增加安全风险。

• 研究动机与相关工作

  • 恶意软件分析的技术层面，包括动态分析、静态分析和机器学习检测，已有深入研究，但对人类协作与沟通的理解显著不足。
  • 尽管软件开发领域已对高效团队沟通方式进行了许多研究，但这类研究很少被引入到安全分析领域，尤其是恶意软件分析。

解决方案

• 作者提出了哪些方法或解决方案？

  • 作者通过半结构化访谈形式，调查了15名日本企业和组织中的恶意软件分析师，全面探索了其角色、协作对象及沟通挑战。
  • 对通信挑战提出了六项具体的改进建议，如建立支持在线通信的分析环境、推动协作工具和标准化惯例，以及促进分析师与研究者之间的更紧密合作。

• 该解决方案的创新之处是什么？

  • 提出了适应恶意软件分析情景的多项实用建议，例如优化屏幕共享工具以支持虚拟分析环境，研究如何提升分析师共享信息的动机。
  • 引入跨学科视角，将软件开发中团队协作的成功经验应用于恶意软件分析师团队。

• 实施步骤是什么？使用了哪些关键技术？

  • 通过对恶意软件分析师的访谈，生成开放编码，对分析师的角色和沟通挑战分类并提炼见解。
  • 在建议部分，结合访谈结果与现有研究，提出改善沟通和协作的实践工具和方式。

研究成果

• 取得了哪些具体成果？

  • 识别并总结了恶意软件分析团队的14种主要角色（如威胁情报生成、教育培训、签名创建等）和3种通信目的（请求/听取咨询、升级/报告、信息分享/咨询）。
  • 确定了分析师在沟通中面临的七类主要挑战，包括：
    • 在线沟通效率低。
    • 分析师间知识转移困难。
    • 客户沟通和研究者协作中的摩擦问题。

• 与现有解决方案相比，它有哪些优势？

  • 以分析师的日常实践为中心，提供了更具体和现实的改进建议。
  • 提议从协作工具、组织结构和文化方面同时提升沟通效率，而不仅局限于技术改进。

• 实验或评估结果是什么？

  • 研究通过访谈方法充分验证问题的存在性和普遍性，例如多位参与者提到无法准确传递或联结信息的痛点。
  • 提出的改进建议，如统一术语和变量命名规则、制定社区共享分析准则，已被证明可在其他领域（如软件开发）中有效，具有较高的可操作性。

• 局限性与未来方向

  • 局限性：
    • 研究对象仅限于日本分析师，结果的普适性可能受影响。
    • 所有参与者均为男性，未探讨性别差异可能对沟通行为造成的影响。
  • 未来方向：
    • 研究更大范围和多样化的参与者，包括来自多个领域、地区的分析师。
    • 深入探究具体信息共享障碍与其解决方案的效果验证。
    • 探索与安全相关的跨团队协作最佳实践并推广。