Sharing cyber threat intelligence in cyber exercise : Does controlled sharing of threat intelligence improve situation awareness?

Abstract

The first idea for this research started to evolve during on the cyber security exercise course at JAMK University of Applied Sciences in spring 2017, when it was noticed that the existing exercise tools were not good enough for keeping up the situation awareness of the exercise a decent level regardless of the team where one is a participant. It was difficult follow what was going on in each team.

The research focused on two different themes: to understand how current tools in the realistic global cyber environment RGCE were used by defender teams for situation awareness during cyber security exercise. The second research theme focused on how defender teams collected, analyzed and shared cyber threat intelligence during the cyber security exercise.

The research was conducted as empirical study containing both qualitative and quantitative approaches. Cyber security exercise course was used as a case study and two different surveys were sent to the members of the defender teams in the cyber security exercise.

As a result, it was found out what the most used tools for the situation awareness were during a cyber security exercise. It was possible to identify which were the most important situation awareness tools and methods at individual level and at the team level as well.

It was not possible to identify if the controlled sharing of cyber security threat intelligence in cyber exercise improve the situation awareness, as the defender teams failed to collect relevant cyber security threat intelligence. There is a need for further research how defender teams handle the cyber threat intelligence in cyber exercises to understand what issues needs to be considered when planning cyber exercises.

Ensimmäinen idea tälle tutkimukselle syntyi Jyväskylän ammattikoreakoulun kyberturvallisuusharjoituskurssilla keväällä 2017, kun huomattiin, että käytössä olevat harjoituksen työkalut eivät olleet riittävät ylläpitämään harjoituksen tilannetietoisuutta riippumatta siitä, missä tiimissä olit. Oli vaikeata seurata, mitä missäkin tiimissä tapahtui.

Tutkimus keskittyi kahteen teemaan: yritettiin ymmärtää mitä nykyisiä työkaluja globaalissa kyberympäristössä RGCE:ssä puolustava tiimi käyttää tilannetietoisuuden ylläpitämiseksi kyberharjoituksen aikana. Toinen tutkimusteema keskittyi, siihen miten puolustavat tiimit keräävät, analysoivat ja jakavat kyberturvallisuusuhkatietoja kyberturvallisuusharjoituksen aikana.

Tutkimus oli luonteeltaan empiirinen, jossa käytettiin kvalitatiivisia ja kvantitatiivia menetelmiä. Kyberturvallisuusharjoituskurssia käytettiin kokeellisen tutkimuksen ympäristönä ja kaksi eri kyselyä lähetettiin puolustavien tiimien jäsenille.

Tulokseksi saatiin selvitettyä, mitkä ovat tärkeimmät työkalut tilannetietoisuuden ylläpitämiseksi kyberturvallisuusharjoituksessa. Oli mahdollista tunnistaa, mitkä olivat tärkeimmät työkalut ja menetelmät niin yksilön kuin tiimin näkökulmasta.

Ei kuitenkaan saatu selvitettyä, parantaako kyberturvallisuusuhkatietojen jakaminen kyberturvallisuusharjoituksessa tilannetietoisuutta, sillä puolustavat tiimit epäonnistuivat keräämään merkityksellistä kyberturvallisuusuhkatietoja. Onkin tarve jatkotutkimukselle, miten puolustavat joukkueet käsittelevät kyberturvallisuusuhkatietoja kyberturvallisuusharjoituksissa, jotta ymmärrettäisiin mitä pitää ottaa huomioon kyberturvallisuusharjoituksia suunniteltaessa.