《Proceedings of the Human Factors and Ergonomics Society Annual Meeting》：Team Cognition in Adversarial Cyber Operations: Effects of Collaboration on Deception Susceptibility and Exploit Behavior
编辑推荐：
网络攻击日益由协作团体实施，而当前的网络欺骗研究模型假设攻击者是独立决策的个体行为者。本研究探讨了在高欺骗性网络环境中协作对利用行为及欺骗易感性的影响。具体而言，研究人员利用Team HackIT人机回路（human-in-the-loop）仿真系统，招募40
网络攻击日益由协作团体实施，而当前的网络欺骗研究模型假设攻击者是独立决策的个体行为者。本研究探讨了在高欺骗性网络环境中协作对利用行为及欺骗易感性的影响。具体而言，研究人员利用Team HackIT人机回路（human-in-the-loop）仿真系统，招募40名计算机科学专业本科生在环形拓扑网络中执行网络利用任务，其中75%的计算机为蜜罐（honeypot）。参与者或以隔离方式独立工作，或通过实时通信工具与同伴协作。研究发现，协作显著增加了利用行为和蜜罐交互频率，但并未帮助参与者区分合法机器与欺骗性资产。这些结果表明，协作性认知扩展了探索行为，但并未影响攻击者在不确定性条件下的辨别能力。
**论文解读：协作认知如何影响网络欺骗环境中的攻击者行为**
**一、研究背景与问题提出**
当前网络攻击已从单打独斗的个体黑客行为演变为有组织、协作化的团队行动，攻击者常利用分布式侦察、协作规划与动态决策过程实施网络活动。然而，现有网络欺骗研究大多假设攻击者是独立决策的个体，忽略团队认知对攻击行为的影响。欺骗性防御技术如蜜罐（honeypot）已被广泛用于操纵攻击者感知、引导其攻击方向并延缓攻击进程。已有研究表明，网络拓扑、蜜罐密度和系统可达性等因素会显著影响攻击者的导航、搜索和利用选择行为。但这些研究主要集中于网络结构特征，对协作因素关注不足。从人因学角度看，协作性网络行动涉及分布式认知、共享假设生成和集体决策，可能促进信息交换和探索行为，但也可能强化确认偏差、共享过度自信和探索性冒险等社会认知偏差。因此，协作是否会增加攻击者的利用行为、提高其蜜罐交互频率，同时能否提升其对合法系统与欺骗系统之间的辨别能力，成为一个亟待实证研究的问题。本研究正是基于这一缺口，利用Team HackIT人机回路仿真平台，系统考察高欺骗环境中的协作对利用行为与欺骗易感性的影响。
**二、研究设计与技术方法**
研究人员采用组间实验设计，招募40名来自印度某工程学院的计算机科学专业本科生（年龄20至24岁，均值20.5岁，标准差0.7岁），参与者具备基本的计算机网络、网络安全和命令行操作知识。实验设置两种条件：个体条件（独立完成任务，无通信）与协作条件（通过实时文本聊天工具通信）。两种条件使用完全相同的网络配置：每个模拟网络包含40台环形拓扑连接的系统，其中75%为蜜罐，蜜罐在侦察阶段的表现与合法系统完全一致。参与者已知网络中存在欺骗，但不知道蜜罐的具体位置。每轮实验持续10分钟，任务目标是发现并利用合法系统以获取机密文件pin.txt。主要研究工具为Team HackIT仿真平台，该平台提供交互式命令行界面，支持侦察（如Nmap端口扫描）、漏洞检测和利用执行等操作。协作条件下的参与者可通过实时文本通信共享观察结果、识别潜在目标、制定侦察策略并共同解释侦察结论。参与者的扫描、利用、成功入侵和通信行为均由系统自动记录。数据分析采用SPSS进行单因素方差分析（ANOVA）。
**三、主要研究结果**
**协作对蜜罐利用的影响：** 单因素ANOVA显示协作对蜜罐利用存在显著主效应，F(1, 38)=15.717, p<.001, η2=.29。协作条件下的参与者攻击的蜜罐数量（均值7.85，标准差2.91）显著高于个体条件参与者（均值4.45，标准差2.50），假设H2获得支持，表明协作增加了对欺骗性系统的探索性交互。
**协作对合法系统利用的影响：** 协作对合法系统利用没有统计学显著影响，F(1, 38)=0.011, p=.918, η2=.0003。协作组（均值2.10，标准差1.59）与个体组（均值2.15，标准差1.46）的合法系统利用数量相近，假设H3获得确认，表明协作未能增强攻击者在欺骗环境中的目标辨别能力。
**协作对总利用行为的影响：** 总利用交互次数存在显著主效应，F(1, 38)=9.610, p=.004, η2=.20。协作条件下参与者的总利用次数（均值9.95，标准差3.71）显著高于个体条件（均值6.60，标准差3.10），假设H1获得支持，表明协作增强了探索性利用行为。
**四、讨论与结论总结**
研究结果表明，协作显著提高蜜罐交互水平和利用活动总量，但未能提升攻击者精确锁定合法系统的能力。这证实了协作能够扩展攻击者的探索范围，但在高度欺骗的环境中并不能改善其合法目标与欺骗目标的辨别精度。从人因学视角看，协作环境同时促进信息共享与放大社会认知偏差，如确认偏差、共享过度自信和探索性冒险。分布式认知与协作推理可能使参与者更高效地交换侦察信息并协调探索策略，然而在充满模糊系统线索的高欺骗环境中，这些协作过程也可能强化对目标合法性的错误假设。结果进一步印证了人因研究领域的已有发现：在信息缺乏且不确定性高的社会技术系统中，协作不一定带来绩效提升。对网络安全实践而言，该研究验证了蜜罐机制在抵御协同攻击方面的有效性，高密度蜜罐即使面对攻击者协作，仍能通过吸引注意力、增加攻击成本并延缓决策过程发挥作用。研究强调，应将网络攻击视为由分布式推理、适应性协作和不确定性决策组成的社会认知系统，这对构建更符合真实对抗场景的网络防御模型具有重要意义。研究局限性包括网络规模较小、采用环形拓扑、参与者为大学生以及文本通信方式难以完全反映真实世界协作等，未来研究可考虑更多网络类型、不同通信系统及更高水平的攻击者。
