Des acteurs malveillants utilisent des forums de discussion en ligne pour faciliter l'échange de connaissances, souvent à l'abri des regards du public. Dans ce blog, nous étudions la transmission des savoirs qui s'opère sur les forums publics et privés. Cela nous amène à nous demander comment la sélection des participants les mécanismes des forums influencent la transmission des savoirs. Cette transmission est cruciale pour l'apprentissage et le développement des compétences, et donc l'ampleur de la menace que font peser les acteurs malveillants sur des organisations comme la vôtre.
Des forums publics et privés
Les forums de discussion en ligne fréquentés par des acteurs malveillants sont dans la plupart des cas publics. Cela signifie que tout le monde peut créer un compte et participer aux discussions. L'image ci-dessous est un exemple de forum public avec une fenêtre contextuelle qui invite en fait n'importe qui à rejoindre le site gratuitement.
Les autres forums sont privés et donc imposer des contrôles sur l'accès aux données. Ces forums nécessitent :
- Une introduction par un ou plusieurs membres du forum ou ;
- Preuve d'expertise ou;
- Un paiement monétaire
Les forums privés, de par leur nature même, sont rarement étudiés et compris. Ils ont la réputation d'être de meilleures écoles pour le crime, et pour faciliter le partage de connaissances plus avancées, entre acteurs malveillants habiles. Mais est-ce vraiment le cas?
Données et méthodes
We collecté tous les messages échangés entre les utilisateurs de deux forums de discussion, l'une publique et l'autre privée. Ces forums ont été sélectionnés en fonction de leur taille et de leur popularité afin de garantir que nous disposerions de suffisamment de données à analyser. Tous les messages des sections dédiées à l'apprentissage des techniques criminelles ont été analysés à l'aide d'un modèle développé par Garrison et al. (2001). Ce modèle met en avant que la transmission des connaissances s'accomplit à travers un processus en quatre étapes présenté dans le tableau ci-dessous. Chaque fil de discussion sur un forum peut atteindre le niveau 1 (événement déclencheur), 2 (exploration), 3 (intégration) ou 4 (résolution). Un forum avec des discussions atteignant régulièrement le niveau 4 serait révélateur d'un forum où le transfert de connaissances est plus élevé.
Transmission des savoirs dans les instances publiques et privées
Notre analyse suggère d'abord que il y a transmission des connaissances dans les forums publics. Cette transmission des savoirs est cependant entravée par la faiblesse des échanges. En effet, seulement 8% des fils de discussion sur les forums publics ont atteint le 4th niveau - l'étape de résolution - et donc la création et le partage des savoirs délinquants.
A titre de comparaison, les forums privés atteignent la 4ème et dernière étape dans 37% des fils de discussion. De plus, dans le cas des forums privés, les participants atteignent la deuxième étape dans presque tous les fils de discussion (97%), et l'étape d'intégration dans 40% des cas. Pour ces derniers, cela représente près de 4 fois plus souvent que dans le cas des forums publics.
Efficacité dans la transmission des savoirs
Le temps nécessaire pour atteindre l'étape 4 dans les forums publics est important, avec en moyenne 196 jours entre le début d'un fil et sa résolution. En comparaison, les forums privés n'ont besoin que de 60 jours en moyenne pour atteindre le stade 4. En termes de messages, l'inverse est observé avec une moyenne de 2.2 messages pour atteindre le stade 4 sur les forums publics contre 4.6 messages dans le cas des forums privés. Cela suggère que les discussions menant à le niveau 4 est plus important sur les forums privés, et donc que la connaissance est peut-être plus avancée et recherchée. Le tableau ci-dessous présente des statistiques sur les ressources investies pour atteindre le niveau 4 dans les forums publics et privés.
Sources de transmission des connaissances
Les forums publics et privés comptent sur leurs participants pour transmettre des connaissances avec l'un l'autre. Dans certains forums, un petit groupe de participants joue le rôle de mentors auprès des participants. Dans d'autres, ce rôle est partagé entre tous les participants qui sont à la fois enseignants et élèves.
La Le coefficient de GINI est une mesure largement utilisé en économie pour comprendre la concentration de pouvoir, de richesse ou de savoir dans une population.
- Un score GINI proche de 1 signifie que tous les participants jouent un rôle de mentor, et donc que les connaissances sont distribuées de et vers de nombreux participants.
- Un score GINI proche de 0 signifie qu'un seul participant joue le rôle de mentor, et donc contrôle les connaissances.
La la figure ci-dessous montre que sur les forums privés, le score GINI est beaucoup plus proche de 1 que sur les forums publics. Le rôle de mentor est donc réparti entre un plus grand nombre de participants. Les connaissances partagées seront donc vraisemblablement plus diversifiées et l'accès à des expertises variées sera plus généralisé. Sur les forums publics, il semble qu'un très petit cercle de participants agisse comme mentors, et le forum s'appuie donc sur la présence active de ces quelques individus sélectionnés pour fonctionner. Le retrait de ces participants pourrait avoir un impact significatif sur la capacité des forums à créer et à partager des connaissances.
Conclusion
La première contribution de cette recherche est de démontrer comment les connaissances sont créées et partagées dans les forums publics et privés. Dans les deux cas, notre analyse démontre que les participants au forum se réunissent pour résoudre des problèmes et partagent les meilleures solutions. En tant que tels, les forums sont en effet des écoles de crimes, et les professionnels de la sécurité doivent donc prêter attention à ces forums pour mieux comprendre les cybermenaces actuelles et futures.
La principale contribution de cette recherche est cependant que les forums privés semblent jouer un rôle différent de celui des forums publics. Les forums privés fonctionnent à un autre niveau et génèrent beaucoup plus d'informations sur les activités malveillantes. Les participants aux forums privés semblent être plus aptes ou disposés à résoudre des problèmes et à créer et partager des connaissances. Nous avons peut-être pour la première fois cherché à quantifier la différence entre les forums publics et privés.
Cette constatation suggère que les professionnels de la sécurité doivent avoir accès à ces forums pour bien comprendre la clandestinité criminelle. En raison du contrôle d'accès, il peut être difficile pour de nombreux professionnels de la sécurité d'accéder à ces forums. A ce titre, passer par un prestataire de services de protection contre les risques numériques ayant acheté ou obtenu l'accès à ces forums représente une alternative intéressante. Ces fournisseurs comme Flare Systems investissent dans l'accès à ces paramètres privés pour fournir les renseignements les plus utiles sur les cybermenaces. Pour être aussi efficace que possible, vous devez donc vous assurer que votre fournisseur est actif sur ces forums privés et vous fournir un flux vers les dernières et les plus importantes discussions de résolution de problèmes sur le Web clair et sombre.
