Web应用安全认知偏差的人类研究

网络安全培训已成为计算机科学教育和企业入职培训的关键环节。抢夺旗帜（CTF）竞赛作为一种有价值的、游戏化的方法，正在被用于发展和完善网络安全与软件工程专业人士的技能。然而，尽管CTF提供了针对真实世界挑战的受控环境，参与者的决策过程与问题解决方法仍受到 insufficient 探索。鉴于心理学可能在网络攻击者行为中发挥作用，我们调查了如何利用认知偏差来改进CTF教育与安全。在本文中，我们提出一种控制认知偏差（Specifically Satisfaction of Search 与 Loss Aversion）以影响和潜在阻碍攻击者针对Web应用漏洞的有效性的方法。我们通过对CTF任务进行严格的定量与定性分析开展受控的人类研究。CTF练习在网络安全教育与研究中广泛使用，用于模拟真实世界攻击情景，帮助参与者通过解决安全挑战在受控环境中发展关键技能。在我们的研究中，参与者与包含人为嵌入漏洞的Web应用互动，同时接受旨在触发认知偏差的任务设计。我们的研究发现，许多参与者表现出满足搜索的偏差（Satisfaction of Search bias），且这一偏差对其成功率有显著影响。平均而言，表现出此偏差的参与者找到的旗帜数量比未表现出此偏差的参与者少25%。我们的发现为通过CTF挑战从认知偏差的视角，提升网络安全结果、教育与测量提供了宝贵见解。