Kontaktperson: Joel Brynielsson joel.brynielsson@foi.se 08-555 036 97 DS-07-2017: Addressing Advanced Cyber Security Threats and Threat Actors, sub-topic Situational Awareness Kontaktperson: Joel Brynielsson joel.brynielsson@foi.se 08-555 036 97

Cyber Situational Awareness (CSA) Vad? Konstruera en lägesbild (förståelse) för beslutsfattare Vad ska den innehålla? Hur ska den presenteras? Olika abstraktionsnivåer kan ha relevans Från övergripande (ex. nationell nivå) till detaljerad (ex. programkod i datorer och nätverk) Relativt outforskat och omoget forskningsområde Hur? Potentiella forskningsområden: Identifiering av relevanta element ingående i CSA för olika aktörer/nivåer (uppdrag) Metoder för sammanvägning/fusion av heterogen information Framtagning av effektiv presentationsteknik Validering av effektivitet av valt tillvägagångssätt gentemot specificerat uppdrag (ex. cyberförsvar) Att kunna bygga upp och vidmakthålla en god lägesförståelse med avseende på informationsmiljön är kritiskt för att kunna bedöma cyberattackers roll i en större kontext. Cyber Situational Awareness (CSA) är det övergripande området som handlar om denna förmåga. Här samlas olika cyberförmågor tillsammans med situationsuppfattningen kring de fysiska arenorna vilket ger en övergripande situationsuppfattning avseende den större kontexten. En god CSA är t.ex. en förutsättning för att kunna upptäcka om en cyberattack i själva verket syftar till att avleda uppmärksamheten från ett långt värre datorintrång, eller huruvida ett datorintrång syftar till att åstadkomma en effekt i den fysiska miljön. Många exempel på sådana typer av mer komplexa och domänöverskridande attacker har utförts under de senaste åren, och de kan förväntas öka i omfattning. Området är till stor del outforskat och det återstår att utreda mer exakt vilken typ av forskning/utveckling som behöver utföras för att tillägna sig förmågan. Ur ett tekniskt perspektiv måste principer för att kunna sammanväga/fusionera information från olika heterogena ”IT-sensorer” tas fram, ur ett processperspektiv behöver tillvägagångssätt för tillägnande och användande av CSA tas fram, och ur ett träningsperspektiv behöver CSA kunna läras ut och mätas i samband med spel i realistiska träningsmiljöer som t.ex. CRATE. Försvarsmakten är aktiva kring att bygga upp en CSA-förmåga och finansierar bl.a. en doktorand inom ämnet. MSB bygger parallellt upp en relaterad förmåga kopplat till sin uppgift att ta hand om myndigheters cyberincidentrapportering som grund för att kunna generera rapporter och annan typ av avrapportering till regeringen.