🤖 machine learning

Noise Contrastive Estimation-based Matching Framework for Low-Resource Security Attack Pattern Recognition

이 논문은 저자원 보안 공격 패턴 인식에서의 거대한 라벨 공간, 왜곡된 분포, 그리고 계층적 복잡성 문제를 극복하기 위해 TTP 매핑을 의미적 유사성 작업으로 재정의하는 노이즈 대조 추정 기반의 신경망 매칭 프레임워크를 제안한다.

원저자: Tu Nguyen, Nedim Šrndić, Alexander Neth

게시일 2026-08-27

📖 4 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Tu Nguyen, Nedim Šrndić, Alexander Neth

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

디지털 세계에서 사이버 보안 전문가들은 정보의 수호자로서 침입의 징후를 끊임없이 탐색합니다. 이를 효과적으로 수행하기 위해 그들은 알려진 공격 방법의 방대한 라이브러리인 '전술, 기법, 절차(TTPs)'라고 불리는 표준화된 카탈로그에 의존합니다. 이것을 범죄자의 플레이북에 담긴 구체적인 동작이라고 생각해보십시오. '전술'은 데이터 탈취나 시스템 인질 잡기와 같은 목표이며, '기법'은 속임수 이메일을 보내거나 파일을 숨기는 것과 같이 그 목표를 달ach하기 위한 방법이고, '절차'는 그 방법의 정확한 단계별 실행입니다. 보안 분석가들은 다른 전문가들이 작성한, 해커들이 어떻게 시스템을 침해했는지 설명하는 수천 건의 보고서를 읽습니다. 그들의 업무는 이러한 서사를 읽고 기술된 동작을 카탈로그의 올바른 항목과 매칭하는 것입니다. TTP 매핑이라고 알려진 이 과정은 방어자들이 패턴을 인식하고, 미래의 공격을 예측하며, 방어 체계를 강화할 수 있게 해주기 때문에 매우 중요합니다. 그러나 카탈로그는 수백 개의 기법과 수천 개의 변형을 포함할 정도로 거대하며, 보고서 자체도 기법이 사용되고 있음을 명시적으로 밝히지 않는 복잡하고 구조화되지 않은 언어로 작성되는 경우가 많습니다.

수년 동안 연구자들은 컴퓨터가 이 매칭 작업을 자동으로 수행하도록 가르치기 위해 노력해 왔습니다. 표준적인 접근 방식은 이를 객관식 시험처럼 취급하는 것이었는데, 즉 컴퓨터가 읽는 모든 문장이나 단락에 대해 방대한 선택지 목록 중에서 올바른 기법을 골라내야 하는 방식입니다. 이 방법은 선택지의 목록이 너무 길고 학습에 사용할 수 있는 사례의 수가 매우 적기 때문에 심각한 문제에 부딪힙니다. 이는 마치 학생에게 사전 전체를 암기하게 한 다음, 한 번도 본 적 없는 이야기 속에서 올바른 단어를 골라보라고 요구하는 것과 같습니다. 컴퓨터는 엄청난 수의 옵션에 압도당하며, 특히 훈련 데이터에 드물게 등장하는 희귀하거나 특이한 공격 방법의 경우 미세한 차이를 학습하는 데 어려움을 겪습니다.

뮌헨의 화웨이 R&D 연구팀은 이 문제를 해결하기 위한 다른 방법을 제안했습니다. 그들은 컴퓨터에게 거대한 목록 중에서 하나를 고르도록 강요하는 대신, 이 작업을 '매칭 게임'으로 재구상했습니다. 이 새로운 접근 방식에서 컴퓨터는 모든 가능한 기법을 텍스트와 대조하여 순위를 매기려 하지 않습니다. 대신, 텍টি 조각의 의미가 특정 기법의 설명과 얼마나 밀접하게 일치하는지를 측정하는 법을 배웁니다. 시스템은 위협 보고서의 한 단락을 가져와서 카탈고에 있는 특정 기법의 서술된 내용과 직접 비교합니다. 만약 의미가 유사하다면 시스템은 높은 점수를 부여하고, 다르다면 낮은 점수를 부여합니다. 이는 초점을 거대한 목록을 암기하는 것에서 두 텍스트 간의 관계를 이해하는 것으로 전환합니다.

이를 데이터가 제한된 상황에서 구현하기 위해, 연구진은 영리한 학습 방법을 개발했습니다. 그들은 컴퓨터에게 모든 기법을 한꺼번에 보여주지 않습니다. 그렇게 하면 너무 느리고 혼란스러울 것이기 때문입니다. 대신, 텍스트와 몇 가지 무작위 기법을 제시하여 서로 비교하게 합니다. 이 기법들 중 일부는 정답인 매치이고, 나머지는 오답입니다. 컴퓨터는 정답 매치의 점수는 높이고, 오답의 점수는 낮추는 법을 배웁니다. 연구진은 실제 데이터의 무질서함을 처리하기 위해 두 가지 구체적인 조정을 거쳐 이 과정을 정교화했습니다. 첫째, 컴퓨터가 내부적인 순서에 상관없이 오답 그룹 전체에 주의를 기울이도록 학습 과정을 조정했습니다. 둘째, 훈련 데이터의 실수에 더 관대하도록 시스템을 가르쳤습니다. 인간 전문가가 보고서에서 기법 레이블링을 누락하는 경우가 있기 때문에, 시스템은 일부 '틀린' 답을 잠재적인 정답으로 취급하여 너무 경직되지 않도록 학습했습니다.

이 새로운 프레임워크의 결과는 실제 사이업 보안 보고서를 사용하여 기존의 여러 방법과 테스트되었습니다. 연구진은 공정한 테스트를 위해 전문가가 주석을 달한 단락들로 구성된 새로운 데이터셋을 만들었으며, 여기에는 이전 데이터셋보다 샘플당 더 많은 레이블이 포함되어 있습니다. 실험을 실행했을 때, 이 매칭 기반 접근 방식은 텍스트를 고정된 카레고리로 분류하려던 전통적인 방식들을 지속적으로 능가했습니다. 새 시스템은 보고서가 복잡하거나 기법이 희귀한 경우에도 올바른 기법을 식별하는 데 특히 뛰어난 성능을 보였습니다. 기존 모델들이 엄청난 양의 가능성 속에서 길을 잃는 경향이 있었던 반면, 이 시스템은 더 자주 올바른 매치를 찾아냈습니다.

이 연구는 또한 훈련 데이터의 크기보다 매칭 로직의 품질이 중요하다는 것을 보여주었습니다. 상대적으로 적은 수의 레이블된 예시만 있어도, 시스템은 새로운 미지의 보고서에 잘 일반화되는 법을 배웠습니다. 이는 텍ist의 위협 설명과 기법 사이의 의미론적 연결을 이해하는 능력이 단순히 방대한 목록의 연관성을 암기하는 것보다 더 강력하다는 것을 시사합니다. 연구진은 시스템이 고립된 문장만이 아니라 텍스트의 단락 전체를 볼 수 있을 때 가장 잘 작동한다는 것을 발견했으며, 이를 통해 공격의 전체 맥락을 포착할 수 있었습니다. 텍스트와 기법 설명 사이의 직접적인 관계에 집중함으로써, 시스템은 복잡하고 미묘한 문제를 경직된 분류 상자에 억지로 끼워 맞추려는 함정을 피할 수 있었습니다.

궁극적으로, 이 연구는 사이버 위협 분석을 자동화하기 위한 더 효율적인 경로를 제공합니다. 이는 문제를 바라보는 방식을 '거대한 선택 과제'에서 '직접적인 비교 과제'로 바꿈으로써, 데이터가 부족한 상황에서도 컴퓨터가 정교한 공격 패턴을 인식할 수 있음을 입증합니다. 이 접근 방식은 분석 속도를 높일 뿐만 아니라 정확도를 개선하여, 보안 팀이 공격자가 사용하는 구체적인 방법을 식별하기 위해 자동화된 도구에 의존할 수 있게 합니다. 사이버 위협이 계속 진화하고 복잡해짐에 따라, 위협 보고서의 미묘한 연결 고리를 이해할 수 있는 시스템을 갖추는 것은 디지털 인프라를 안전하게 지키는 데 필수적인 도구가 될 것입니다. 연구진은 이 중요한 분야의 추가적인 발전을 촉진하기 위해 새로운 데이터셋과 방법론을 커뮤니티에 공개했습니다.

기술 요약: 저자원 보안 공격 패턴 인식을 위한 노이즈 대조 추정(NCE) 기반 매칭 프레임워크

문제 정의

본 논문은 비정형 텍스트 위협 보고서 내에서 정교한 공격 패턴을 식별하고 이를 MITRE ATT&CK과 같은 표준화된 프레임워크에 매핑하는 핵심 과제인 TTP(Tactics, Techniques, and Procedures) 매핑 문제를 다룹니다.

저자들은 이 도메인에서 기존 학습 방식(다중 클래스 또는 다중 레이블 분류)이 가진 몇 가지 한계점을 지적합니다:

레이블 부족 및 불균형: 이 작업은 레이블이 지정된 데이터의 부족과, 많은 기법이 드물게 나타나는 롱테일(long-tail) 분포 문제를 겪고 있습니다.
계층적 복잡성: 레이블 공간이 매우 크며(600개 이상의 기법), 여러 так틱(tactic) 및 서브 테크닉(sub-technique)으로 매핑되는 구조적으로 복잡합니다.
입도(Granularity) 문제: 기존 방법들은 주로 문서 수준이나 문장 수준의 입도에 의존합니다. 문서 수준 접근 방식은 긴 형태의 텍스트를 표현하는 데 불필요한 복잡성을 초래하며, 문장 수준 접근 방식은 복잡한 TTP에 필요한 문맥을 포착하는 데 실패합니다.
저자원 제약: 레이블 상관관계나 레이블 공간 분할에 의존하는 기존의 극단적 다중 레이블 텍스트 분류(XMTC) 방법들은 신호 대 잡음비가 높아지는 레이블 희소 시나리오에서 성능이 저하됩니다.

방법론

저자들은 직접적인 분류에서 **동적 레이블 정보 기반 텍스트 매칭(dynamic label-informed text matching)**으로의 패러다임 전환을 제안합니다. 모든 가능한 레이블을 동시에 구별하도록 분류기를 최적화하는 대신, 이 작업을 입력 텍스트와 TTP의 텍스트 프로필(설명) 사이의 직접적인 의미적 유사성에 의해 결정되는 의미적 매칭 문제로 재정의합니다.

핵심 아키텍처

프레임워크는 듀얼 인코더 매칭 네트워크를 활용합니다:

인코더: 공유 네트워크(Siamese 스타일)가 입력 텍스트 세그먼트와 TTP 텍스트 프로필을 모두 처리합니다. 이는 두 가지 모드를 지원합니다: CTI 엔티티를 위한 특화된 토크나이저를 사용하여 처음부터 학습하거나, 사전 학습된 트랜스포머(특히 SecBERT)를 활용하는 방식입니다.
정렬 네트워크(Alignment Network): 블록 기반 잔차 구조(block-based residual architectures)와 융합 레이어(Hadamard product)를 사용하여 입력 토큰과 TTP 프로필 간의 어텐션 가중치를 계산하고 미세한 상호작용을 포착합니다.
출력: 인코더는 입력을 공통 잠재 공간으로 매핑하며, 여기서 매칭 점수(예: dot product)가 계산되어 시그모이드 함수를 통과함으로써 쌍별 확률(pairwise probability)을 생성합니다.

학습 목표

거대한 레이블 공간과 불완전한 주석(누락된 레이블)을 처리하기 위해, 저자들은 두 가지 상호 보완적인 샘플링 목표를 가진 노이즈 대조 추정(NCE) 기반 학습 메커니즘을 도입합니다:

$\alpha$ -balanced NCE (집합 수준 제어):
- 전수 비교 대신, 각 학습 단계에서 후보 음성 레이블(negative labels)의 집합을 샘플링합니다.
- 이 목표는 샘플링된 음성 레이블의 내부 순서를 변경하지 않으면서 이들의 "집단적 질량(collective mass)"을 제어합니다. $\gamma$ 파라미터를 도입하여 음성 집합의 총체적인 경쟁 강도를 조절함으로써, 모델이 매 업데이트마다 전체 레이블 공간에 완전히 노출될 필요 없이 점진적으로 레이블 공간을 탐색할 수 있도록 합니다.
비대칭 포커싱 (Asymmetric Focusing, 쌍 수준 제어):
- "누락된 레이블" 노이즈(샘플링된 음성 레이블이 실제로는 주석이 누락된 양성 레이블일 수 있는 경우)를 처리하기 위해 설계되었습니다.
- 비대칭 손실(asymmetric loss)에서 영감을 얻었으며, 쉬운 음성 사례를 가중치에서 제외하고 낮은 확률을 가진 쌍을 무시하기 위해 컷오프 $m$ 을 적용합니다. 이는 양성( $\gamma_+$ )과 음성( $\gamma_-$ )에 대한 별도의 포커싱 파라미터를 사용하여, 쉬운 음성 사례가 그래디언트를 지배하지 않도록 하면서 불완전한 감독을 견고하게 처리합니다.

학습 전략

코퍼스 수준 샘플링: 레이블을 현재 미니 배치에서만 가져오는 것이 아니라 전체 레이블 인벤토리에서 추출하여, 레이블 공간에 대한 더 넓은 노출을 보장합니다.
계층적 멀티태스크 학습: 입력 텍스트와 관련된 더 넓은 범위의 "tactics"를 예측하는 보조 작업을 수행하며, 이를 메인 매칭 작업과 공동 최적화하여 MITRE ATT&CK의 계층적 구조를 활용합니다.
2단계 학습: 비대칭 손실을 위해 2단계 절차를 사용합니다: 먼저 $\alpha$ -balanced loss로 그래디언트를 안정화한 후, 비대칭 포커싱을 도입합니다.

주요 기여

문제 재정의: 저자들은 TTP 매핑을 문단 수준의 계층적 다중 레이블 텍스트 분류 문제로 재정의하여, 입력과 TTP 프로필 간의 직접적인 의미적 유사성을 활용하는 텍스트 매칭 작업으로 변환했습니다.
새로운 손실 함수: 두 가지 상호 보완적인 샘플링 랭킹 목표를 도입했습니다:
- 집합 수준의 $\alpha$ -밸런싱: 후보 집합의 질량과 커버리지를 관리합니다.
- 쌍 수준의 비대칭 포커싱: 누락된 레이블 노이즈 하에서 개별 쌍의 영향력을 관리합니다.
데이터셋 큐레이션: 실제 시나리오를 밀접하게 모사하는 **전문가 데이터셋(Expert dataset)**을 구축하고 공개했습니다. 문장에 집중하는 기존 데이터셋(예: TRAM)과 달리, 이 데이터셋은 전체 문단을 다루므로 본질적으로 다중 레이블 주석을 포함하며, 샘플당 평균 1.84개의 레이블을 보유하고 있습니다(TRAM의 1.16 대비 약 60-80% 증가).
실증적 검증: 제안된 NCE 기반 매칭 프레임워크가 BM25, Binary Relevance, 그리고 최신 XMTC 모델인 NAPKINXC 및 XR-LINEAR를 포함한 강력한 베이스라인들을 능가함을 세 가지 데이터셋을 통해 입증했습니다.

결과

제안된 모델들, 특히 Asymmetric 및 $\alpha$ -balanced 손실을 사용하는 모델들은 TRAM, Procedures+, 그리고 새로운 Expert 데이터셋에서 우수한 성능을 달럽했습니다.

성능 향상: 제안된 모델들은 Precision@1, Recall@1, F1@3에서 베이스라인들을 크게 앞질렀습니다. 예를 들어, Expert 데이터셋에서 Asymmetric 모델은 F1@3에서 0.399를 달성하여, 최상위 XMTC 베이스라인인 NAPKINXC(0.365)와 XR-LINEAR(0.279)를 상회했습니다.
롱테일 강건성: 헤드(head)와 테일(tail) 분포 분석 결과, 분류 기반 베이스라인들은 빈도가 낮은(tail) TTP에서 성능이 크게 저하된 반면, 매칭 기반 접근 방식은 의미적 유사성을 포착하는 귀납적 편향 덕분에 상대적인 강건성을 유지했습니다.
일반화: Procedure+와 TRAM에서 학습하고 보지 못한 Expert 데이터셋에서 평가했을 때, 제안된 모델들은 베이스라인들에 비해 더 나은 일반화 능력을 보여주었습니다.
Ablation 연구: 보조 계층적 작업과 사전 학습된 SecBERT 인코더의 긍정적인 기여를 확인했으나, 트랜스포머 없이도 모델은 경쟁력 있는 성능을 유지했습니다.

의의 및 주장

본 논문은 보안 도메인 고유의 저자원 문제를 극려하는 레이블 효율적인 솔루션을 제공한다고 주장합니다. 매 단계마다 완전한 레이블 공간 최적화를 요구하는 과정에서 벗어남으로써, 프레임워크는 계산 비용과 누적 레이블 커버리지 사이의 균형을 효과적으로 맞춥니다.

저자들은 다음과 같은 이유로 이 접근 방식이 특히 중요하다고 강조합니다:

충분한 감독을 가정하는 기존 XMTC 방법들보다 롱테일 문제와 레이블 희소성을 더 효과적으로 해결합니다.
TTP의 텍스트 프로필(기존 연구에서는 종종 간과됨)을 활용하여 매칭 과정을 가이드함으로써, 보지 못한 또는 희귀한 공격 패턴에도 일반화할 수 있게 합니다.
실제 위협 보고서의 다중 레이블 특성을 더 잘 반영하는 전문가 주석 데이터셋을 제공하여 향후 관련 연구를 촉진합니다.

저자들은 한계점에 대해서도 겸허히 밝히고 있습니다. 이 방식이 레이블 효율적이지만, 학습 시간 측면에서는 계산 효율적이지 않으며(단일 V100 GPU에서 약 24시간 소요), Expert 데이터셋이 고품질임에도 불구하고 전체 TTP 공간의 일부만을 다루고 있다는 점을 인정했습니다. 또한 데이터셋에 주의 깊은 처리가 필요한 잠재적 개인정보(PII)가 포함되어 있음을 언급했습니다.