기술 요약: 사이버 지속성 탐지기 (CPD)

문제 정의

고급 지속성 위협 (APT) 공격자는 점점 더 장기적으로 피해 시스템에 접근을 유지하기 위해 사이버 지속성 기법에 의존하며, 공격 단계를 시간적으로 분할하여 "저조하고 느린 (low and slow)" 전략을 사용하여 탐지를 회피하는 경우가 많습니다. 전유도 기반 침입 탐지 시스템 (PIDS) 과 규칙 기반 탐지 시스템 (예: Elastic, Sigma) 이 존재하지만, 이러한 위협을 탐지하는 데에는 다음과 같은 중대한 한계가 있습니다:

• 규칙 기반 시스템은 보다 광범위한 컨텍스트나 후속 악성 실행을 평가하지 않은 채 benign 시스템 기능 (예: 레지스트리 실행 키) 을 플래그로 표시함으로써 높은 오검출률 (FP) 을 유발합니다. 반면, 오검출률을 줄이기 위해 규칙을 지나치게 완화하면 높은 누락률 (FN) 로 이어집니다.
• 기존 PIDS(학습 기반 및 휴리스틱 기반 모두) 는 단절된 공격 단계를 연결하는 데 어려움을 겪습니다. 이러한 시스템은 종종 초기 "지속성 설정" (예: 작업 스케줄러 생성) 과 후속 "지속성 실행" (예: 해당 작업으로 시작된 원격 연결) 을 연결하지 못하며, 특히 이러한 이벤트가 시스템 재부팅이나 시간 지연으로 분리되어 있을 때 실패합니다. 그 결과, 종종 우선순위가 낮아지거나 완전히 놓치는 파편화된 저위험 공격 그래프가 생성됩니다.
• 데이터 결손: 표준 로깅 프레임워크는 종종 프로세스 간 통신 (IPC) 이벤트 (예: Windows ALPC) 를 놓쳐, 공격자의 초기 행동과 조작하는 시스템 프로세스 간의 연결을 차단하는 전유도 그래프의 결손을 초래합니다.

방법론

저자들은 "지속성 설정" 및 "지속성 실행" 단계를 인과적으로 연관시켜 지속성 위협을 탐지하도록 설계된 사이버 지속성 탐지기 (CPD) 를 제안합니다. CPD 는 효과적인 지속성 공격이 시스템 상태를 수정하는 설정 단계와 그 상태를 활용하여 원격 접근을 확립하는 실행 단계로 구성된 두 개의 구별되지만 연결된 단계라는 통찰에 기반하여 작동합니다.

시스템은 다음 네 단계의 파이프라인을 사용합니다:

1. 지속성 설정 탐지: CPD 는 시스템 감사 로그를 처리하여 MITRE ATT&CK 에서 파생된 특정 탐지 규칙과 일치하는 활동을 식별합니다 (예: 레지스트리 실행 키, 작업 스케줄러, 서비스 구성 수정). 이러한 이벤트는 지속성 설정 테이블에 기록됩니다.
2. 지속성 실행 탐지: 시스템은 원격 연결을 시작하거나 수락하는 프로세스를 식별합니다. 이러한 프로세스에 대한 역추적을 수행하여 하위 그래프를 생성하고, 지속성 실행 탐지 규칙 (예: 수정된 키를 읽는 특정 시스템 프로세스인 explorer.exe 또는 services.exe) 에 대해 이를 확인합니다. 일치 사항은 지속성 실행 테이블에 기록됩니다.
3. 가상 의존성 엣지 (Pseudo-edge) 생성: CPD 는 TTP(전술, 기법 및 절차) 라벨, 시간적 순서, 그리고 특정 속성을 기반으로 설정 및 실행 테이블의 항목을 정렬합니다. 정렬이 발견되면, 단절된 설정 및 실행 원자 그래프를 인과적으로 연결하기 위해 가상 엣지를 생성합니다. 이는 잠재적인 재부팅 경계를 가로지르는 포괄적이고 간결한 공격 그래프를 생성합니다.
4. 오검출 감소 및 경고 분류: 지속성을 모방하는 benign 활동 (예: 합법적인 업데이트 서비스) 의 높은 양을 처리하기 위해 CPD 는 오검출 감소 알고리즘을 도입합니다. 이 알고리즘은 각 가상 엣지에 대해 다음을 기반으로 이상/위협 점수를 계산합니다:
   • 인과성 기반 지표: 프로세스 체인 내 간접화 정도, 자격 증명 접근 전술의 존재, 그리고 여러 지속성 기법의 협동 실행.
   • 상관관계 기반 지표: 접근 컴퓨터의 도메인 계정 정당성, 횡적 이동 후 로컬 계정 생성, 원격 접근 도구 사용과 같은 컨텍스트적 요인.
   • 점수 매기기: 알고리즘은 지표에 가중치를 부여하고 가상 엣지를 순위 매깁니다. 특정 위협 점수 임계값을 초과하거나 (또는 분석가의 "경고 예산" 내에 있는) 경우에만 진정한 양성으로 플래그가 지정됩니다.

주요 기술 혁신

• 가상 엣지: 이러한 가상 엣지는 설정 및 실행 단계 간의 시간적 및 논리적 간극을 연결하여, 이벤트가 재부팅이나 시간으로 분리되어 있더라도 완전한 공격 서사를 재구성할 수 있게 합니다.
• 전문가 주도 엣지: 종종 누락되거나 저장하기 너무 큰 대량의 IPC 로그 (Windows ALPC 등) 가 필요하지 않도록 하기 위해, CPD 는 OS 정책 (예: 서비스 이름 및 타이밍에 기반한 sc.exe 와 services.exe 연결) 에 대한 전문가 지식을 사용하여 누락된 의존성을 추론합니다. 이는 로그 저장 요구 사항을 평균 37% 감소시킵니다.
• 컨텍스트 기반 분류: 정적 시그니처에만 의존하는 시스템과 달리, CPD 는 시스템 기능 사용의 결과를 평가하여 광범위한 킬체인 컨텍스트를 분석함으로써 benign 사용과 악성 악용을 구분합니다.

주요 기여

1. 새로운 탐지 시스템: 설정 및 실행 단계를 연결하기 위해 전유도 분석을 사용하는 지속성 위협을 대상으로 하는 최초의 탐지 시스템인 CPD 의 도입.
2. 가상 의존성 엣지: 단절된 지속성 단계를 인과적으로 연관시키는 메커니즘으로, 은밀한 다단계 공격 탐지를 개선합니다.
3. 전문가 주도 엣지: OS 정책에 기반하여 누락된 IPC 링크를 추론함으로써 전유도 그래프를 정제하고 로그 양을 줄이는 기술로, 포괄적인 로깅의 필요성을 피합니다.
4. 경고 분류 알고리즘: 전유도 그래프 내 관련 킬체인 기법 및 전술의 근접성을 분석하여 오검출을 줄이는 새로운 알고리즘.
5. 포괄적인 평가: 공개 데이터셋 (DARPA E5, OpTC) 과 엄격한 MITRE ATT&CK 모의 계획 (APT29, Sandworm) 에서 파생된 데이터셋을 포함한 다양한 데이터셋에서의 구현 및 테스트.

결과

공개 데이터셋 및 MITRE 모의 데이터셋에서 수행된 평가는 다음과 같은 결과를 보여줍니다:

• 오검출 감소: CPD 는 최신 오픈 소스 SIEM 규칙 (Elastic, Sigma, Chronicle) 과 상용 EDR 시스템 (VMware CBC) 에 비해 평균 오검출률을 93% 감소시킵니다.
• 정확도: 이 시스템은 다른 시스템이 놓치는, 특히 파편화된 단계나 재부팅 기반 지속성을 포함하는 진정한 지속성 공격을 성공적으로 탐지합니다.
• 로그 감소: 전문가 주도 엣지 사용은 전체 ALPC 로깅의 필요성을 제거함으로써 로그 저장 요구 사항을 평균 37% (특정 시나리오에서는 최대 53%) 감소시킵니다.
• 성능: CPD 는 전체 파이프라인에 대해 1 분 미만의 응답 시간을 달성합니다. 학습 기반 PIDS(KAIROS, FLASH) 와의 비교에서 CPD 는 현저히 빠르며 (KAIROS 보다 315 배 빠르고, FLASH 보다 156 배 빠름), 메모리 사용량은 4 배 적으면서 지속성 탐지에서 더 높은 정확도를 유지합니다.
• 그래프 품질: 시스템은 설정과 실행을 명확히 구분하는 간결하고 설명 가능한 공격 그래프를 생성하여 보안 분석가가 신속한 사고 대응을 할 수 있도록 지원합니다.

중요성 및 주장

이 논문은 CPD 가 시스템 기능 오용의 고립된 탐지에서 설정과 실행 간의 인과 관계로 초점을 이동시킴으로써 APT 방어에 있어 중요한 격차를 해소한다고 주장합니다. 저자들은 다음과 같이 주장합니다:

• 지속성은 이러한 공격의 양상적 특성을 인식하지 못하는 학술 연구 및 탐지 시스템에서 종종 오해받고 있습니다.
• 지속성 행동에 대한 낙관적 가정과 학습 데이터의 필요성을 피함으로써 CPD 는 신뢰할 수 있고, 설명 가능하며, 이전 가능한 솔루션을 제공합니다.
• 이 시스템은 신뢰성, 설명 가능성, 분석적 깊이, 컨텍스트성, 그리고 이전 가능성이라는 효과적인 위협 탐지를 위한 다섯 가지 핵심 속성을 충족합니다.
• CPD 는 기업 환경에서 실용적으로 설계되었으며, 경보 피로를 줄이면서 진정한 지속성 위협이 조사 우선순위를 받도록 보장합니다.

저자들은 시스템이 MITRE ATT&CK 프레임워크에 의존하지만, 그 근본 원칙 (설정/실행으로의 분할 및 인과적 연결) 은 일반화 가능하여 빈번하고 복잡한 재학습 없이도 새로운 위협에 적응할 수 있다고 강조합니다.