Operational Runtime Behavior Mining for Open-Source Supply Chain Security

기술 요약: 오픈소스 공급망 보안을 위한 운영 런타임 행동 마이닝

문제 정의
오픈소스 소프트웨어 (OSS) 공급망 공격은 increasingly 설치, 가져오기 (import), 또는 설치 후 단계에서 실행되는 악성 로직에 의존하며, 이는 난독화나 동적 생성으로 인해 정적 분석이 종종 놓치는 부분입니다. 방어자들은 런타임 텔레메트리에 의존하지만, 이 데이터는 이질적입니다: 일부 소스는 도메인, IP, 명령어와 같은 구체적인 아티팩트를 보존하는 반면, 다른 소스는 시스템 호출 횟수, 파일 접근 버킷과 같은 집계된 행동 요약만 노출합니다. 이로 인해 모델을 중심으로 한 평가 (탐지를 이진 패키지 수준 분류로 간주) 와 분석가 요구사항 (구체적이고 실행 가능한 런타임 피벗을 필요로 함) 사이에 불일치가 발생합니다. 또한, 기존 그래프 설명기는 모델 예측을 보존하는 특징을 식별하지만, 반드시 실행 가능한 조사 단서와 일치하지는 않습니다. 왜냐하면 높은 중요도를 가진 에지는 일반적인 정상 행동이나 환경적 노이즈를 반영할 수 있기 때문입니다. 핵심 과제는 **관측 가능성에 제한된 헌팅 (observability-bounded hunting)**입니다: 즉, 조사 증거의 구체성은 텔레메트리 소스가 기록하는 내용에 의해 엄격하게 제한됩니다.

방법론: HetHunt 프레임워크
저자들은 패키지 수준 위험 예측과 분석가 중심의 조사를 연결하도록 설계된 관측 가능성 인식 런타임 그래프 헌팅 프레임워크인 HetHunt를 제시합니다. 이 프레임워크는 세 단계로 운영됩니다:

1. 표준 런타임 증거 그래프:

   • HetHunt는 이벤트 수준 추적 및 집계 요약과 같은 다양한 소스의 이질적인 런타임 텔레메트리를 공유되는 타입이 지정된 이질적 그래프 스키마로 매핑합니다.
   • 온톨로지는 여섯 가지 노드 유형을 포함합니다: PKG(패키지 식별자), PROC(프로세스 인스턴스), FILE, NET(네트워크 엔드포인트), SYSCALL, CMD(명령어 문자열).
   • 열한 가지 에지 유형은 상호작용 (예: LOAD, DEPEND, EXEC, READ, CONNECT) 을 인코딩합니다. 주요 설계 특징은 중간 PROC 레이어로, 설치 시 쓰기 행동과 가져오기 시 네트워크 연결과 같은 행동을 구분하기 위해 다중 홉 경로 (예: PKG → PROC → FILE) 를 생성합니다.

2. 관계 그래프 인코더 (위험 예측):

   • 이 프레임워크는 그래프 구조에서 패키지 수준 위험을 학습하기 위해 관계 그래프 컨볼루션 네트워크 (R-GCN) 를 사용합니다.
   • 다른 인코더 (GAT, HAN, HGT) 가 평가되었으나, R-GCN 은 경쟁력 있는 분류 성능, 낮은 추론 지연 시간, 그리고 점수를 런타임 피벗으로 다시 매핑하는 데 적합한 직접 타입 지정 에지 인터페이스를 제공한다는 이유로 최종 파이프라인에 선택되었습니다.

3. 중요도에서 의심스러움으로 (헌팅 레이어):

   • 에지 중요도 학습: PGExplainer 에서 영감을 받은 학습 가능한 에지 마스크 모듈이 모델 예측에 가장 영향력 있는 런타임 상호작용을 식별합니다.
   • 환경 필터링: 규칙 기반 필터는 공통 레지스트리, 시스템 경로, 일상적인 프로빙 명령어와 같은 고빈도 배경 노이즈를 억제하여 공유된 정상 행동이 순위 매기기를 지배하는 것을 방지합니다.
   • 정상 희귀성 보정: 모델 중심의 에지 중요도를 분석가 중심의 의심스러움으로 변환하기 위해, 프레임워크는 정상 참조 집단 against 점수를 보정합니다. 에지의 의심스러움 점수는 다음과 같이 계산됩니다:
     $$s(e) = \text{importance}(e) \times (1 + \alpha \cdot \text{rarity}(e))$$
     여기서 희귀성은 정상 패키지에서 해당 에지의 목적지 문서 빈도에서 파생됩니다. 이는 영향력 있는 에지가 정상 행동에 비해 이례적임을 보장합니다.
   • 그래프 수준 점수 매기기: 패키지는 유지된 상위 K 개 에지의 평균 의심스러움으로 순위가 매겨지며, 집중된 고위험 증거를 가진 그래프를 우선시합니다.

주요 기여

1. 관측 가능성에 제한된 헌팅 공식화: 이 논문은 출력이 텔레메트리 세분성에 명시적으로 제한되는 그래프 문제로 런타임 공급망 헌팅을 공식화하며, IOC 수준, TTP 수준, 맥락적, 그리고 텔레메트리 간극 증거를 구분합니다.
2. 표준 런타임 증거 그래프: 이벤트 수준 및 집계 소스로부터의 이질적인 패키지 실행 텔레메트리를 공유 표현으로 통합하는 컴팩트한 타입 지정 그래프 스키마.
3. HetHunt 의심스러움 프레임워크: 환경 필터링과 관계 인식 정상 희귀성 보정을 활용하여 패키지 위험, 모델 중심 에지 중요도, 그리고 분석가 중심 의심스러움을 분리하는 엔드 투 엔드 파이프라인.
4. 헌팅 지향 평가: 패키지 분류 정확도뿐만 아니라 다양한 텔레메트리 세분성에서 파생된 에지 순위의 품질과 표면화된 피벗의 구체성을 평가하는 새로운 평가 프로토콜.

평가 및 결과
이 프레임워크는 두 가지 데이터셋에서 평가되었습니다:

• QUT-DV25: 집계된 안정적 동적 분석 텔레메트리를 가진 14,271 개의 파이썬 패키지.
• OSPTrack: 도메인, IP, 명령어와 같은 이벤트 수준 텔레메트리를 가진 9,758 개의 크로스 에코시스템 샌드박스 실행.

주요 발견:

• QUT-DV25 (집계 텔레메트리): 희귀성 보정 HetHunt 는 강력한 순위 매기기 성능 (0.876 AUROC, 0.880 AUPRC, 완벽한 Precision@100) 을 달성했습니다. 그러나 표면화된 피벗은 주로 TTP 수준 또는 맥락적 (예: "설치 시 네트워크 연결") 이었으며, 데이터의 집계된 성격을 반영하여 구체적인 IOC 는 아니었습니다.
• OSPTrack (이벤트 수준 텔레메트리): 이 데이터셋은 구체적인 아티팩트 (IOC) 를 보존했지만, 패키지 관리자 활동, 레지스트리 접근과 같은 환경 노이즈의 높은 볼륨으로 인해 신뢰할 수 있는 낮은 FPR 경고가 제한되었습니다. 희귀성 보정은 네트워크 관계로 제한될 때 순위 매기기를 개선했지만, 목록 상단의 정밀도는 여전히 약했습니다.
• 분석가 유용성: 상위 피벗에 대한 주석은 높은 순위 품질이 높은 피벗 구체성을 보장하지 않는다는 것을 확인시켰습니다. QUT-DV25 는 추상적 증거를 산출한 반면, OSPTrack 은 구체적이지만 종종 패키지 로컬이거나 환경 주도인 후보를 산출했습니다.
• 텔레메트리 볼륨 대 관측 가능성: 더 높은 텔레메트리 볼륨이 더 나은 헌팅 유틸리티와 상관관계가 있는 것은 아닙니다. OSPTrack 에서 볼륨이 가장 높은 추적은 정상 활동으로 지배되었고, 더 깨끗하고 볼륨이 낮은 추적은 더 나은 순위 품질을 산출했습니다.

의의 및 주장
이 논문은 런타임 그래프 설명이 운영 헌팅을 지원하기 전에 텔레메트리 관측 가능성에 보정되어야 한다고 주장합니다. HetHunt 는 다음 조건이 충족될 때 이질적 런타임 그래프가 패키지 수준 위험 예측과 분석가 조사 사이의 간극을 효과적으로 연결할 수 있음을 보여줍니다:

1. 설명은 확인된 침해 지표 (IOC) 가 아닌 텔레메트리 제한 조사 피벗으로 취급되어야 합니다.
2. 모델 영향력 에지를 공통 배경 노이즈와 구분하기 위해 정상 희귀성 보정이 적용되어야 합니다.
3. 출력의 구체성 (IOC 대 TTP 대 맥락적) 은 모델의 능력뿐만 아니라 기본 텔레메트리 소스의 함수로 이해되어야 합니다.

저자들은 HetHunt 가 패키지 수준 분류기를 대체하는 것이 아니라 분석가 검사를 안내하는 데 필요한 "런타임 피벗"을 제공한다고 강조하며, 구체적인 지표가 누락되는 것은 설명 실패가 아니라 텔레메트리 간극이나 트리거되지 않은 행동을 반영할 수 있음을 인정합니다.