Semantic-Aware Advanced Persistent Threat Detection Using Autoencoders on LLM-Encoded System Logs

기술 요약: LLM 인코딩된 시스템 로그를 이용한 오토인코더 기반의 의미론적 인지 APT 탐지

문제 정의
지능형 지속 위협(APT)은 은밀하고 장기적이며, "저강도 저속(low-and-slow)" 특성을 지니고 있어 사이버 보안에 있어 중대한 도전 과제가 되고 있습니다. 공격자들은 종종 "리빙 오프 더 랜드(living off the land)" 기법을 사용하여 합법적인 시스템 도구(예: PowerShell, WMI)를 활용함으로써 악성 활동을 일반적인 관리 작업과 혼재시킵니다. Isolation Forest(IForest), One-Class Support Vector Machines(OC-SVM), 주성분 분석(PCA)과 같은 통계적 접근 방식 및 얕은 머신러닝 기법을 포함한 전통적인 탐지 방법들은 토큰 빈도나 통계적 특성에 크게 의존합니다. 이러한 "얕은(shallow)" 방법들은 로그 엔트리의 통계적 확률이 유사할 때, 로그 내의 의미론적 의도와 맥락적 관계를 포착하는 데 실패합니다. 결과적으로, 이들은 정상적인 관리 동작과 정교한 공격을 구별하는 데 어려움을 겪으며, 데이터의 빈도가 아닌 그 이면에 담긴 의미를 이해하는 자동화된 이상 탐지를 필요로 하는 방대한 양의 비정형 시스템 로그를 처리하는 데 한계가 있습니다.

방법론: MPNet-AE 프레임워크
본 논문은 원시 시스템 로그와 의미론적 이해 사이의 간극을 메우는 비지도 학습 기반의 이상 탐지 프레임워크인 MPNet-AE를 제안합니다. 이 방법론은 세 가지 주요 단계로 진행됩니다:

1. 데이터 기원 및 텍스트 변환:
   프레임워크는 미세한 프로비넌스 추적(프로세스 실행, 시스템 호출, 파일 액세스, 네트워크 통신)을 포함하는 DARPA Transparent Computing (TC) 데이터셋을 활용합니다. 이러한 원시 로그는 정규화 과정을 거쳐 구조화된 자연어 설명으로 변환됩니다. 예를 들어, 프로세스 레코드는 *"Process 1054 started /bin/bash and connected socket 192.168.1.5:80 and changed /etc/passwd."*와 같은 문장으로 변환됩니다. 이 변환 과정은 원시 로그 형식에서는 손실될 수 있는 맥락적 관계(예: 부모-자식 프로세스 연결, 네트워크 상호작용)를 포착합니다.

2. 의미론적 임베딩 생성:
   표준 토큰 기반 특징이나 초기 BERT 변형 모델 대신, 본 시스템은 사전 학습된 all-mpnet-base-v2 모델(Microsoft의 MPNet 아키텍처 기반)을 사용합니다. 마스크드 언어 모델링(MLM)과 치환 언어 모델링(PLM)을 결합하고 대조 학습(contrastive fine-tuning)을 거친 이 모델은 생성된 자연어 문장을 고차원(768차원)의 밀집 의미 벡터(dense semantic vectors)로 인코딩합니다. 이러한 임베딩은 단순한 표면적 키워드가 아닌, 시스템 활동의 고차원적인 행동 의미론을 나타냅니다.

3. 오토인코더를 통한 이상 탐지:
   생성된 의미론적 임베딩은 바닐라 **오토인코더(Autoencoder, AE)**에 입력됩니다. AE는 정상적인 시스템 행동에서 파생된 임베딩만을 사용하여 학습됩니다. 아키텍처는 768차원의 입력을 128차원의 잠재 공간(latent space)으로 압축하는 인코더와, 원래의 입력을 재구성하는 디코더로 구성됩니다.

• 탐지 메커니즘: 추론 과정에서 모델은 각 샘플에 대한 재구성 오차(reconstruction error)(평균 제곱 오차)를 계산합니다. AE는 정상 데이터에 대해서만 학습되었으므로, 정상적인 패턴은 낮은 오차로 재구성합니다. 반면, 서로 다른 의미 구조를 가진 악성 또는 이상 활동은 높은 재구성 오차를 발생시킵니다. 이 오차에 임계값을 적용하여 샘플을 이상치로 분류합니다.

주요 기여

1. 새로운 프레임워크: 저자들은 빈도가 아닌 의미론적 차이를 바탕으로 APT를 탐지하기 위해 사전 학습된 트랜스포머 모델(특히 MPNet)과 오토인코더를 통합하여, 통계적 탐지에서 의미론적 탐지로의 전환을 제안합니다.
2. 비교 평가: 본 연구는 IForest, OC-SVM, PCA라는 세 가지 확립된 비지도 학습 베이스라인 모델에 대해 엄격한 비교 평가를 수행합니다.
3. 데이터셋 활용: 본 연구는 레드팀에 의해 생성된 현실적이고 불균형이 심한 APT 공격 시나리오를 포함하는 벤치마크인 DARPA TC 프로젝트 데이터셋(5DIR, CADETS, CLEARSCOPE, THEIA, TRACE 시나리오 포함)을 활용합니다.

실험 결과
프레임워크는 다양한 운영 체제(BSD, Windows, Linux, Android)에 걸쳐 다섯 가지 뚜렷한 프로비넌스 컨텍스트(ProcessEvent, ProcessExec, ProcessParent, ProcessNetflow, ProcessAll)에 대해 평가되었습니다.

• 성능 지표: 성능은 악성 이벤트가 전체 기록의 0.004% 미만을 차지하는 매우 편향된 데이터에 적합한 지표인 AUC-ROC(Area Under the Receiver Operating Characteristic Curve)를 통해 측정되었습니다.
• 비교 우위: MPNet-AE 방식은 전통적인 베이스라인(IForest, OC-SVM, PCA)보다 일관되게 우수한 성능을 보였습니다. 23개의 실험 조건 중 11개 조건에서 모델은 0.95 이상의 AUC 점수를 달성했습니다.
• 강건성: t-SNE를 이용한 시각화 결과, 정상 활동은 조밀한 클러스터를 형성하는 반면 이상치는 의미 공간에서 고립된 점으로 나타남을 확인했습니다. 모델은 특히 OC-SVM과 같은 전통적 방법들이 성능 저하를 겪는 복잡하고 노이즈가 많은 시나리오(예: TRACE ProcessNetflow)에서 뛰어난 강건성을 보여주었습니다.
• 수렴성: 학습 곡선은 과적합 없이 빠른 수렴을 나타냈으며, 이는 정상적인 행동 패턴을 일반화하는 모델의 능력을 입증합니다.

의의 및 주장
본 논문은 의미론적 이해와 재구성 기반 모델링의 결가 결합이 APT 탐지에 결정적인 이점을 제공한다고 주장합니다. 시스템 활동의 의도와 맥락을 포착함으로써, MPNet-AE 프레임워크는 통계적 특성에 의존하는 기존 기술들이 놓치기 쉬운 미묘하고 비선형적이며 은밀한 공격 행동을 식별할 수 있습니다. 저자들은 이 접근 방식이 정교하고 저빈도로 발생하는 위협에 직면한 "얕은" 학습의 한계를 효과적으로 해결한다고 주장합니다.

본 연구는 현재의 프레임워크가 효과적이지만, 향후 연구는 사이버 보안 로그에 특화된 언어 모델의 미세 조정, 다단계 공격을 위한 시계열 및 그래프 기반 의존성 탐색, 그리고 실제 기업 환경 배포를 위한 설명 가능성 메커니즘의 통합에 집중해야 한다고 결론짓습니다.