기술 요약: 위협 헌터(Threat Hunter)를 위한 인지 지원 도구를 향하여

문제 정의

사이버 보안 위협 헌팅(Threat Hunting)—탐지되지 않은 적대적 활동을 선제적으로 탐색하는 작업—은 파편화된 데이터를 통합하고, 가설을 수립 및 수정하며, 팀 간에 진화하는 내러티브를 전달해야 하는 인지적으로 매우 까다로운 과업입니다. 정교한 자동화 탐지 시스템(예: SIEM, XDR, UEBA)에도 불구하고, 기존 도구들은 주로 데이터 집계와 자동화에 집중할 뿐, 복잡한 보안 이벤트에 대해 추론하는 과정에 수반되는 인간의 인지 프로세스를 명시적으로 지원하는 데는 미흡합니다.

저자들의 이전 관찰 연구[13]에 따르면, 위협 헌터(TH)들은 조사를 추적하기 위해 내부적 멘탈 모델(Mental Model)에 크게 의존하지만, 이러한 모델을 효과적으로 외재화(Externalize)할 수 있는 도구가 부족한 것으로 나타났습니다. 이는 정보 과부하, 컨텍스트 스위칭(Context-switching) 제약, 그리고 인수인계 시 연속성 유지의 어려움과 같은 문제로 이어집니다. 본 연구가 다루는 핵심 문제는 위협 헌터가 자신의 추론을 구체화하고, 조사 리드를 조직하며, 분석적 판단을 대체하지 않으면서도 효과적으로 협업할 수 있도록 돕는 전용 인지 지원 계층(Cognitive-support layer)의 부재입니다.

방법론

본 연구는 실질적인 문제를 해결하는 동시에 이론적 이해에 기여하기 위해, 아티팩트(Artifact)를 생성하고 반복적으로 정교화하는 데 중점을 두는 디자인 사이언스 패러다임(Design Science paradigm)[17]을 따릅니다. 과정은 세 가지 상호 연관된 활동으로 구성되었습니다:

1. 문제 개념화: 저자들은 이전의 경험적 연구[6, 13]를 바탕으로 주요 인지적 과제를 식별하였으며, 도구 개발을 가이드할 다섯 가지 초기 디자인 프로포지션(Design Propositions, DPs)을 도출하였습니다. 이 프로포지션들은 이벤트 타임라인 생성, 연결 시각화, 창의적 탐색 확장, 웨이포인트(Waypoint)/노트 테이킹 활용, 그리고 외부 리소스 통합을 강조합니다.
2. 솔루션 설계: 저자들은 기존 사이버 보안 환경(특히 UEBA 도구)과 통합되도록 설계된 고충실도 프로토타입(Figma로 구현)인 Threat Hunter Board를 개발하였습니다. 이 설계는 DPs를 구체적인 상호작용 개념으로 구현합니다.
3. 경험적 검증: TH 페르소나와 태스크 분석을 기반으로 한 **인지적 워크스루(Cognitive Walkthrough)**를 통해 초기 평가를 수행하였습니다. 또한, 저자들은 위협 헌팅 도구의 인지 지원 능력을 체계적으로 평가하기 위한 6가지 항목의 디자인 휴리스틱 프레임워크를 제안하였습니다. 전문적인 TH를 대상으로 한 완전한 사용자 기반 검증은 향후 과제로 남겨두었으나, 저자들은 산업계 이해관계자(OpenText)로부터 초기 질적 피드백을 받았습니다.

주요 기여

1. Threat Hunter Board (아티팩트)

주요 기여는 네 가지 핵심 구성 요소를 특징으로 하는 프로토타입 도구인 Threat Hunter Board의 설계입니다:

• Threat Hunter Canvas: 분석가가 객체를 조직하고, 엔티티를 연결하며, 관계를 주석 처리할 수 있는 공간적이고 자유로운 형태의 워크스페이스(Miro 또는 Figma와 유사)입니다. 이는 개인용("My Canvas") 및 협업용("Team Canvas") 뷰를 모두 지원합니다.
• Waypoints (웨이포인트): 중요한 이벤트, 결정 또는 사용자 엔티티를 위한 디지털 마커입니다. 표준 북마크와 달리, 웨이포인트는 풍부한 메타데이터(노트, 유형, 이벤트 기간)를 저장하며, 캔버스 위로 드래그하여 조사 스레드(Investigative threads)에 시각적으로 연결할 수 있습니다.
• Threat Storyline Explorer: 분석가가 선택한 객체들(웨이포인트, 리드, 주석)을 지속적인 시각적 내러티브로 그룹화할 수 있게 해주는 기능입니다. 이는 협업적 의미 형성(Sense-making)을 지원하며, 팀이 맥락을 잃지 않고 조사를 재방문하거나 정교화할 수 있도록 합니다.
• Threat Hunter Checklist: 세션 계획, 자기 추적 및 인수인계를 위한 구조화된 메커니즘입니다. 이는 특정 클라이언트 환경과 연결되며, 분석가가 현재 상태를 저장할 수 있게 하여 교대 근무 간의 연속성을 보장하고, 추론 과정과 증거를 팀원에게 원활하게 전달할 수 있도록 돕습니다.

2. 디자인 휴리스틱 (평가 프레임워크)

본 논문은 위협 헌팅 도구의 인지 지원을 평가하기 위한 여섯 가지 디자인 휴리스틱(DH)을 제안합니다:

• DH1: 탐색 및 탐사 (Navigation & Exploration): 방향 감각을 유지하면서 엔티티를 횡단함.
• DH2: 명확성 및 의미 형성 (Clarity & Sense-Making): 파편화된 데이터를 일관된 내러티브로 조직함.
• DH3: 의사결정 지원 (Decision Support): 우선순위 지정 및 조사 종료 결정을 보조함.
• DH4: 커뮤니케이션 및 인수인계 (Communication & Handover): 팀 간의 추론 및 증거 전달을 용이하게 함.
• DH5: 기억 및 인지 부하 (Memory & Mental Load): 외재화를 통해 단기 기억에 대한 의존도를 낮춤.
• DH6: 전반적 지각 (Overall Perception): 유용성, 사용성 및 워크플로우 적합성을 평가함.

3. 확장된 디자인 프로포지션

프로토타입 개발을 바탕으로, 저자들은 원래의 디자인 프로포지션을 다음과 같이 확장하였습니다:

• DP6: Threat Hunter Profile: 개별 사용자 컨텍스트 지원.
• DP7: 체크리스트 (개인용 및 인수인계용 글로벌 체크리스트): 인수인계 프로세스의 공식화.

결과 및 평가

본 논문은 도구의 유용성을 입증하기 위해 숙련된 컨설턴트("Jay")가 등장하는 쇼케이스 시나리오를 제시합니다. 이 시나리오는 보드가 어떻게 "모호한(fuzzy)" 사고에서 "명확한(clear)" 사고로의 인지적 전환을 지원하는지 보여줍니다:

• 외재화: Jay는 웨이포인트를 사용하여 이상 징후(예: 비정상적인 파일 접근)를 포착하고 이를 가설에 연결합니다.
• 가설 관리: 캔버스를 통해 Jay는 여러 활성 경로(기술적 이상 징, 행동 변화, 보안 침해)를 시각화하고, 증거가 수렴함에 따라 유효하지 않은 경로를 제거(Pruning)할 수 있습니다.
• 협업: Storyline 기능을 통해 Jay는 일관된 내러티브("데이터를 유출하는 Bruce")를 동료들과 공유하여, 원활한 인수인계를 위해 자신의 추론 흔적을 보존합니다.

초기 인지적 워크스루는 본 도구가 실현 가능하며 현실적인 인지 워크플로우와 일치함을 시사합니다. 산업 파트너(OpenText)의 초기 피드백 또한 솔루션의 잠재적 가치를 뒷받침합니다. 그러나 저자들은 현재의 프로토타입이 라이브 백엔드에 연결된 완전한 대화형 시스템이 아닌, 정적인 고충실도 데모라는 점을 명시하였습니다.

의의 및 주장

본 논문은 다음 세 가지 측면에서 의의를 가집 가집니다:

1. 인지 지원의 구체화: 추상적인 디자인 프로포지션을 구체적인 상호작용 개념으로 변환함으로써, 시각적 외재화와 구조화된 추적이 사이버 보안에서의 인지적 오버헤드를 어떻게 줄일 수 있는지 보여줍니다.
2. 인간 중심적 통합: 자동화나 머신러닝에만 초점을 맞춘 도구와 달리, Threat Hunter Board는 분석가가 기계 생성 인사이트를 해석하고 행동할 수 있도록 기존 시스템(예: UEBA)을 보완하도록 설계되어, 보안 운영의 "인간 참여(Human-in-the-loop)" 측면을 강화합니다.
3. 전이 가능한 디자인 지식: 제안된 여섯 가지 디자인 휴리스틱은 인간 인지 이론과 실무적 도구 설계 사이의 간극을 메우며, 향후 사이버 보안 분야의 인지 지원 도구를 평가하기 위한 재사용 가능한 프레임워크를 제공합니다.

저자들은 현재의 작업이 탐색적 디자인 연구임을 인정하며 겸허한 입장을 유지합니다. 그들은 프로토타입이 완벽하지 않음을 명시하였으며, 효능을 확인하고 설계를 정교화하기 위해서는 전문적인 위협 헌터들을 대상으로 한 엄격한 사용자 기반 검증이 향후 반드시 이루어져야 한다고 밝혔습니다.