상상해 보세요. 거대한 식당이 있습니다. 이 식당에는 수천 명의 손님이 매일 들어와서 다양한 음식을 주문하고, 어떤 사람은 특정 메뉴만 먹을 수 있고, 어떤 사람은 주방에 들어갈 수 있습니다.
1. 문제점: "왜 그런 규칙이 생겼지?" (정책과 현실의 괴리)
과거의 방식: 식당 주인 (경영진) 은 "우리는 이렇게 운영하자!"라고 명확한 규칙을 정해두었습니다. 하지만 시간이 지나면서 요리사들이 "아, 이 손님은 특별히 이 메뉴를 줘도 되겠네?"라고 임의로 허용하거나, 시스템 오류로 인해 원래 금지된 메뉴가 나가는 일이 생겼습니다.
결과: 수천 장의 주문 기록 (로그) 이 쌓였지만, 정작 어떤 규칙으로 운영되고 있는지는 아무도 모릅니다. 컴퓨터는 이 기록을 "0 과 1"의 복잡한 코드로만 저장할 뿐, 인간이 읽을 수 있는 언어로 바꿔주지 못합니다.
현실: 경영진은 "우리가 뭘 허용하고 금지하는지 알 수 없으니, 보안이 위험해!"라고 걱정합니다.
2. 해결책: "LANTERN (랜턴) 이라는 등불" 이 논문에서 개발한 LANTERN이라는 도구는 바로 이 어둠을 밝히는 등불과 같습니다.
1 단계: 요리사 (LLM) 가 주방 도구 (코드) 를 만들어줍니다.
기존에는 이 복잡한 주문 기록을 분석하려면 컴퓨터 공학 전공자가 직접 복잡한 프로그램을 짜야 했습니다.
하지만 LANTERN 은 **"이런 형태의 기록이 있는데, 이걸 분석할 수 있는 프로그램을 만들어줘"**라고 말만 하면, 인공지능 (LLM) 이 알아서 **맞춤형 분석 프로그램 (파이썬 코드)**을 자동으로 만들어줍니다. 마치 요리사에게 "이 재료를 다듬는 칼이 필요해"라고 하면, 그 재료를 다듬는 데 딱 맞는 칼을 3 초 만에 만들어주는 것과 같습니다.
2 단계: 분석 결과를 "경영진용 보고서"로 번역합니다.
분석 프로그램이 찾아낸 규칙은 여전히 "A 가 B 일 때 C 를 허용한다"는 식의 어려운 컴퓨터 언어입니다.
LANTERN 의 두 번째 역할은 이 어려운 규칙을 경영진이나 일반 직원이 이해할 수 있는 자연스러운 한국어 (또는 영어) 보고서로 바꿔줍니다.
예시:
컴퓨터 언어:IF user.dept == 'Finance' AND obj.sensitivity == 'High' THEN permit
LANTERN 의 번역: "재무부 직원은 기밀 등급이 높은 문서에 접근할 수 있습니다."
3. 왜 이것이 혁신적인가요? (실험 결과) 연구팀은 이 도구가 얼마나 잘 작동하는지 테스트했습니다.
규모: 수천 건의 기록이 있어도 처리 속도가 느려지지 않았습니다. (기존 방식은 데이터가 많아지면 인공지능이 혼란을 겪어 실패했지만, LANTERN 은 분석 알고리즘과 인공지능을 적절히 섞어 완벽하게 처리했습니다.)
정확도: 찾아낸 규칙이 99% 이상 정확하게 번역되었습니다.
접근성: 코딩을 전혀 모르는 사람도 웹 사이트에 기록 파일을 올리기만 하면, 즉시 이해하기 쉬운 정책 문서를 받아볼 수 있습니다.
💡 핵심 요약
이 논문은 **"컴퓨터는 기록을 잘하지만, 그 의미를 설명하는 건 못 한다"**는 문제를 해결합니다.
과거: 복잡한 로그를 분석하려면 고급 프로그래머가 몇 달씩 걸려서 코드를 짜고, 그 결과물을 또 다른 전문가가 해석해야 했습니다.
LANTERN: 인공지능이 자동으로 분석 프로그램을 짜고, 그 결과를 일반인이 읽을 수 있는 쉬운 보고서로 바꿔줍니다.
마치 복잡한 기계의 작동 원리를 설명하는 매뉴얼을, 기계 공학자가 아닌 일반 사용자가 읽을 수 있도록 만화책처럼 쉽고 재미있게 만들어주는 것과 같습니다. 이를 통해 기업은 자신의 보안 정책이 실제로 어떻게 작동하는지 명확히 파악하고, 더 안전한 조직을 만들 수 있게 됩니다.
1. 문제 정의 (Problem Statement)
조직의 접근 제어 시스템은 시간이 지남에 따라 복잡해지면서, 이해관계자가 의도한 보안 목표와 실제 시스템 로그에 기록된 권한 부여 사이에 괴리 (disconnect) 가 발생합니다.
정책 드리프트 (Policy Drift): 레거시 시스템 (DAC, RBAC 등) 에서 권한이 유기적으로 진화하면서, 실제 사용된 권한 (로그) 과 문서화된 정책이 일치하지 않게 됩니다.
기술적 장벽: 기존 정책 마이닝 (Policy Mining) 알고리즘은 복잡한 스크립팅과 프로그래밍 전문 지식을 요구하여 보안 분석가나 관리자가 직접 구현하기 어렵습니다.
해석의 어려움 (Opacity): 기존 알고리즘의 출력물은 기계가 실행하는 형식적 논리 (Formal Logic) 기반의 규칙 집합으로, 비기술적 이해관계자 (관리자, 학장 등) 가 이해하거나 검증하기 매우 어렵습니다.
핵심 과제: 감사 로그에서 추출된 기계적 규칙을 인간이 이해할 수 있는 자연어 정책으로 변환하여, 보안 목표와의 정합성을 검증할 수 있게 하는 것입니다.
2. 방법론 (Methodology: LANTERN Framework)
저자들은 LANTERN (LLM-based ABAC Natural Translation and Explanation for Rule Navigation) 이라는 2 단계 파이프라인 프레임워크를 제안합니다. 이는 대규모 언어 모델 (LLM) 의 추론 능력을 활용하여 정확성과 확장성을 동시에 달성합니다.
2.1 아키텍처 개요
LANTERN 은 두 가지 주요 단계로 구성됩니다 (그림 1 참조):
1 단계: 코드 생성 (Code Generation)
목적: 다양한 포맷의 로그 파일과 속성 데이터를 처리할 수 있는 실행 가능한 파이썬 파싱 스크립트를 자동 생성합니다.
작동 방식: 사용자가 데이터 샘플 (로그, 사용자, 리소스) 을 업로드하면, LLM 이 데이터 구조를 분석하여 해당 포맷에 맞는 parse_data_file() 함수와 전체 워크플로우를 실행하는 main() 함수를 포함한 통합 코드를 생성합니다.
특징: LLM 이 마이닝 알고리즘 자체를 발명하는 것이 아니라, 기존에 검증된 결정론적 (deterministic) 인 ABAC 정책 마이닝 알고리즘 (ABACPolicyMiner) 과 통합하는 코드를 생성합니다. 이를 통해 LLM 의 환각 (hallucination) 위험을 줄이고 정확성을 보장합니다.
2 단계: 정책 요약 (Policy Summarization)
목적: 1 단계에서 생성된 복잡한 형식적 ABAC 규칙을 다양한 이해관계자 (임원, 감사관, 관리자) 에게 적합한 자연어 정책 문서로 변환합니다.
작동 방식: 생성된 규칙, 조직의 속성 스키마, 규칙 커버리지 통계 등을 컨텍스트로 제공하여 LLM 에게 전문적인 보안 분석가 역할을 부여합니다.
출력: 기술적 용어를 비즈니스 언어로 매핑하여, 역할 기반 접근, 데이터 민감도, 최소 권한의 원칙 등을 포함한 구조화된 보고서를 생성합니다.
2.2 프롬프트 엔지니어링
코드 생성: 역할 설정, 작업 구조 정의, 파싱 요구사항, 데이터 포맷 예시, 오케스트레이션 워크플로우, 알고리즘 코드 (마이닝 클래스 전체), 출력 지시사항 등 7 개의 블록으로 구성된 구조화된 프롬프트를 사용합니다.
정책 요약: 역할 및 대상 독자 설정, 입력 규칙, 작성 가이드라인 (전문적 톤, 비즈니스 초점), 보고서 구조, 의미론적 매핑 (기술 용어 → 비즈니스 용어), 예시 출력 등을 포함합니다.
3. 주요 기여 (Key Contributions)
인간 가독성 정책 합성: 감사 로그와 엔티티 속성 값에서 자연어 기반 접근 제어 정책을 생성하는 최초의 프레임워크를 제안했습니다.
하이브리드 아키텍처: 심볼릭 규칙 추출 (기존 알고리즘) 과 LLM 기반 언어 변환을 결합하여, 하위 의미론적 정확성을 유지하면서도 문법적/개념적 명료성을 확보했습니다.
프롬프트 엔지니어링을 통한 정확성 및 확장성: 가변 크기의 로그와 속성 데이터셋을 처리할 수 있도록 구조화된 프롬프트 및 청킹 전략을 설계했습니다.
광범위한 실증 평가: 여러 합성 데이터셋과 기존 벤치마크를 사용하여 프레임워크의 효과성을 입증했습니다.
오픈 배포: 재현성을 위해 웹 기반 애플리케이션과 전체 소스 코드를 공개했습니다.
4. 실험 결과 (Experimental Results)
연구진은 합성 데이터셋 (ABAC 및 DAC 기반) 과 기존 벤치마크 데이터셋을 사용하여 4 가지 연구 질문 (RQ) 을 검증했습니다.
RQ1 (코드 생성 성공 여부): LLM 이 생성한 코드는 다양한 포맷 (Angle Bracket, CSV, Pipe-delimited) 의 데이터를 성공적으로 파싱하고 마이닝 알고리즘과 호환되는 구조를 생성하여 모든 기준을 충족했습니다.
RQ2 (정책 발견 능력):
ABAC 로그: 로그 수가 약 600~800 개 이상일 때 100% 권한 커버리지를 달성했습니다.
DAC (레거시) 로그: 8002000 개 로그에서 8089% 커버리지를 달성하여, 레거시 시스템의 속성 기반 패턴을 성공적으로 추출함을 입증했습니다.
성능: 복잡한 시나리오 (U4/O5, 2000 개 로그) 에서도 약 46 초 내에 실행 완료되었습니다.
RQ3 (이해 가능성): 생성된 자연어 정책의 정확성을 검증하기 위해 Claude 3.5 Sonnet 을 독립 평가자로 사용했습니다.
규칙 수 3~29 개에 대한 평균 정확도는 **90.0% ~ 99.8%**를 기록했습니다.
특히 822 개의 규칙을 가진 중간 복잡도 정책에서 9699.8% 의 높은 정확도를 보였습니다.
RQ4 (최적 설계):
순수 LLM 접근법: 로그 크기가 500 개를 넘으면 성능이 급격히 저하되었습니다 (컨텍스트 윈도우 제한 및 복잡한 추론 한계).
압축 + LLM: 성능이 일부 개선되었으나 근본적인 한계를 극복하지 못했습니다.
LANTERN (하이브리드): 결정론적 마이닝 알고리즘과 LLM 의 조합이 대규모 데이터셋에서도 100% 커버리지를 유지하며 확장 가능한 유일한 방법임을 입증했습니다.
5. 의의 및 결론 (Significance & Conclusion)
패러다임 전환: 접근 제어 정책 마이닝을 프로그래밍 전문 지식이 필요한 복잡한 작업에서, 데이터 업로드와 자연어 상호작용만으로 가능한 직관적인 프로세스로 전환했습니다.
실용성: 조직이 레거시 시스템에서 ABAC 로 마이그레이션하거나 보안 감사를 수행할 때, 실제 사용된 권한을 이해관계자가 검증하고 보안 목표에 맞게 수정할 수 있는 도구를 제공합니다.
한계 및 향후 과제: 현재는 깨끗한 합성 데이터에 최적화되어 있으며, 실제 환경의 노이즈가 많은 데이터나 수백만 건 이상의 대용량 데이터 처리, LLM 의 비결정적 특성으로 인한 오류 가능성 등은 향후 연구 과제로 남았습니다.
이 논문은 LLM 을 단순한 텍스트 생성 도구가 아닌, 복잡한 보안 시스템의 해석 및 자동화 도구로 활용할 수 있음을 보여주는 중요한 사례입니다.