1. 문제 정의 (Problem Statement)

고급 지속적 위협 (APT) 은 은밀하고 장기적으로 지속되는 특성으로 인해 탐지가 매우 어렵습니다. 이를 해결하기 위해 '전체 시스템 유래 (Whole-System Provenance)' 기반의 위협 헌팅이 주목받고 있으나, 기존 시스템은 다음과 같은 세 가지 주요 한계에 직면해 있습니다.

1. 효율성 및 확장성 부족 (C1): 실제 시스템에서 생성되는 유래 그래프는 노드와 엣지가 수백만 개에 달하며, 메모리 집약적인 속성을 가집니다. 제한된 메모리 자원 (예: 호스트당 100MB 미만) 환경에서 대규모 그래프를 실시간으로 저장하고 분석하는 데 한계가 있습니다.
2. 정확한 공격 활동 샘플링의 어려움 (C2): 악성 이벤트는 정상 활동과 밀접하게 얽혀 있으며, 의존성 폭발 (Dependency Explosion, 예: explorer.exe 와 같은 프로세스의 과도한 의존성) 로 인해 악성 패턴과 정상 패턴을 분리하기 어렵습니다. 기존 방법은 명시적인 지표 (IoC) 에 의존하여 샘플링하므로, IoC 가 숨겨진 경우 탐지에 실패하거나 과도한 잡음 (Noise) 을 포함합니다.
3. 의미론적 격차 (Semantic Gaps, C3): 사이버 위협 인텔리전스 (CTI) 보고서의 고수준 공격 기술 (예: "ARP 스캔 수행") 과 시스템 감사 로그의 저수준 이벤트 (예: "cmd.exe 실행") 간의 불일치로 인해, CTI 기반 쿼리 그래프와 유래 그래프 간의 매칭 정확도가 낮아집니다.

2. 방법론 (Methodology)

논문은 이러한 한계를 극복하기 위해 ProHunter라는 플랫폼 독립적인 APT 헌팅 시스템을 제안합니다. 시스템은 크게 세 단계로 구성됩니다.

가. 순수 유래 그래프 (PPG) 구축 및 압축

• 의미론적 추상화 (Semantic Abstraction): 노드의 상세한 이름과 속성을 4 비트의 '추상 노드 타입' (예: sys_process, util_process) 으로 변환하여 메모리 사용을 줄입니다.
• 계층적 인코딩 (Hierarchical Encoding): 대부분의 노드가 희소 (Sparse) 한 의존성을 가지므로, 16 비트 인덱스로 저장 가능한 노드는 경량 구조로, 의존성 폭발이 발생한 노드는 확장된 구조 (Extended Structures) 로 저장하는 이진 인코딩 전략을 사용합니다.
• 효과: 이를 통해 매일 생성되는 감사 로그를 3~25MB 수준으로 압축하여 장기적인 APT 라이프사이클 분석을 가능하게 합니다.

나. 위협 그래프 샘플링 (Threat Graph Sampling)

• 휴리스틱 기반 BFS 알고리즘: 명시적인 IoC 에 의존하지 않고, PPG 내의 의심스러운 정보 흐름 (Suspicious Information Flows) 을 추적합니다.
• 샘플링 규칙: 노드 타입 (웹 프로세스, 시스템 파일 등) 과 의존성 폭발 플래그에 따라 네트워크 통신, 시스템 파일 수정, 프로세스 조작 등 고위험 행위를 선별적으로 추출합니다.
• 장점: 의존성 폭발로 인한 잡음을 필터링하면서도 공격의 핵심 의미론 (Semantic) 을 70% 이상 유지하며, IoC 가 없어도 임의의 시스템 노드를 시드 (Seed) 로 사용할 수 있습니다.

다. 공격 표현 및 매칭 (Attack Representation & Matching)

• 적응형 그래프 표현 (Adaptive Graph Representation): CTI 쿼리 그래프와 위협 그래프 간의 의미론적 격차를 해소하기 위해 그래프 동형성 네트워크 (GIN) 를 기반으로 한 모델을 사용합니다.
• 특징 강화 (Feature Enhancement):
  • 국소적 (Localized) 메시지: 그래프 내 이웃 노드 간의 상호작용을 집계합니다.
  • 전역적 (Globalized) 메시지: 그래프 간 (Inter-graph) 메시지 전달을 통해 구조적, 의미적으로 유사한 패턴에 주의를 기울입니다.
• 학습: 대비 학습 (Contrastive Learning) 을 사용하여 유사한 공격 패턴은 높은 유사도 점수를, 다른 패턴은 낮은 점수를 받도록 훈련합니다.

3. 주요 기여 (Key Contributions)

1. ProHunter 시스템 제안: 유래 그래프 압축, 위협 그래프 샘플링, 공격 표현 및 매칭을 통합한 종합적인 APT 헌팅 시스템.
2. 메모리 효율적 저장 구조: 의미론적 추상화와 계층적 인코딩을 통해 대규모 유래 그래프를 초소형 메모리 (일일 3~25MB) 로 저장하는 기술.
3. 휴리스틱 서브그래프 샘플링 알고리즘: 명시적 IoC 에 구애받지 않고 다양한 POI(관심 지점) 를 지원하며, 의존성 폭발을 고려한 정밀한 샘플링 기술.
4. 적응형 그래프 표현 및 매칭: CTI 와 감사 로그 간의 의미론적 격차를 해소하기 위한 국소적/전역적 특징 추출 및 그래프 매칭 기술.
5. 광범위한 평가: DARPA TC E3, E5, OpTC 등 28 가지 공격 시나리오를 포함한 데이터셋을 통해 기존 최첨단 시스템 대비 우수한 성능 입증.

4. 실험 결과 (Results)

DARPA 데이터셋 (E3, E5, OpTC) 을 이용한 실험 결과는 다음과 같습니다.

• 저장 효율성: 기존 시스템 (Sleuth 등) 대비 47%~75% 의 메모리 압축률을 달성했습니다. (일일 3~25MB 사용)
• 샘플링 성능: 샘플링된 위협 그래프는 실제 공격의 70% 이상 (Coverage Rate) 을 포착하면서도 잡음 (Noise Rate) 을 20% 미만 으로 유지했습니다.
• 탐지 성능:
  • 재현율 (Recall): 100% (모든 공격 탐지).
  • 거짓 경보율 (FPR): 평균 1% 미만 (OpTC 데이터셋 제외 시 0% 달성).
  • 정확도 (Accuracy): 대부분의 데이터셋에서 93%~100% 달성.
• 성능: 5 분 단위의 이벤트 창을 평균 0.67 초 내에 처리하며, 위협 그래프 샘플링은 0.03 초, 헌팅 매칭은 0.18 초 내에 완료되어 실시간 적용이 가능합니다.
• 비교: MEGR-APT, DeepHunter, ProvG-Searcher 등 기존 최첨단 시스템보다 재현율과 정확도 면에서 우위를 보였습니다.

5. 의의 및 결론 (Significance)

ProHunter 는 APT 헌팅 분야에서 다음과 같은 중요한 의의를 가집니다.

• 실용성: 제한된 메모리 환경에서도 장기적인 (90 일 이상) APT 분석이 가능하여 실제 기업 환경에 배포 가능한 수준의 효율성을 제공합니다.
• 적응성: 명시적인 IoC 가 없거나 공격자가 IoC 를 변조하더라도, 시스템의 정보 흐름과 의미론적 패턴을 기반으로 공격을 탐지할 수 있어 유연성이 뛰어납니다.
• 정확도: CTI 와 시스템 로그 간의 의미론적 불일치를 해결하여 오탐지를 크게 줄이고, 공격의 핵심 맥락을 정확히 파악할 수 있습니다.

결론적으로 ProHunter 는 기존 유래 기반 탐지 시스템의 확장성, 적응성, 정확성 문제를 종합적으로 해결하여, 실시간 대규모 환경에서의 APT 탐지를 위한 새로운 표준을 제시합니다.