AlertStar: 하이퍼-관계형 지식 그래프를 활용한 경로 인식형 경보 예측 기술 요약

본 논문은 사이버 공격의 규모와 정교화가 심화됨에 따라 기존 네트워크 침입 탐지 시스템 (IDS) 의 한계를 극복하기 위해 제안된 AlertStar 프레임워크에 대한 연구입니다. 저자들은 네트워크 경보 (alert) 를 단순한 이진 트리플이 아닌, 흐름 수준의 메타데이터를 포함한 **하이퍼-관계형 지식 그래프 (Hyper-Relational Knowledge Graph, HR-KG)**로 모델링하고, 이를 지식 그래프 완성 (KGC) 문제로 접근하여 공격자의 다음 타겟과 경로를 예측하는 새로운 방법론을 제시합니다.

1. 문제 정의 (Problem Statement)

• 기존 접근법의 한계: 기존 IDS 는 하루에 수만 개의 경보를 생성하지만, APT(고급 지속적 위협) 와 같은 위협은 개별 경보로는 감지하기 어렵습니다. 공격자는 탐지 회피를 위해 탐지, 초기 침투, 횡적 이동, 데이터 유출 등 여러 단계로 공격을 분할합니다.
• 문맥 정보의 부재: 기존 지식 그래프 기반 모델은 (공격자, 공격 유형, 피해자) 형태의 이진 트리플 (h, r, t)만 사용합니다. 그러나 동일한 IP 쌍과 공격 유형이라도 타임스탬프, 포트, 프로토콜, 트래픽 양 (Flow Count) 등의 흐름 수준 메타데이터에 따라 위협의 성격이 완전히 다를 수 있습니다. 기존 모델은 이러한 중요한 문맥 정보를 무시합니다.
• 유도적 (Inductive) 예측의 필요성: 기존 하이퍼-관계형 KGC 모델들은 대부분 전도적 (Transductive) 인데, 훈련 시 보지 못한 새로운 IP 주소를 가진 공격자를 예측해야 하는 실제 SOC 환경에서는 적용이 어렵습니다.

2. 방법론 (Methodology)

저자들은 네트워크 경보를 하이퍼-관계형 지식 그래프로 표현합니다. 각 경보는 주 트리플 (h, r, t)에 보조 속성 집합인 **Qualifiers (Q)**가 결합된 형태 (h, r, t, Q)로 정의됩니다. 이를 해결하기 위해 세 가지 패러다임에 기반한 5 가지 모델을 제안합니다.

2.1 패러다임 I: 그래프 전파 기반 (Graph Propagation)

• HR-NBFNet: 기존 Neural Bellman-Ford Networks (NBFNet) 를 하이퍼-관계형 설정으로 확장한 모델입니다. 각 메시지 전달 단계에서 Qualifier 컨텍스트를 주입하여 다중 홉 (multi-hop) 경로 추론을 수행합니다.
• MT-HR-NBFNet: HR-NBFNet 에 다중 태스크 학습을 추가한 변형입니다. 하나의 Bellman-Ford 통과로 꼬리 (Tail), 관계 (Relation), Qualifier 값 (Qualifier-value) 을 동시에 예측하여 추가적인 그래프 탐색 비용 없이 성능을 향상시킵니다.

2.2 패러다임 II: 임베딩 기반 융합 (Embedding-Based Fusion)

• AlertStar: 그래프 탐색 없이 임베딩 공간 내에서 Qualifier 문맥과 구조적 경로 정보를 융합합니다.
  • Qualifer Enrichment: Qualifier 쌍을 Multi-head Cross-Attention 을 통해 관계 임베딩에 융합합니다.
  • Path Composition: 명시적인 그래프 탐색 없이 학습된 경로 조합 브랜치를 통해 암시적인 구조 정보를 학습합니다.
  • Gated Fusion: 두 브랜치 (Attention 과 Path) 를 학습 가능한 스칼라 게이트로 가중치 조절하여 융합합니다.
• MT-AlertStar: AlertStar 에 Transformer 인코더를 적용하고, HR-NBFNet 과 동일한 다중 태스크 (Tail, Relation, Qualifier-value) 예측을 수행합니다. 그래프 전파 없이 임베딩 공간에서 모든 작업을 처리하여 매우 높은 효율성을 보입니다.

2.3 패러다임 III: 복잡한 쿼리 응답 (Complex Query Answering)

• HR-NBFNet-CQ: 1 홉, 2 홉 체인, 2 앵커 교집합, 2 앵커 합집합 등 4 가지 1 차 논리 쿼리 (First-order Logic Queries) 를 하이퍼-관계형 경보 그래프에서 처리할 수 있도록 확장합니다. 이를 통해 SOC 분석가가 복잡한 위협 시나리오 (예: 횡적 이동, 조정된 공격) 를 탐지할 수 있게 합니다.

3. 주요 기여 (Key Contributions)

1. HR-KGC 벤치마크 구축: Warden 및 UNSW-NB15 데이터셋을 기반으로 Qualifier 밀도 (33%, 66%, 100%) 를 조절하여 유도적 (Inductive) 및 전도적 (Transductive) 설정에서 모델의 강건성을 평가하는 새로운 벤치마크를 제시했습니다.
2. 새로운 모델 아키텍처 제안:
   • HR-NBFNet/MT-HR-NBFNet: Qualifier 인식형 경로 전파 모델.
   • AlertStar/MT-AlertStar: 그래프 탐색 없이 임베딩 공간에서 Qualifier 와 경로를 융합하는 고효율 모델.
   • HR-NBFNet-CQ: 복잡한 논리 쿼리를 지원하는 모델.
3. 성능 및 효율성 입증: AlertStar 기반 모델들이 그래프 전파 모델보다 MRR(평균 순위 역수) 에서 19~30% 더 높은 성능을 보이면서도, 에포크당 최대 50 배 빠른 속도를 달성함을 증명했습니다.
4. 다중 태스크 학습의 효과: 임베딩 기반 모델 (MT-AlertStar) 에서는 다중 태스크 학습이 성능을 크게 향상시키지만, 그래프 전파 모델 (MT-HR-NBFNet) 에서는 효과가 미미하거나 오히려 성능이 저하됨을 발견했습니다.

4. 실험 결과 (Results)

• 데이터셋: Warden(제한된 공격 분류) 과 UNSW-NB15(다양한 공격 분류) 를 사용했습니다.
• 성능 비교:
  • MT-AlertStar가 모든 설정 (유도적/전도적) 에서 가장 우수한 성능을 보였습니다. Warden 데이터셋에서 HR-NBFNet 대비 유도적 설정 기준 MRR 0.5618 (HR-NBFNet: 0.4666) 을 기록했습니다.
  • Qualifier 밀도 영향: UNSW-NB15 와 같이 공격 분류가 다양하고 복잡한 데이터셋에서는 Qualifier 정보가 성능 향상에 결정적이었으나, Warden 과 같이 분류가 단순한 데이터셋에서는 오히려 노이즈로 작용할 수 있음을 확인했습니다.
  • 복잡한 쿼리: HR-NBFNet-CQ 는 교집합 쿼리 (2i, 조정된 공격 탐지) 에서 StarQE 대비 우수한 성능을 보였으나, 2 홉 체인 쿼리 (2p) 는 Qualifier 밀도가 낮을 때 성능이 저하되는 한계가 있었습니다.
• 효율성: AlertStar 는 그래프 탐색이 필요 없어 HR-NBFNet 대비 10^3~10^4 배 빠른 추론 속도를 보였습니다.

5. 의의 및 결론 (Significance & Conclusion)

이 연구는 **하이퍼-관계형 지식 그래프 완성 (HR-KGC)**이 네트워크 경보 예측을 위한 효과적이고 실용적인 프레임워크임을 입증했습니다.

• 패러다임 전환: 기존 KGC 연구에서 "경로 기반 추론이 유도적 설정에서 우월하다"는 통념을 깨고, **임베딩 공간에서의 국소적 문맥 융합 (Local Qualifier Fusion)**이 밀집된 경보 그래프에서는 더 효율적이고 정확한 예측을 가능하게 함을 보였습니다.
• 실무 적용 가능성: SOC 및 CERT 팀이 개별 경보의 맥락을 이해하고, 공격자의 다음 행동을 예측하며, 복잡한 위협 시나리오 (횡적 이동, 다중 공격자 협조 등) 를 식별하는 데 직접 활용 가능한 도구를 제공합니다.
• 향후 방향: 시간적 순서를 Qualifier 로 통합하거나, 제로데이 공격 (Open-set) 을 처리할 수 있도록 범위를 확장하고, 실제 운영 환경의 대규모 데이터셋으로 검증하는 것이 향후 과제로 제시되었습니다.

결론적으로, AlertStar 는 메타데이터를 풍부하게 활용한 지식 그래프 기반의 선제적 위협 지능 (Proactive Threat Intelligence) 을 실현하는 중요한 이정표가 되는 연구입니다.