Tracing the Chain: Deep Learning for Stepping-Stone Intrusion Detection

이 논문은 딥러닝을 활용한 스텝핑스톤 침입 탐지 (Stepping-Stone Intrusion Detection, SSID) 에 대한 연구로, 공격자가 중간에 장악된 호스트들을 경유하여 트래픽을 우회시키는 기법을 탐지하기 위한 새로운 접근법을 제시합니다. 주요 내용은 다음과 같습니다.

1. 문제 정의 (Problem)

• 스텝핑스톤 침입 (SSI): 공격자가 표적 서버에 직접 연결하는 대신, 장악된 중간 호스트 (Stepping Stones) 의 체인을 통해 세션을 라우팅하여 공격자의 기원을 은폐하는 기법입니다.
• 핵심 과제: 각 중계 호스트에서 유입 (Ingress) 과 유출 (Egress) 트래픽 흐름을 상관관계 (Correlation) 로 분석하여 동일한 연결인지 판별하는 것입니다.
• 도전 과제:
  • 암호화: 현대의 SSI 는 암호화되어 있어 콘텐츠 기반 검사가 무효화되었습니다. 따라서 패킷 타이밍, 크기, 전송률 등의 통계적 유사성에 의존해야 합니다.
  • 엄격한 오경보율 (Low FPR): 실제 네트워크 환경에서는 정상 트래픽이 압도적으로 많습니다. 예를 들어, 시간당 100 만 개의 연결 쌍 중 10 개만 악성일 때, 1% 의 오경보율 (FPR) 도 시간당 10,000 개의 가짜 경보를 생성하여 분석가를 마비시킵니다. 따라서 FPR 을 극도로 낮게 (예: $10^{-3}$ 이하) 유지하면서 높은 탐지율 (TPR) 을 달성하는 것이 필수적입니다.
  • 데이터 부재: 이러한 문제를 학습하고 평가할 대규모의 레이블이 지정된 데이터셋이 존재하지 않았습니다.

2. 방법론 (Methodology)

저자들은 기존 Tor 트래픽 상관관계 분석을 위해 개발된 ESPRESSO 모델을 SSI 탐지에 적용하고 개선했습니다.

• ESPRESSO 모델 아키텍처:

  • 트랜스포머 기반 특징 추출 (Transformer-based FEN): Convolutional Vision Transformer (CvT) 개념을 차용하여, 트래픽 시퀀스의 전역적 (Global) 맥락을 포착합니다. 기존 DeepCoFFEA (DCF) 가 윈도우 단위로 특징을 추출한 것과 달리, 전체 시퀀스를 먼저 인코딩한 후 윈도우를 적용하여 시간적 정렬을 보장합니다.
  • 다중 채널 시간 간격 특징 (Multi-channel Time-Interval Features): 패킷 단위 (Packet-level) 가 아닌, 고정된 시간 간격 (예: 30ms) 단위로 패킷을 집계하여 방향, 크기, 누적 바이트 등 9 가지 통계치를 다중 채널로 입력합니다. 이는 중간 노드에서의 패킷 재분할 (Re-segmentation) 로 인한 정렬 불일치 문제를 해결합니다.
  • 온라인 삼중항 학습 (Online Triplet Metric Learning): 상관관계 있는 흐름 (Anchor-Positive) 은 가까이, 없는 흐름 (Anchor-Negative) 은 멀리 배치되도록 임베딩 공간을 학습합니다. DCF 의 오프라인 미니밍 대신 온라인 배치 하드 미니밍 (Online Batch-Hard Mining) 을 사용하여 학습 효율성과 정확도를 높였습니다.
  • 학습된 분류 헤드: 고정된 임계값 대신 MLP 를 사용하여 윈도우별 유사도 점수를 입력받아 상관관계 여부를 예측하도록 학습합니다.

• 합성 데이터 생성 도구 개발:

  • SSH, SOCAT, ICMP, DNS, 그리고 이들을 혼합한 다중 프로토콜 체인 등 5 가지 터널링 프로토콜을 시뮬레이션하는 도구를 개발했습니다.
  • 실제 SSH 트래픽 캡처 데이터에서 도출된 통계적 분포 (버스트 크기, 간격 등) 를 기반으로 현실적인 공격 트래픽을 생성하여 5 개의 대규모 데이터셋을 구축했습니다.

3. 주요 기여 (Key Contributions)

1. 대규모 합성 데이터셋: SSI 탐지 연구에 필수적이던 레이블이 지정된 대규모 데이터셋을 최초로 공개했습니다.
2. 성능 향상: ESPRESSO 가 기존 최첨단 모델인 DeepCoFFEA (DCF) 를 모든 프로토콜과 탐지 모드 (호스트 모드, 네트워크 모드) 에서 압도적으로 능가함을 입증했습니다.
3. 손실 함수 개선: 시간적 정렬 (Temporal Alignment) 손실을 도입하여 성능을 개선했으며, 특징 decorrelation 손실의 효과를 분석했습니다.
4. 체인 길이 예측: 악성 (긴 체인) 과 정상 (짧은 체인) 의 피벗팅을 구분하기 위해 체인 길이를 예측하는 회귀 모델을 제안했습니다.
5. 강건성 분석: 패킷 패딩과 타이밍 교란 (Jitter) 에 대한 모델의 취약점을 체계적으로 분석했습니다.

4. 실험 결과 (Results)

• 성능 비교: 네트워크 모드 (Network-mode) 에서 ESPRESSO 는 FPR $10^{-3}$일 때 SSH, SOCAT, ICMP 프로토콜에서 TPR 0.99 이상을 달성했습니다. 반면, 기존 DCF 모델은 동일한 조건에서 TPR 이 0.3~0.5 수준에 그쳤습니다.
• 프로토콜별 차이:
  • SSH, SOCAT, ICMP 는 높은 상관관계 성능을 보였습니다.
  • DNS 터널링은 polling 기반 통신 특성으로 인해 타이밍 패턴이 파괴되어 두 모델 모두에서 탐지 성능이 현저히 낮았습니다.
• 체인 길이 예측:
  • 별도의 CNN 모델을 사용한 독립적 예측이 결합 학습 (Multi-task) 보다 더 높은 정확도를 보였습니다.
  • 전체 경로 상관관계를 통해 체인을 재구성하는 방식은 상관관계 신호가 강한 프로토콜 (SOCAT, ICMP) 에서 높은 신뢰도를 보였습니다.
• 강건성 (Robustness):
  • 패딩 (Padding): 패킷 수를 200% 이상 증가시키는 패딩 공격에는 매우 강건했습니다.
  • 타이밍 교란 (Timing Perturbation): 의도적인 지연 (Jitter) 을 가하는 것은 성능을 급격히 저하시켰습니다. 특히 "Heavy Delay" 조건에서는 탐지율이 거의 0 에 수렴했습니다. 이는 DNS 터널링의 낮은 성능이 본질적으로 타이밍 패턴 파괴 때문임을 시사합니다.

5. 의의 및 결론 (Significance)

• 실용성: 이 연구는 실제 운영 환경에서 요구되는 극도로 낮은 오경보율 (Low FPR) 을 달성하면서도 높은 탐지율을 보이는 최초의 딥러닝 기반 SSI 탐지 솔루션을 제시했습니다.
• 취약점 규명: 타이밍 기반 상관관계 분석의 가장 큰 약점이 타이밍 교란 (Jitter) 에 있음을 규명했습니다. 이는 공격자가 DNS 터널링처럼 주기적인 패턴을 모방하거나 인위적인 지연을 추가하면 탐지를 우회할 수 있음을 의미합니다.
• 미래 방향:
  • 현재 연구는 합성 데이터에 의존하므로, 실제 네트워크의 정상 트래픽 (Benign Traffic) 을 포함한 데이터셋 구축이 필요합니다.
  • 단순한 흐름 상관관계를 넘어, 다양한 신호를 통합한 포괄적인 탐지 프레임워크와 적응형 공격자에 대한 대응 전략이 필요합니다.

요약하자면, 이 논문은 ESPRESSO 모델을 통해 스텝핑스톤 침입 탐지의 성능을 획기적으로 끌어올렸으며, 합성 데이터 생성 도구를 공개하여 해당 분야의 연구 기반을 마련했습니다. 동시에 타이밍 기반 탐지의 본질적 한계를 지적하며 향후 연구 방향을 제시했습니다.