ARCANE: Cross-Campaign Attacker Re-identification via Passive Beacon Telemetry -- A Bayesian Network Framework for Longitudinal Cyber Attribution

다음은 논문 "ARCANE: 패시브 비콘 원격 측정(Cross-Campaign Attacker Re-identification via Passive Beacon Telemetry)을 통한 공격자 재식별 — 장기 사이버 귀속을 위한 베이지안 네트워크 프레임워크"에 대한 상세한 기술 요약입니다.

1. 문제 제기

사이버 귀속 (attribution) 은 IP 스푸핑의 용이성, 익명화 도구 (TOR, VPN) 의 사용, 그리고 정교한 위협 행위자들에 의한 고의적인 "거짓 깃발 (false flag)" 전술로 인해 여전히 중요한 과제로 남아 있습니다. 현재의 귀속 방법들은 일반적으로 단일 사건 단위로 작동하여, 각 캠페인을 고립된 사건으로 취급하고 시간이 지남에 따라 여러 캠페인 간에 축적된 방대한 증거를 폐기합니다.

이 논문은 다음과 같은 근본적인 질문을 탐구합니다: 여러 캠페인에 걸친 증거를 집계 (종단적 분석) 하는 것이 적대자 식별을 의미 있게 개선할 수 있는지, 아니면 특징 공간의 구조적 한계가 이를 방해하는지? 구체적으로, 저자들은 공격자에 의해 트리거된 페이로드를 추적하는 패시브 비콘 원격 측정 (passive beacon telemetry) 을 사용하여 다양한 작전 간 행위자를 재식별할 수 있는 영구적인 "지문"을 구축할 수 있는지 탐구합니다.

2. 방법론: ARCANE 프레임워크

저자들은 스트리밍 원격 측정을 기반으로 공격자의 신원에 대한 믿음을 점진적으로 업데이트하도록 설계된 확률적 프레임워크인 ARCANE(Cross-campaign Attribution Network 를 통한 공격자 재식별) 을 제안합니다.

A. 형식적 프레임워크

• 베이지안 추론: 귀속은 순차적 확률 추론 문제로 모델링됩니다. 시스템은 새로운 증거 $e$(캠페인 지문) 가 도착함에 따라 후보 행위자 집합 $A$에 대한 사후 확률 분포 $P(A=a_i | e)$를 유지하며 업데이트합니다.
• 지문 작성: 각 캠페인은 비콘 콜백에서 파생된 행동적, 인프라적, 시간적 특성을 요약하는 24 차원 특징 벡터($f_k$) 로 변환됩니다.
  • 특징에는 다음이 포함됩니다: TOR/VPN 사용률, 체류 시간, 시간대/로케일, VM 감지, 도구 일관성, 특정 APT 도구 클러스터 (예: Cobalt Strike, Mimikatz), 그리고 콜백 시간의 엔트로피.
• 캠페인 간 신뢰도 (CCC): 새로운 쿼리 지문과 알려진 행위자 지문의 지식 베이스 간의 유사성을 집계하는 지표입니다. 이는 행위자의 진화와 도구의 교체 (churn) 를 고려하기 위해 시간 감쇠 인자($e^{-\delta \cdot d_k}$) 를 포함하여 더 오래된 증거의 가중치를 낮춥니다.
• 분리성 간격 ($\Delta S$): 행위자 내 평균 유사도 ($\bar{S}_w$) 와 행위자 간 평균 유사도 ($\bar{S}_c$) 의 차이로 정의됩니다. 이 논문은 신뢰할 수 있는 귀속을 위해서는 이 간격이 훈련 캠페인 수에 의존하는 통계적 임계값을 초과해야 한다고 가정합니다.

B. 알고리즘

ARCANE 은 시간적 leave-one-out 검증 프로토콜을 통해 작동합니다:

1. 캠페인은 연대순으로 처리됩니다.
2. 각 캠페인에 대해 시스템은 이전 캠페인들로 구축된 행위자 지식 베이스에 대한 CCC 를 계산합니다.
3. 가능성 모델 (likelihood model) 은 CCC 를 확률 업데이트로 매핑합니다.
4. 사후 확률 분포가 정규화되고 가장 확률이 높은 행위자가 선택됩니다.
5. 현재 캠페인이 미래 쿼리를 위해 지식 베이스에 추가됩니다.

3. 실험 설정

• 데이터셋: 공개된 종단적 비콘 데이터의 부재로 인해, 저자들은 MITRE ATT&CK, Mandiant, Recorded Future 인텔리전스를 기반으로 합성 벤치마크를 구축했습니다.
• 범위: 18 개월 (2024 년 1 월~2025 년 6 월) 동안 8 개의 시뮬레이션된 국가 주도 위협 행위자 (KP, RU, CN, IR).
• 규모: 96 개의 캠페인 및 총 524 개의 비콘 콜백.
• 적대적 모델링: 행위자들은 다양한 정교함 수준을 부여받았으며, evasion 능력 (TOR 사용, 도구 교체, 로케일 스푸핑) 이 시간이 지남에 따라 선형적으로 증가하는 **회피 일정 (evasion schedule)**이 할당되어 현실 세계의 적응을 시뮬레이션했습니다.
• 기준선 (Baseline): 정적 평균 프로파일을 사용하는 캠페인별 최접근 이웃 (per-campaign nearest-neighbor) 기준선.

4. 주요 결과

평가 결과는 직관에 반하지만 중요한 발견을 제시했습니다:

A. 분리성 한계 (Separability Ceiling)

• 높은 유사도: 특징 공간은 극도로 밀집되어 있습니다. 행위자 내 평균 유사도 ($\bar{S}_w$) 는 0.848이었으며, 행위자 간 유사도 ($\bar{S}_c$) 는 0.802였습니다.
• 불충분한 간격: 분리성 간격 ($\Delta S = 0.046$) 은 통계적으로 유의미했으나 8 명의 행태자를 고신뢰로 재식별하기에는 너무 작았습니다.
• 성능: ARCANE 은 전체 정확도 **30.7%**를 달성했는데, 이는 캠페인별 기준선 (43.2%) 보다 실제로 낮았습니다 (통계적으로 유의미하지는 않음). 새로운 증거가 기존 노이즈와 충분히 구별되지 않았기 때문에 베이지안 축적은 사후 확률을 집중시키지 못했습니다.

B. 회피 불변성 (Evasion Invariance)

• 놀라운 발견: ARCANE 의 정확도는 행위자의 회피 수준에 관계없이 안정적 (20.6%~25.2%) 으로 유지되었습니다.
• 시사점: 귀속의 주요 장벽은 적대적 회피(예: TOR 사용 또는 도구 변경) 가 아닙니다. 대신, 제한 요소는 특징의 구별 불가능성입니다: 정교한 행위자들은 자연스럽게 유사한 운영 보안 관행 (높은 TOR 사용, 빈번한 도구 교체) 에 수렴하여 현재 특징 공간에서 동일하게 보입니다.

C. 학습 곡선

• 훈련 캠페인 수를 늘리는 것이 정확도의 단조로운 향상으로 이어지지 않았습니다. 이는 병목 현상이 데이터 양의 부족이 아니라 특징 공간의 구조적 한계임을 확인시켜 줍니다.

5. 주요 기여

1. 최초의 형식적 종단적 프레임워크: ARCANE 은 패시브 비콘 원격 측정을 사용한 캠페인 간 공격자 재식별을 위한 최초의 형식화된 베이지안 프레임워크입니다.
2. "분리성 한계"의 식별: 이 논문은 정교한 APT 그룹들이 밀집된 행동 특징 공간 영역으로 수렴하여 표준 TTP 기반 및 비콘 기반 지문이 구분을 위해 불충분함을 실증적 증거로 제시합니다.
3. 회피 불변성 통찰: 회피가 귀속 정확도를 저하시키지 않는다는 발견 (문제는 은폐가 아니라 구별 불가능성 때문임) 은 방어자에게 새로운 전략적 관점을 제공합니다.
4. 정량적 간격 분석: 저자들은 신뢰할 수 있는 귀속에 필요한 정확한 간격 ($\Delta S$) 을 정량화하여, 현재 24 차원 특징이 특정 마진만큼 부족함을 보여줍니다.

6. 중요성과 향후 방향

• 전략적 전환: 결과는 방어자가 비콘 데이터 양을 늘리거나 공격자가 실수를 하기를 기대하는 데만 의존해서는 안 된다고 시사합니다. 대신 초점은 신호 클래스의 풍부화로 이동해야 합니다.
• 제안된 해결책: 분리성 한계를 깨기 위해 저자들은 다음을 통합할 것을 제안합니다:
  1. 피해자 산업 타겟팅: APT 그룹들은 종종 운영 도구와 무관하게 특정 산업 타겟 (예: 금융 대 에너지) 을 가집니다.
  2. 더 풍부한 시간적 패턴: 단순한 시간대 엔트로피를 넘어 요일 패턴 및 국가 공휴일 정렬을 포함합니다.
  3. 인프라 재사용 그래프: TOR 네트워크 내에서도 특정 ASN 범위 또는_exit 노드의 공존을 분석합니다.
• 방어 전략: 회피가 귀속에 해를 끼치지 않으므로, 방어자는 공격자를 경보하는 것이 시스템을 무용지물로 만들 것이라는 두려움 없이 패시브 귀속 인프라 (예: 허니토큰) 를 공격적으로 배포할 수 있습니다.

결론적으로, ARCANE 은 종단적 귀속 문제를 성공적으로 형식화하지만, 그 실증적 결과는 현재의 행동 지문이 정교한 행위자를 구분하는 데 구조적으로 불충분함을 보여주는 "건설적 부정 (constructive negative)"으로서의 역할을 하며, 다중 모드 신호 통합의 시급한 필요성을 강조합니다.