기술 요약: PHANTOM – 서사 맞춤형 조직 모방을 위한 다형성 허니토큰 적응

1. 문제 제기

허니토큰 (허위 디지털 자산으로 무단 접근을 탐지하도록 설계된 것) 은 사이버 기만 분야에서 확립된 기본 요소입니다. 그러나 기존 생성 도구들 (예: Canarytokens, HoneyBadger) 은 조직 특이성이 결여된 정적, 템플릿 기반 방법에 의존합니다. 이러한 토큰들은 종종 구문적으로 유효하지만, 의미론적으로 공허합니다. 숙련된 공격자와 자동화된 스캐너 (예: trufflehog, gitleaks, 그리고 머신러닝 기반 분류기) 는 대상 조직의 특정 도메인 이름, 서비스 명명 규칙, 기술 스택 관용구, 그리고 비밀 값 분포를 모방하지 못하기 때문에 이를 쉽게 식별할 수 있습니다.

본 논문은 기존 접근 방식에서 세 가지 중요한 격차를 식별합니다:

1. 맥락 부재: 실제 자격 증명은 조직적 맥락 (예: 특정 서비스 아키텍처와 일치하는 IAM 역할 이름) 에 깊이 내재되어 있으며, 이는 일반적인 템플릿에는 존재하지 않습니다.
2. 의미론적 격차: 경험적 증거에 따르면, 템플릿 기반 토큰은 높은 구문적 유효성을 달성하지만, 실제 자격 증명과 허위 토큰 간의 주요 차별 요소인 의미론적 일관성에서는 크게 실패합니다.
3. 탐지 저항성: 맥락이 풍부한 토큰조차도 자동화된 스캐너가 공격자가 접하기 전에 이를 플래그로 표시하면 실패합니다. 현재 도구들은 현대의 통계적 및 머신러닝 기반 탐지 휴리스틱을 충분히 회피하지 못합니다.

2. 방법론: PHANTOM 프레임워크

PHANTOM (서사 맞춤형 조직 모방을 위한 다형성 허니토큰 적응) 은 조직 특이적 지식을 다성분 생성 파이프라인에 인코딩하여 맥락적으로 설득력 있는 허니토큰을 생성하는 프레임워크입니다.

2.1 조직 프로파일

이 시스템은 구조화된 **조직 프로파일 ($O$)**을 기반으로 작동하며, 다음을 포함합니다:

• 도메인 이름 및 약칭.
• 서비스 목록 및 데이터베이스 유형/호스트.
• 클라우드 리전 및 Git 조직 세부 정보.
• JWT 발급자 및 청중.

2.2 맥락적 생성 파이프라인

정적 생성기와 달리 PHANTOM 은 8 가지 다른 토큰 유형 (AWS 키, 환경 파일, JWT, Slack 봇 토큰 포함) 을 위한 전용 생성기 ($G_t$) 를 사용합니다. 핵심 설계 원칙은 값 수준 맥락 주입입니다:

• 모든 명명된 필드 (IAM 사용자 이름, 데이터베이스 이름, Redis 호스트 이름, Git 원격 URL) 는 조직 프로파일에서 직접 파생됩니다.
• 파이프라인은 외부 API 호출을 피하여 격리된 (air-gapped) 또는 기밀 환경에서 배포될 수 있도록 보장합니다.
• 스캐너 인식 설계: 생성기는 세 가지 주요 스캐너 휴리스틱을 회피하도록 명시적으로 설계되었습니다:
  • 정규식/패턴 ($S_1$): "example.com"과 같은 일반적인 경고 문자열을 조직에서 파생된 값으로 대체합니다.
  • 엔트로피 분석 ($S_2$): 균일한 고엔트로피가 아닌, 높은 엔트로피의 비밀과 낮은 엔트로피의 인간 가독성 값을 병합한 실제 파일의 혼합 엔트로피 프로파일을 모방합니다.
  • ML 분류기 ($S_3$): 맥락 부재를 탐지하도록 훈련된 분류기를 상쇄하기 위해 조직 특이적 지문 (도메인, 서비스 이름) 을 내장합니다.

2.3 평가 지표

본 논문은 **신빙성 점수 ($B$)**와 **종합 허니토큰 점수 ($H$)**를 통해 토큰 품질을 공식화합니다:

• 신빙성 점수 ($B$): 네 가지 구성 요소의 가중치 종합입니다:
  1. 구문적 유효성 ($S_v$): 토큰 유형의 올바른 형식.
  2. 의미론적 일관성 ($S_c$): 조직 프로파일과의 맥락적 적합성.
  3. 통계적 정상성 ($S_n$): 실제 자격 증명과 일치하는 엔트로피 및 분포 특성.
  4. 인간 수용도 ($S_h$): 전문가 평가자가 토큰을 정품으로 분류한 비율.
• **탐지 저항성 ($DR$):** 가중치 스캐너 모델 ($S_1, S_2, S_3$) 의 가중 앙상블에 의한 탐지 확률$P_d$를$1 - P_d$로 정의합니다.
• 종합 점수 ($H$): 신빙성과 탐지 저항성을 균형 있게 조정합니다 ($H = B^\lambda \cdot DR^\mu$).

3. 실험 설정

• 데이터셋: 8 가지 토큰 유형과 4 가지 조직 맥락 (핀테크, 의료, 방위, 전자상거래) 에서 생성된 32 개의 PHANTOM 토큰과 32 개의 템플릿 기반 기준선 토큰.
• 기준선: 조직적 맥락 없이 무작위 비밀 값을 사용하는 정적 템플릿 생성기 (Canarytokens 와 동등).
• 평가:
  • 자동화: 모든 토큰에 적용된 세 가지 스캐너 모델 (정규식, 엔트로피, ML 분류기).
  • 인간: 전문가 평가자가 토큰을 정품 또는 허위로 분류.
  • 통계: 보너페로니 보정을 적용한 두 표본 웰치 t-검정; 효과 크기는 코헨의 $d$로 보고됨.

4. 주요 결과

PHANTOM 은 모든 주요 지표에서 템플릿 기반 기준선을 크게 능가합니다:

지표	템플릿 기준선	PHANTOM	$\Delta$	유의성
신빙성 ($B$)	$0.576 \pm 0.058$	$0.778 \pm 0.057$	$+0.203$	$p < 0.001$ ($d=3.52$)
구문적 유효성 ($S_v$)	$0.842$|$0.876$|$+0.034$	유의하지 않음
의미론적 일관성 ($S_c$)	$0.396$|$0.705$|$+0.309$|$p < 0.001$($d=4.52$)
인간 수용도 ($S_h$)	$6.2\%$	$100.0\%$	$+93.8\%$	$p < 0.001$
**탐지 저항성 ($DR$)** |$0.609$|$0.870$|$+0.261$|$p < 0.001$($d=7.49$)

• 주도 요인으로서의 의미론적 일관성: 가장 큰 개선은 의미론적 일관성 ($\Delta S_c = +0.309$) 에서 나타났으며, 이는 조직적 맥락이 핵심적으로 결여된 요소임을 확인시켜 줍니다. 구문적 유효성은 유의한 차이가 없었으며, 이는 형식 정확성이 기만을 위한 필요 조건이지만 충분 조건은 아님을 시사합니다.
• 인간 수용도: PHANTOM 토큰의 100% 가 인간 전문가 임계값 ($B \ge 0.65$) 을 통과한 반면, 템플릿 토큰은 6.2% 에 불과했습니다.
• 탐지 저항성: PHANTOM 토큰은 세 가지 스캐너 모델 전반에 걸쳐 탐지가 훨씬 더 어려웠으며, 머신러닝 기반 분류기에 대한 개선이 가장 극적이었습니다 (탐지 확률이 54.1% 에서 16.2% 로 감소).
• 파레토 최적성: PHANTOM 토큰의 100% 가 "이상 영역" ($B \ge 0.70$ 및 $DR \ge 0.70$) 내에 속한 반면, 템플릿 토큰은 6.2% 에 불과했습니다.

5. 중요성 및 주장

본 논문은 PHANTOM 이 현재 허니토큰 생성의 근본적인 한계인 조직 특이성의 부재를 해결한다고 주장합니다.

• 주요 기여: 구문적, 의미론적, 통계적, 인간적 차원을 통합하는 공식적인 신빙성 점수 프레임워크의 도입으로, 의미론적 일관성이 기만 품질의 지배적 주도 요인임을 입증합니다.
• 운영적 이점: 외부 API 호출 없이 작동함으로써, PHANTOM 은 클라우드 API 접근이 금지된 격리된 환경 (예: 기밀 정부 네트워크, 산업 제어 시스템) 에서 완전히 배포 가능하며, 네트워크 의존성 없이 LLM 기반 접근 방식과 비교할 수 있는 품질을 제공합니다.
• 전략적 영향: 이 프레임워크는 수동적인 해킹 대응 (Passive Hack-Back) 및 종단적 재식별 시스템과 같은 기존 시스템을 보완하는 완전한 유출 후 기만 및 귀속 파이프라인에 필요한 고품질 "미끼" 구성 요소를 제공합니다.

저자들은 향후 생성기 품질 노력이 형식 정확성 (구문적 유효성) 에서 의미론적 임베딩으로 초점을 옮겨야 한다고 결론지었습니다. 후자가 허니토큰이 합법적인 자격 증명과 구별 불가능하게 만드는 주요 요인이기 때문입니다.