MV-Gate: Insider Threat Detection via Multi-View Behavioral Statistics and Semantic Modeling

기술 요약: 내부자 위협 탐지를 위한 MV-Gate

문제 제기
내부자 위협은 합법적인 사용자인 악의적 행위자에 의해 발생하므로, 그 행위를 정상 운영과 구별하기 어렵습니다. 이러한 공격은 종종 천천히 진행되어 약하고 시간적으로 희소한 신호를 생성합니다. 중요한 관찰 사실은 초기 이상 징후가 개별 이벤트의 의미론적 내용 (예: 특정 명령이 악의적임) 이 아니라 행위 통계의 교란에서 비롯된다는 점입니다. 여기에는 활동 중단 후 다시 나타나는 행동과 같은 재발 패턴의 변화 및 단기 대 장기 빈도의 이동이 포함됩니다.

현재 내부자 위협 탐지 (ITD) 를 위한 딥러닝 접근법은 주로 로그를 토큰화하고 순차 인코더 (LSTM, GRU, Transformer) 로 처리하는 방향으로 크게 전환되었습니다. 의미론적 맥락을 포착하는 데 효과적이지만, 이러한 "토큰 전용" 모델들은 명시적인 통계적 규칙성을 종종 배제합니다. 결과적으로 이러한 모델들은 일반적으로 내부자 사고에 선행하는 점진적이고 저가시적인 행동 편차에 둔감합니다.

방법론: MV-Gate
통계적 단서와 순차 모델링 간의 간극을 해소하기 위해, 저자들은 통계적 행위 규칙성과 순차 의미론을 명시적으로 통합하는 경량 프레임워크인 MV-Gate(Multi-View Gated Attention) 를 제안합니다. 이 아키텍처는 세 단계로 작동합니다:

1. 다중 뷰 행위 표현:
   모델은 원시 감사 로그에서 세 가지 동기화된 행위 시퀀스를 구성합니다:

   • 활동 - 토큰 뷰 ($Z$): 이벤트 의미론과 대략적인 시간적 맥락을 인코딩하는 이산 토큰.
   • 상태 뷰 ($S$): 재발 패턴을 포착하는 다중 스케일 신호. 이는 1, 3, 7 단계와 같은 여러 역사적 창 (window) 에서 해당 행동의 부재를 확인함으로써 행동이 얼마나 "희귀"하거나 "새로운"지를 정량화합니다.
   • 빈도 편차 뷰 ($F$): 단기 빈도와 장기 빈도를 비교하여 강도 변화를 정량화하는 신호 (예: 돌발 행동 또는 억제된 행동).

   이러한 뷰들은 뷰별 선형 투영 또는 룩업 테이블을 통해 공유 임베딩 공간으로 투영됩니다.

2. 이상 인지 게이트 메커니즘:
   핵심 혁신은 통계적 단서를 Transformer 인코더의 어텐션 계산에 주입하는 동적 게이트 메커니즘에 있습니다.

   • 리스크 게이트 ($g_t$) 는 상태 및 빈도 임베딩을 기반으로 각 시간 단계에 대해 계산됩니다. 이 스칼라 값은 이벤트의 비정상성 수준을 나타냅니다.
   • 이 게이트는 자기 어텐션 메커니즘의 키 벡터를 조절합니다 ($K'_t = g_t \cdot K_t$).
   • 키를 스케일링함으로써 모델은 기본 Transformer 구조를 변경하지 않으면서 통계적 불규칙성이 높은 이벤트를 강조하도록 어텐션 가중치를 동적으로 조정합니다.

3. 이상 탐지:
   게이트가 적용된 토큰 표현은 집계된 통계 (상태 및 빈도 임베딩의 평균 풀링을 통해) 와 융합된 후 Multi-Layer Perceptron (MLP) 분류기를 통과하여 시퀀스 수준의 이상 점수를 출력합니다.

주요 기여

• 다중 뷰 활동 표현: 수동 특징 공학에 의존하지 않으면서 토큰화 과정에서 손실된 통계적 단서를 보존하는 두 가지 통계적 뷰 (상태 및 빈도) 와 의미론적 토큰을 공동으로 최적화하는 통합 프레임워크.
• 이상 인지 게이팅: 통계적 이상 점수를 사용하여 어텐션 가중치를 동적으로 조절하는 새로운 메커니즘으로, 기존 어텐션 메커니즘이 간과할 수 있는 통계적으로 불규칙한 이벤트에 모델이 집중할 수 있게 합니다.
• 엔드 - 투 - 엔드 프레임워크: 다중 뷰 퓨전과 게이트가 적용된 어텐션을 통합하여 시퀀스 수준 분류를 수행하는 완전한 파이프라인.
• 종합 평가: 다양한 데이터셋에 걸쳐 프레임워크의 유효성을 입증하는 광범위한 실험.

실험 결과
저자들은 MV-Gate 를 세 가지 공개 데이터셋인 CERT r4.2, CERT r5.2, ADFA-LD에서 평가했습니다.

• 성능: MV-Gate 는 기존 머신러닝 베이스라인 (LR, RF, XGBoost), 범용 딥러닝 모델 (CNN, Transformer), 도메인 특화 접근법 (ITDBERT, CATE, ITDLM, LogGPT) 에 비해 모든 지표 (재현율, 정밀도, 정확도, F1 점수) 에서 최첨단 결과를 달성했습니다.
• 구체적 향상: CERT r5.2 데이터셋에서 MV-Gate 는 F1 점수 0.957을 기록하여 다음으로 가장 좋은 도메인 특화 모델 (0.926 인 CATE) 을 능가하고 범용 Transformer (0.805) 를 크게 앞섰습니다.
• 어블레이션 연구: 상태 뷰, 빈도 뷰, 또는 게이트가 적용된 어텐션 메커니즘을 제거하면 성능이 눈에 띄게 저하되어, 다중 뷰 표현과 게이트 메커니즘 모두 약한 신호 위협 탐지에 필수적임을 확인했습니다.
• 효율성: 연구 결과, 일반적으로 짧고 희소한 ITD 시퀀스의 경우 더 깊은 스택은 미미한 향상만 제공하므로, 2 층 Transformer 인코더가 성능과 메모리 사용량 간의 가장 좋은 균형을 제공하는 것으로 나타났습니다.

의의 및 주장
이 논문은 견고한 내부자 위협 탐지를 위해서는 통계적 및 순차적 증거의 공동 모델링이 필요하다고 주장합니다. 딥러닝 모델은 의미론적 추론에 뛰어나지만, 의미론적 변화가 아닌 통계적 이상 (예: 빈도나 재발의 급격한 변화) 으로 나타나는 위협을 탐지하는 데는 종종 실패합니다.

MV-Gate 는 재발 패턴과 빈도 편차와 같은 통계적 사전 지식을 명시적으로 어텐션 메커니즘에 통합함으로써, 토큰 전용 접근법에서 종종 놓치는 "약한 신호" 및 점진적 위협을 모델이 탐지할 수 있음을 보여줍니다. 저자들은 이 접근법이 대규모 언어 모델 (LLM) 과 관련된 높은 계산 비용을 발생시키지 않으면서도, 특히 시간에 따라 진화하는 점진적 공격에 대해 내부자 위협 패턴에 대한 더 신뢰할 수 있는 표현을 제공한다고 결론지었습니다. 저자들이 제안한 향후 작업에는 멀티모달 로그 (예: 네트워크 트래픽과 파일 작업) 퓨전 및 MV-Gate 의 통계적 증거와 병행하여 의미론적 해석을 위한 LLM 통합이 포함됩니다.