기술 요약: FuseChain

문제 정의

소프트웨어 공급망(SSC) 공격은 점진적으로 다단계, 교차 소스 및 시간적으로 분산된 특성을 띠고 있습니다. 전통적인 악성코드 실행과 달리, 현대의 SSC 공격은 패키지 로그, 프로세스 실행, 시스템 이벤트, DNS/TLS 흐름, 네트워크 트래픽 등 다양한 텔레메트리 소스에 증거를 파편화하여 남깁니다. 개별 소스는 종종 약하거나 모호한 흔적만을 포함합니다. 예를 들어, 프로세스 맥락이 없는 네트워크 연결은 정상적으로 보일 수 있고, 패키지 기원(provenance) 정보가 없는 프로세스 실행은 일반적인 동작처럼 보일 수 있습니다.

기존의 런타임 탐지 시스템은 이러한 소스들을 독립적으로 분석하거나, 이벤트 시간 역학(event-time dynamics)을 포착하지 못하는 정적 그래프 모델에 의존합니다. 이러한 파편화는 저빈도 공격 증거를 식별하거나 증거가 나타나는 시간적 맥락을 재구성하는 것을 어렵게 만듭니다. 또한, 기존의 프로비넌스 기반 침입 탐지 시스템은 밀도가 높고 호스트 중심적인 감사 스트림을 가진 엔터프라이즈 APT 환경을 대상으로 하므로, 런타임 SSC 텔레메트리의 희소하고 이질적이며 다중 소스적인 특성에는 잘 적용되지 않습니다. 확인된 핵심 과제는, 단계별 레이블(stage labels)이 이상 탐지 중심의 표현 학습을 방해할 수 있기 때문에, 이상 탐지와 공격 단계 예측을 공동 최적화하는 것이 불충분한 단계 감독(supervision) 하에서는 효과적이지 않다는 점입니다.

방법론

FuseChain은 이질적인 텔레메트리를 통일된 시간적 프로비넌스 그래프로 정렬하도록 설계된 런타임 탐지 프레임워크입니다. 이 방법론은 네 가지 주요 구성 요소로 이루어집니다.

1. 다중 소스 시간적 프로비넌스 그래프 (Multi-Source Temporal Provenance Graph)

FuseChain은 원시 보안 텔레메트리(패키지 관리자, 호스트, 네트워크 및 경보로부터의 데이터)를 유형화된 시간적 이벤트의 표준 스키마로 정규화합니다. 각 이벤트는 통합된 이벤트 시간, 출발지/목적지 엔티티, 관계 유형, 다중 속성 증거 및 텔레메트리 소스 식별자를 포함하는 튜플로 표현됩니다. 이러한 이벤트들은 통일된 이벤트 시간 축에 매핑되어 시간적 이종 그래프(temporal heterogeneous graph)를 구성합니다. 프레임워크는 관측된 엣지(로그에서 직접 추출)와 파생된 엣지(규칙 기반의 시간적 의존성)를 모두 지원하여, 새로운 관측치를 도입하지 않고도 그래프의 맥락을 풍부하게 합니다.

2. 자기 지도 이상 탐지 (Self-Supervised Anomaly Detection)

FuseChain의 핵심은 시간적 그래프 네트워크(TGN)를 기반으로 한 자기 지도 시간적 그래프 이상 탐지기입니다.

• 학습 프로토콜: 모델은 시간적 링크 예측(temporal link prediction)을 사용하여 정상 텔레메트리의 연대순 역사적 접두사(historical prefix)를 통해 학습됩니다. 모델은 과거 노드의 메모리 상태를 바탕으로 미래의 상호작용을 예측하는 법을 배웁니다.
• 레이블 독립성: 결정적으로, 이상 탐지 백본은 IOC 주석이나 공격 단계 레이블을 사용하지 않고 학습됩니다. 이는 희소하고 불균형한 단계 감독이 행동 표현 학습을 오염시키는 것을 방지합니다.
  정규 분포 내의 정상적인 역학 관계에서 관측된 이벤트가 예측하기 어려울수록 더 높은 점수를 받습니다.

3. 분리된 단계 해석 (Decoupled Stage Interpretation)

희소한 단계 레이블 문제를 해결하기 위해, FuseChain은 이상 탐지와 단계 해석을 분리합니다.

• 동결된 백본 (Frozen Backbone): 학습 후, 이상 탐지 백본은 동결됩니다.
• 경량 디코더 (Lightweight Decoder): 동결된 백본 위에 관측 가능한 공격 단계를 예측하기 위한 별도의 경량 디코더가 학습됩니다. 이 설계는 단계 재구성을 다운스트림 해석 작업으로 취급하여, 단계 수준의 분류를 가능하게 하는 동시에 학습된 행동 표현의 품질을 보존합니다.

4. 적응형 검색 및 재구성 (Adaptive Retrieval and Reconstruction)

높은 이상 점수가 반복되는 정상 구조(중복된 증거)에 집중되는 문제를 완화하기 위해, FuseChain은 적응형 검색 전략을 채택합니다. 이러한 전략(예: PairDedupe, SourceQuota, Adaptive)은 단순한 점수 순위가 아니라 소스, 패턴 또는 엔티티 튜플의 다양성을 기준으로 상위 랭크된 이벤트를 선택합니다. 이를 통해 탐지기를 수정하지 않고도 재구성된 공격 체인이 더 넓은 범위의 관측 가능한 단계를 커버할 수 있도록 보장합니다.

주요 기여

1. FuseChain 프레임워크: 교차 소스 증거 모델링을 위해 이질적인 텔레메트리 소스를 시간적 프로비넌스 그래프로 통합하는 런타임 SSC 탐지 프레임워크입니다.
2. 자기 지도 이상 학습: 단계 레이블에 의존하지 않고 정상 접두사 텔레메트리로부터 이상 중심의 표현을 학습하는 시간적 그래프 탐지기입니다.
3. 분리된 아키텍처: 단계 예측을 공동 최적화 목표로 사용하는 것보다 동결된 이상 탐지 백본 위의 다운스트림 작업으로 처리하는 것이 공격 단계 재구성에 더 효과적임을 실증적으로 입증했습니다.
4. IOC 추적성 및 재구성: 그래프 상호작용과 원시 텔레메트리 기록 간의 명시적 연결 및 관측 가능한 공격 단계의 재구성을 포함하여, 분석가 친화적인 공격 체인 복구를 위한 메커니즘을 도입했습니다.
5. 포괄적 평가: SynthChain 데이터셋의 7가지 SSC 공격 시나리오에 대한 평가를 통해 단계 재구성 및 탐지 성능의 유의미한 향상을 보여주었습니다.

실험 결과

저자들은 다중 소스 런타임 텔레메트리와 희소한 다단계 공격 증거를 포함하는 SynthChain 데이터셋을 사용하여 7가지 SSC 공격 시나리오에 대해 FuseChain을 평가했습니다.

• 탐지 성능: FuseChain은 macro-averaged AUROC, AUPRC 및 Precision@500 측면에서 단일 소스 베이스라인(audit-only, network-only, alert-only) 및 정적 다중 소스 그래프 베이스라인(GraphSAGE, RGCN)보다 우수한 성능을 보였습니다.
• 단계 재구성:
  • 공동 vs. 분리: 이상 탐지와 단계 예측을 공동 최적화했을 때의 Stage Recall@500은 0.369였습니다. 반면, 동결된 백본 디코더를 사용한 분리 접근 방식은 Stage Recall@500 0.881을 달성했습니다.
  • 적응형 검색: 상위 랭크된 이벤트에 적응형 검색 전략을 적용한 결과, 탐지기를 수정하지 않고도 관측 가능한 단계 재현율(observable-stage recall)이 기존 by_k 방식의 0.524에서 0.655로 증가했습니다.
• 일반화: Leave-One-Scenario-Out (LOSO) 교차 시나리오 평가에서 FuseChain은 유용한 이상 순위 신호를 유지하였으며, 이는 시간적 프로비넌스 패턴이 서로 다른 SSC 시나리오 간에 전이될 수 있음을 시사합니다.
• 강건성: 약한 규칙 업데이트(예: setup.py 실행에 대한 규칙 추가)는 탐지 성능의 저하 없이 특정 동작에 대한 커버리지를 높였습니다.

의의 및 주장

본 논문은 효과적인 런타임 SSC 방어를 위해 여러 소스에 분산된 이질적 증거에 대한 시간적 추론이 필요하다고 주장합니다. FuseChain의 주요 의의는 행동 이상 학습과 배포 가능한 공격 단계 해석의 구조적 분리에 있습니다.

저자들은 희소하고 불균형한 단계 레이블을 공동으로 사용할 경우 견고한 이상 표현 학습을 방해한다고 주장합니다. 백본을 동결하고 단계 예측을 다운스트림 작업으로 처리함으로써, FuseChain은 탐지 품질을 보존하는 동시에 관측 가능한 공격 단계를 재구성하는 능력을 크게 향상시킵니다. 결과는 이러한 과업들을 분리하는 것이 실제 환경의 희소성과 다양성을 가진 텔레메트리를 다루는 데 필수적임을 강조합니다.

이 연구는 정적 분석 및 의존성 스캐닝 도구를 대체하는 것이 아니라, 배포 후의 런타임 탐지 단계를 전문적으로 보완하는 역할을 합니다. 저자들은 재구성 품질이 텔레메트리 가용성에 의해 제한된다는 점을 언급했습니다. 즉, 수집된 로그에 IOC 기반 증거가 없는 단계는 관측 불가능하며, 본 시스템은 독립적인 소스별 탐지기가 아니라 상호 보완적인 런타임 센서들을 융합하도록 설계되었습니다.