A Hybrid Framework For Crypto-Ransomware Detection In Enterprise Shared Storage

기술 요약: 기업용 공유 스토리지 내 크립토 랜섬웨어 탐지를 위한 하이브리드 프레임워크

문제 정의
기업 환경은 민감한 데이터 저장을 클라이언트 엔드포인트에서 제한하고, SMB(Server Message Block) 프로토콜을 통해 네트워크 드라이브 및 공유 리소스로 전환하는 추세입니다. 이러한 구조적 변화는 랜섬웨어의 공격 표면을 로컬 시스템에서 원격 파일 서버로 확장시켰습니다. 기존의 엔드포인트 탐지 메커니즘은 로컬 시스템의 동작에 의존하기 때문에 이러한 맥락에서 실패하는 경우가 많습니다. 즉, 감염된 클라이언트는 서버 자체의 행동 경보를 트리거하지 않고도 원격 서버의 공유 데이터를 암호화할 수 있습니다. 또한, 기존 탐지 방법들은 데이터셋 편향, 개인정보 보호 문제로 인한 재현성 부족, 또는 악성 페이로드를 파편화하거나 제로 데이(Zero-Day) 취약점을 이용하는 회피형 변종 탐지 능력의 한계와 같은 문제에 직면해 있습니다.

방법론
저자들은 통합된 파일 서버 및 클라이언트 환경을 위해 설계된 하이브리드 탐지 프레임워크를 제 제안하며, 이는 주로 SMB 네트워크 트래픽(특히 SMBv2 코드를 분석하며, SMBv3에 대한 상응하는 코드도 언급됨)에서 작동합니다. 이 프레임워크는 세 가지 순차적인 모듈로 구성됩니다:

1. 패킷별 IoC 탐지: 이 초기 단계는 알려진 침해 지표(IoC)를 찾기 위해 개별 네트워크 패킷을 스캔합니다. 구체적으로, 패킷 길이를 알려진 랜섬웨어 패밀리 시그니처 저장소와 대조하여 갈취 메시지(종종 피해자 폴더에 암호화되지 않은 파일로 드롭됨)의 존재 여부를 확인합니다. 일치하는 항목이 발견되면 즉각적인 대응이 트리거됩니다.
2. 관심 영역(RoI)별 IoC 탐지: 갈취 메시지를 여러 패킷에 분산시켜 전달하는 회피형 변종에 대응하기 위해, 이 모듈은 패킷을 "관심 영역(Region of Interest, RoI)"으로 집계합니다. RoI는 두 개의 연속적인 특정 제어 패킷(디렉토리 열거에 사용되는 260바이트 패킷인 $p_{260}$으로 식별됨) 사이의 네트워크 활동 시퀀스로 정의됩니다. RoI 내에서 시스템은 파일 생성($r_{p410}$), 읽기($r_{q171}$), 쓰기($r_{p138}$)와 같은 특정 "관심 명령(Commands of Interest, $CoI$)"의 집계된 패턴을 검사합니다. 이러한 집계된 패킷의 비율이 알려진 IoC 패턴과 일치하면 경보가 발생합니다.
3. 머신러닝(ML) 기반 탐지: 패킷이나 RoI가 알려진 시그니처와 일치하지 않는 경우, 새로운 유형이나 미지의 랜섬웨어 변종을 탐지하도록 설계된 ML 모듈로 전달됩니다.
   • 특징 공학(Feature Engineering): 프레임워크는 RoI를 기반으로 한 새로운 특징 추출 기법을 도입합니다. 이는 기본 특징(읽기, 쓰기, 열기, 닫기 작업 횟수)과 확장 특징(읽기 또는 생성 작업에 의해 트리거된 쓰기 데이터의 총합, 평균, 표준 편차 및 최빈값)을 계산합니다. 환경 중립성을 보장하기 위해, 이러한 특징들은 공유 드라이브의 총 파일 수를 기준으로 표준화됩니다.
   • 모델 학습: 시스템은 랜덤 커미티(Random Committee) 머신러닝 모델을 활용합니다. 학습 데이터셋은 22개의 랜섬웨어 패밀리와 15개의 정상 애플리케이션으로부터 구축되었습니다. 정상 샘플은 오탐(False Positive)을 줄이기 위해 고위험 사용자 행동(예: 대량 데이터 임포트, Hicrypt와 같은 도구를 통한 암호화, 7-Zip을 통한 압축)을 모방하도록 신중하게 선택되었습니다. 데이터셋은 균형 있게 구성되었으며 10-겹 교차 검증(10-fold cross-validation)을 사용하여 처리되었습니다.

주요 기여

• 관심 영역(RoI) 기법: 네트워크 패킷을 특정 SMB 제어 코드($p_{260}$)를 기준으로 집계하여 문맥이 풍부한 데이터 샘플을 정의하는 새로운 특징 공학 방법을 제시하며, 이를 통해 고정된 시간 창(time-window) 또는 플로우 기반 접근 방식의 편향성을 줄였습니다.
• 하이브리드 탐지 아키텍처: 알려진 위협을 위한 시그니처 기반 IoC 탐지와 미지의/회피형 위협을 위한 ML 기반 이상 탐지를 결합하여 조기 개입이 가능한 워크플로우를 통합한 프레임워크입니다.
• 새로운 데이터셋: 저자들은 두 가지 새로운 데이터셋을 제시합니다:
  1. 랜섬웨어와 유사한 행동을 보이는 22개의 랜섬웨어 패밀리와 15개의 정상 애플리케이션을 포함하는 레이블링된 데이터셋(편향을 최소화하도록 설계됨).
  2. 이러한 패밀리로부터 도출된 네트워크 기반 침해 지표(IoC) 저장소.

결과
프레임워크의 실험적 평가 결과 다음과 같은 성능 지표를 얻었습니다:

• 탐지 정확도: Random Committee 모델은 **99.64%**의 탐지 정밀도(Precision)를 달성했습니다.
• 오류율: 시스템은 **0%의 미탐율(False Negative Rate, FNR)**을 보여 랜섬웨어 침입을 놓치지 않았으며, **0.004%**의 매우 낮은 오탐율(False Positive Rate, FPR)을 기록했습니다.
• 조기 탐지: 프레임워크는 상당한 피해가 발생하기 전에 랜섬웨어 침입을 성공적으로 식별했습니다. 48개의 RoI를 사용하는 슬라이딩 윈도우를 사용하여 **99.44%**의 조기 탐지 정확도를 달로 달성했습니다.
• 패밀리별 성능: 단일 패밀리(예: Lockbit2.0)로 학습된 모델은 100%의 정확도를 보였으나, 저자들은 이러한 협소한 모델은 견고성이 부족하다고 언급했습니다. 하이브리드 프레임워크의 강점은 22개의 다양한 패밀리에 걸쳐 일반화할 수 있는 능력에 있습니다.

의의 및 주장
본 논문은 이 하이브리드 접근 방식이 로컬 엔드포인트뿐만 아니라 공유 스토리지를 표적으로 하는 랜섬웨어를 탐지하는 데 있어 핵심적인 격차를 해소한다고 주장합니다. 호스트 시스템 상태에 대한 의존을 넘어, 새로운 RoI 기법과 함께 네트워크 트래픽 분석을 통합함으로써 강력한 방어 체계를 제공합니다. 저자들은 랜섬웨어 동작을 밀접하게 모방하는 정상적인 행동(예: 합법적인 대량 암호화 및 압축)을 포함시킨 것이 일반적인 사용자 작업에 의해 탐지 모델이 혼동되지 않도록 보장한다는 점을 강조합니다. 새롭게 발견된 네트워크 기반 IoC와 재현 가능한 데이터셋의 제공은 학술 연구 및 산업 사이버 보안 방어 모두에 중요한 기여로 강조됩니다. 연구는 제시된 IoC가 암호화되지 않은 트래픽에 해당하지만, 본 방법론은 상응하는 코드 조정을 통해 암호화된 환경(SMBv3)에도 적용 가능하며, 기업용 공유 스토리지 보안을 위한 확장 가능한 솔루션을 제공한다고 결론짓습니다.