CVE-TTP KG: Knowledge Graph Linking Software Vulnerabilities to Attack Behaviors

기술 요약: CVE-TTP KG

문제 정의
현대 사이버 보안 환경에서 소프트웨어 취약점은 공격자가 무기화하는 전략적 자산으로 진화했습니다. CVE(Common Vulnerabilities and Exposures) 및 NVD(National Vulnerability Database)와 같은 저장소는 구조화된 식별자와 기술적 메타데이터를 제공하지만, 운영적 맥락(operational context)은 부족한 경우가 많습니다. 구체적으로, 이러한 데이터베이스는 취약점을 공격자의 행위, 즉 실제 시나리오에서 결함이 어떻게 악용되는지 이해하는 데 필수적인 전술(tactics) 및 기법(techniques)과 내재적으로 연결하지 못합니다. 이러한 단절은 보안 팀이 공격자의 의도와 역량에 기반하여 위협의 우선순위를 정하는 능력을 제한합니다. 2024년에만 40,000개 이상의 새로운 CVE가 보고됨에 따라, 수동 분석은 불충분하며, CVE 데이터와 MITRE ATT&CK과 같은 프레임워크에 정의된 행동 패턴을 상관 분석할 수 있는 자동화된 솔루션이 필요합니다.

방법론
저자들은 소프트웨어 취약점을 공격자 행위(전술, 기법, 절차)와 연결하도록 설계된 프레임워크인 **CVE-TTP 지식 그래프(CVE-TTP KG)**를 제안합니다. 시스템 아키텍처는 네 가지 주요 모듈로 구성됩니다:

1. 데이터 수집 및 보강 (Data Collection and Enrichment):

   • NVD와 MITRE CVE List V5로부터 276,289개의 CVE 레코드(1999–2025) 데이터셋을 수집했습니다.
   • 다단계 매핑 파이프라인(CVE → CWE → CAPEC → Technique → Tactic)을 사용하여 178,233개의 보강된 레코드에 대한 그라운드 트루스(ground-truth) 레이블을 생성했습니다. 이 과정은 취약점을 95개의 ATT&CK 기법 및 14개의 전술 카테고리와 연결했습니다.
   • 희소한 공개 매핑의 한계를 해결하기 위해, CVE 텍스트 설명으로부터 전술과 기법을 직접 예측하는 자동 분류 모델을 개발했습니다.

2. CVE-to-TTP 분류 (CVE-to-TTP Classification):

   • 멀티 레이블 분류를 위해 트랜스포머 기반 모델을 미세 조정(fine-tuning)했습니다.
   • 두 가지 사이버 보안 특화 사전 학습 모델인 SecBERT와 CySecBERT를 평가했습니다.
   • 입력 인스턴스는 CVE 식별자, 텍스트 설명, 그리고 연관된 CWE 식별자를 결합했습니다.

3. 엔티티 및 관계 추출 (Entity and Relation Extraction, ERE):

   • 24,820개의 엔티티와 43,608개의 관계를 포함하며 STIX 2.0 스키마와 정렬된 1,080개의 CVE 설명으로 구성된 수동 주석 데이터셋을 구축했습니다.
   • 두 가지 추출 전략을 구현하고 비교했습니다:
     • 파이프라인 접근 방식 (Pipeline Approach): 사이버 보안 엔티티 인식(CER)을 위한 BERT–BiLSTM–CRF 아키텍처와 관계 추출(RE)을 위한 BERT 기반 분류기를 사용하는 2단계 프로세스입니다.
     • 결합 접근 방식 (Joint Approach): 스팬(span)을 후보로 취급하여 파이프라인 방식의 고유한 문제인 오류 전파를 피하면서, 엔티티와 관계를 동시에 추출하는 스팬 기반 트랜스포머 프레임워크(CySecBERT 사용)입니다.

4. 지식 그래프 구축 (Knowledge Graph Construction):

   • 추출된 트리플($<entity, relation, entity>$)을 Neo4j 그래프 데이터베이스에 채웠습니다.
   • 그래프는 취약점, 제품, 벤더, 약점 및 TTP를 노드로 모델링하고, 의미론적 엣지(예: affects, has_weakness, achieved_through, associated_with)로 연결합니다.

주요 기여

• 새로운 데이터셋: 저자들은 ATT&CK 전술 및 기법을 위한 멀티 레이블 분류 데이터셋과 함께, 취약점 엔티티 및 관계 추출을 위한 수동 주석 데이터셋을 도입했습니다.
• 자동 분류 프레임워크: 수동 매핑에만 의존하지 않고 CVE 설명을 관련 ATT&CK 전술 및 기법에 자동으로 매핑하는 트랜스포머 기반 모델을 구현했습니다.
• 비교 추출 분석: 사이버 보안 엔티티와 그들의 의미론적 관계를 추출하기 위한 파이프라인 및 결합 학습 접근 방식의 개발과 평가를 수행했습니다.
• 구조화된 지식 그래프: CVE 데이터와 적대적 행위를 통합하여, 위협 탐지 및 리스크 우선순위 지정을 위한 구조화된 시각화와 기계 추론을 가능하게 하는 포괄적인 KG를 구축했습니다.

실험 결과

• 분류 성능 (Classification Performance):
  • CySecBERT가 SecBERT보다 일관되게 우수한 성능을 보였습니다.
  • 기법 분류 (Technique Classification): CySecBERT는 **87.71%**의 macro F1-score와 0.9659의 Jaccard score를 달성했습니다.
  • 전술 분류 (Tactic Classification): CySecBERT는 **96.16%**의 macro F1-score와 0.9858의 Jaccard score를 달성했습니다.
• 엔티티 및 관계 추출 성능 (Entity and Relation Extraction Performance):
  • 파이프라인 접근 방식: 엔티티 추출 macro F1-score 0.86 및 관계 추출 F1-score 0.99를 달성했습니다.
  • 결합 접근 방식: 엔티티 추출 macro F1-score 0.88 (micro-F1 0.9586) 및 엄격한 NEC 제약 조건 하에서의 관계 추출 macro F1-score 0.78을 달성했습니다.
• 그래프 생성 (Graph Generation):
  • **결합 모델(Joint Model)**은 더 정밀한 의미론적 그래프를 생성하였으며, 복잡한 관계(예: "Denial of Service"를 약점이 아닌 영향 유형으로 구분)를 정확히 식별하고 오류 전파를 줄였습니다.
  • **파이프라인 모델(Pipeline Model)**은 관계 추출에서 높은 정밀도를 보였으나, 특정 achieved_through 관계를 일반적인 associated_with 링크로 대체하거나 취약점 유형을 오분류하는 등의 의미론적 불일치 문제를 겪었습니다.

의의 및 주장
본 논문은 CVE-TTP KG가 CVE와 적대적 행위 간의 연결을 명시적으로 모델링함으로써 취약점 분석의 결정적인 격차를 해소한다고 주장합니다. 저자들은 이 접근 방식이 다음을 가능하게 한다고 단언합니다:

• 심층적 이해: 공격 패턴, 위협 목표 및 공격 체인에 대한 더 명확한 관점 제공.
• 상황 인식 강화: 인간 분석가를 위한 구조화된 시각화 및 자동화된 위협 탐지를 위한 기계 추론 지원.
• 확장성: 증가하는 취약점 공개량을 처리할 수 있는 자동화된 파이프라인.

저자들은 결합 모델이 엔드 투 엔드 추출에서 우수한 견고성을 제공하지만, 엔티티 모호성 해소 및 상호 참조 해결(coreference resolution) 문제를 해결하기 위해 추출 품질을 더욱 개선할 수 있는 거대 언어 모델(LLM)의 통합이 향-후 과제로 남아 있다고 결론지었습니다.