i-EXAM: Instructable and Explainable Attack Connectivity Graph Modeler

i-EXAM 기술 요약: 지시 가능하고 설명 가능한 공격 연결 그래프 모델러 (Instructable and Explainable Attack Connectivity Graph Modeler)

문제 정의
대규모 네트워크를 보호하고 관리하는 것은 본질적으로 매우 도전적인 과제입니다. 네트워크 구성 요소의 단 한 번의 변경이 전체적인 보안 태세와 회복 탄력성을 급격하게 변화시킬 수 있기 때문입니다. 기존의 접근 방식들은 종-종 공격 벡터와 네트워크 기능성을 동시에 추론하는 데 어려움을 겪습니다. SPEAR 프레임워크는 공격 영향을 식별하기 위해 공격 연결 그래프(ACG, 하이퍼그래프를 PDDL 계획 문제로 컴파일한 것)를 사용하는 방식을 이전에 제안했지만, 시스템 관리자(sysadmin)가 자동 계획 시스템에 대한 전문 지식 없이도 이러한 복잡한 관계를 시각화하고, "만약에(what-if)" 분석을 수행하며, 보안 강화 전략의 근거를 이해할 수 있게 해주는 대화형 도구에 대한 필요성이 여전히 존재합니다.

방법론
i-EXAM은 최첨단 AI 플래너와 대규모 언어 모델(LLM)을 통합하여 네트워크 보안을 모델링, 분석 및 설명하도록 구축된 SPEAR 프레임워크 기반의 대화형 도구입니다. 방법론은 네 가지 주요 단계로 진행됩니다:

1. 데이터 수집 및 모델 구축:
   i-EXAM은 Nmap, Wazuh 및 문서화된 데이터를 사용하여 시스템 및 네트워크 수준의 속성(소프트웨어, 버전, 포트, 프로토콜, IP)을 수집함으로써 계획 모델 생성을 자동화합니다. 또한 OpenVAS와 같은 스캐너를 통해 외부 데이터베이스(NVD, ExploitDB)로부터 최신 취약점(CVE) 정보를 검색합니다. 이 데이터는 JSON 형태로 구조화되어 PDDL 생성기에 입력되며, 이를 통해 계획 모델을 자동으로 구축합니다. 기저의 형식론은 ACG를 계획 모델($M_G$)로 컴파일하며, 여기서 플루언트(fluents)는 호스트-속성 쌍을 나타내고, 액션(actions)은 공격/연결 엣지를 나타내며, 타겟 속성은 목표 역할을 합니다.

2. 시각화 및 분석:
   이 도구는 노드가 호스트와 관련 취약점을 나타내고 엣지가 연결을 나타내는 그래프로 네트워크를 렌더링합니다. 다층적 추상화를 지원하여 사용자가 노드를 클릭하면 상세 메타데이터(CVSS 점수, 파일 경로 등)를 확인할 수 있습니다. i-EXAM은 타겟으로 향하는 여러 잠재적 공격 경로를 시각화하기 위해 top-k-planner를 활용합니다.
   시스템은 ACG에서 파생된 두 가지 특정 보안 지표에 집중합니다:

• 침투 불가능성 지표 ($M_1$): 유효한 공격 경로가 존재하는지($|E_A| = 0$)를 결정하는 이진 지표($F^I_A(E_A) = 1$).
• 공격 난이도 지표 ($M_2$): 최소 비용 공격 경로를 포착합니다($F^D_A(E_A) = \min\{|E| \mid E \in E_A\}$).
  두 지표 모두 서비스 연결성을 보존하는 보안 강화 전략을 보장하는 $F^1_C$를 강제합니다. 이 문제들은 Fast-Downward 플래너를 통해 LMCut 휴리스틱을 사용하는 A* 탐색으로 해결됩니다.

3. What-If 분석 및 다양한 솔루션 선택:
   보안 태세를 개선하기 위해, i-EXAM은 서비스 가용성을 유지하면서 지표 값을 감소시키는 네트워크 수정 사항을 식별합니다. 전통적인 공격 그래프와 달리, ACG는 공격과 기능을 동시에 추론할 수 있습니다. 시스템은 다양한 네트워크 구성 요분에 집중하는 여러 수정 세트를 생성하는 다양한 솔루션 선택 전략을 채택합니다. 이 접근 방식은 수정의 "비용"을 정확하게 정량화하기 어렵고 sysadmin의 전문 지식이나 기술자의 가용성 같은 요인에 따라 달라진다는 점을 인정함으로써, 관리자가 다양한 옵션 중에서 정보에 입각한 선택을 할 수 있도록 권한을 부여합니다.

4. 설명 생성:
   형식적인 계획 출력과 인간의 이해 사이의 간극을 메우기 위해, i-EXAM은 LLM(llama-3.1-nemometry-70b-instruct 사용)을 사용하여 자연어 설명을 생성합니다. 이는 "모델 제한에 의한 설명(explanations by model restriction)"의 변형된 버전을 활용하여, 이전 지표 값을 만족했을 법한 반사실적 계획(counterfactual plans)을 제시하고, 제안된 변경 사항이 어떻게 해당 계획들을 무효화하는지 설명합니다.

주요 기여

• 대화형 도구 제공: i-EXAM은 sysadmin이 PDDL이나 AI 계획에 대한 지식 없이도 네트워크 아키텍처를 시각화하고, 공격 경로를 강조하며, 보안 강화 전략을 탐색할 수 있는 사용자 친화적인 인터페이스를 제공합니다.
• 형식적 보장: SPEAR 프레임워크의 건전성(soundness)과 완전성(completeness) 보장을 상속받음으로써, i-EXAM은 모델 내의 모든 유효한 계획이 ACG에서의 유효한 공격 또는 연결 경로와 상호 대응함을 보장합니다.
• 자동화된 파이프라인: 이 도구는 네트워크 스캐닝(Nmap, Wazuh, OpenVAS)부터 PDDL 모델 구축에 이르는 전체 파이프라인을 자동화하여 수동 모델링의 필요성을 제거합니다.
• LLM을 통한 설명 가능성: 구조화된 반사실적 계획 트레이스를 자연어로 번역하기 위해 LLM을 통합하여, 보안 권고 사항의 근거를 비전문가도 접근 가능하게 만듭니다.
• 다양한 전략 생성: 구현 비용과 제약 조건의 불확실성을 고려하여 다양한 강화 전략을 생성합니다.

결과 및 성능
약 30개의 노드를 가진 네트워크에 대한 실증적 평가(Podder et al. 2025 인용)에 따르면, 휴리스틱 가이드(LMCut)가 침투 불가능성 및 공격 난이도 지표 모두에서 계산 시간을 약 50% 일관되게 단축함을 보여줍니다. top-k-planner는 더 큰 네트워크에서도 다양한 공격 경로를 성공적으로 열거합니다. 시스템은 타겟을 자동으로 강조하고, 비용이 포함된 공격 계획을 제시하며, 제안된 옵션들이 왜 공격을 제거하거나 비용을 높이는지에 대한 설명과 함께 다양한 수정 옵션을 제시하는 케이스 스터디를 성공적으로 구현했습니다.

의의 및 주장
본 논문은 i-EXAM을 형식적인 AI 계획 이론과 실제 네트워크 보안 운영 사이의 가교로 위치시킵니다. 주요 의의는 자동화와 자연어 설명을 통해 계획 기반의 보안 분석을 시스템 관리자가 사용할 수 있도록 만드는 데 있습니다. 저자들은 PDDL 기반의 ACG 형식론이 갖는 도메인 독립적 특성 덕분에, 특정 작업에 대한 미세 조정 없이도 임의의 네트워크 토폴로지와 취약점 조합에 걸쳐 일반화될 수 있다고 주장합니다. 또한, 인간 참여형(human-in-the-loop) 설계는 관리자가 다양한 강화 옵션 중에서 선택할 때 도메인 판단을 적용할 수 있도록 하는 동시에, 도구는 복잡한 계산적 추론을 처리하도록 합니다. 이 연구는 더 회복 탄력적인 네트워크 관리를 위한 단계로서 제시되었으며, 향후 학습된 비용 함수, 도메인 전문가를 대상으로 한 사용성 연구, 그리고 더 큰 엔터프라이즈 네트워크로의 확장을 향후 과제로 제안합니다.