Cyber Dynamics I: Finite Macrostates for Behavioral Anomaly Detection in Network Telemetry

기술 요약: 사이버 다이내믹스 I: 네트워크 텔레메트리 내 행동 이상 탐지를 위한 유한 거시상태(Finite Macrostates)

1. 문제 정의

현대 사이드 디펜스는 동적이고 이질적인 환경에서 운영하며, 여기서 정상적인 운영 변동성(예: 예정된 백업, 클라우드 오토스케일링)과 적대적 재구성(예: APT의 측면 이동, 코디네이티드 스테이징)을 구별하는 것이 핵심 과제입니다. 기존의 이상 탐지 방법들, 특히 엔트로피에 기반한 방법들은 네트워크 텔레메트리를 고립된 이벤트나 좁은 특징 벡터로 취급하는 경러가 있습니다. 이러한 접근 방식은 일반적으로 주변 분포(예: 소스 IP, 포트)에 대해 스칼라 통계량으로서 엔트로피를 계산합니다.

본 논문은 이러한 "스칼라 엔트로피" 접근 방식에 두 가지 결정적인 한계가 있다고 주장합니다:

1. 협소한 표현력: 이는 시스템 행동을 무질서도 지표로 축소시켜, 구조적 조직화, 지속성 또는 조정 패턴을 포착하지 못합니다.
2. 정적 관점: 이는 이상 현상을 단일 시점의 특이한 분포로 취급하며, 정교한 공격의 특징인 시간적 궤적과 레짐 전환(regime transitions)을 무시합니다.

결과적으로, 정상적인 워크로드 드리프트(drift)는 공격에 의한 불안정성과 유사하게 보일 수 있으며, 조직적인 공격은 주변 분포를 유지하면서도 근본적으로 시스템 구조를 변경하여, 거짓 양성(false positives)을 유발하거나 탐지를 놓치게 만들 수 있습니다.

2. 방법론: 유한 거시상태 프레임워크

본 논문은 정준 보안 텔레메트리 기질(Canonical Security Telemetry Substrate, CSTS) 상에 구현된 유한 차원 거시상태 프레임워크를 제안합니다. 이 접근 방식은 분석의 중심을 고립된 이벤트 기록에서 거친 입도(coarse-grained)의 행동 상태로 전환합니다.

A. 형식적 구성
프레임워크는 세 단계로 작동합니다:

1. 미시상태(Microstates): 원자적 단위는 유형화된 네트워크 이벤트 $e = (\tau, src, dst, svc, proto, dir, attrs)$이며, 이는 지속적인 엔티티 간의 시간적으로 국지화된 상호작용을 나타냅니다.
2. 윈도우 기반 미시 앙상블(Windowed Micro-Ensembles): 이벤트들은 시간 윈도우 $W_t$로 집계되어 이벤트의 멀티셋(multiset) $E_t$를 형성합니다. 이는 고립된 점이 아닌 로컬 행동 맥락을 포착합니다.
3. 거시상태 맵 ($\Phi$): 거친 입도의 함수인 $\Phi$는 각 앙상블 $E_t$를 $d$차원의 벡터 $X_t \in \mathbb{R}^d$로 매핑합니다. 이 벡터는 7가지의 해석 가능한 관측 가능한 가족(observable families)으로 구성됩니다:
   • 활동성 (Activity, $A_t$): 부하 및 점유율 (예: 플로우 수, 고유 엔티티 수).
   • 무질서도 (Disorder, $H_t$): 분포의 분산 (역할, 서비스, 프로토콜에 대한 Shannon, Rényi 또는 Tsallis 엔트로피).
   • 구조적 질서 (Structural Order, $S_t$): 상호작용 토폴로지 (그래프 밀도, 차수 집중도, 모티프 수).
   • 시간적 휘발성 (Temporal Volatility, $V_t$): 단기적 불안정성 및 버스트성(burstiness).
   • 지속성 (Persistence, $P_t$): 윈도우 전반에 걸친 엣지, 경로 또는 모티프의 재발.
   • 결합 (Coupling, $C_t$): 행동 구성 요소 간의 의존성 (첫 번째 경험적 실험에서는 단순화를 위해 생략됨).
   • 편차 (Deviation, $D_t$): 정상 베이스라인으로부터의 거리 (예: Jensen-Shannon divergence).

B. 동적 분석
프레임워크는 사이버 행동을 거시상태 공간을 통과하는 궤적 $\{X_t\}$로 취급합니다. 이상 탐지는 두 가지 메커니즘을 통해 정의됩니다:

• 상태 이상 (State Anomaly): 현재의 거시상태 $X_t$가 정상 레짐 집합 $\mathcal{B}$의 범위를 벗어나는 경우.
• 전환 이상 (Transition Anomaly): $X_t$에서 $X_{t+1}$로의 단계가 기대되는 정상 전환 연산자(nominal transition operator) $T$로부터 벗어나는 경우. 이를 통해 개별 상태가 정상적으로 보이더라도 비정상적인 움직임을 탐지할 수 있습니다.

C. 이론적 정당성
본 논문은 다음을 입증하는 공식적인 명제를 제공합니다:

• 거시상태 맵은 잘 정의되어 있으며 순열 불변(permutation-invariant)입니다.
• 엔트로피 전용 거시상태는 구조적으로 불완전합니다. 즉, 서로 다른 미시 앙상블이 동일한 엔트로피를 가질 수 있지만 서로 다른 구조적 조직을 가질 수 있습니다.
• 멀티스케일 분석이 필요합니다. 이상 징후의 가시성은 시간적 해상도(윈도우 크기)에 따라 달라집니다.

3. 실험 설계

프레임워크는 벤치마크 네트워크 텔레메트리 데이터셋인 UNSW-NB15와 CIC-IDS2017을 통해 평가되었습니다.

• 전처리: 이벤트들은 통합된 스키마로 정규화되었고, 역할(roles)이 매핑되었으며, 시간적 구조를 보존하기 위해 연대순으로 정렬되었습니다.
• 윈도우 설정: 실험은 중첩된 스트라이드(stride)를 가진 다양한 스케일($\Delta \in \{30s, 60s, 300s, 900s\}$)을 활용했습니다.
• 베이스라인: 다음과 같은 모델들과 비교되었습니다:
  • 엔트로피 전용 탐지기 (엔트로피 벡터에 대한 임계값 설정, 로지스틱 회귀).
  • 표준 이상 탐지기 (집계된 특징에 대한 Isolation Forest, One-Class SVM, Autoencoder).
• 절제 연구 (Ablation): 본 연구는 각 거시 변수 가족(활동성, 무질서도, 구조, 휘발성, 지속성, 편차)의 기여도를 체계적으로 테스트했습니다.

4. 주요 결과

A. 엔트로피 전용 방식 대비 우월성
두 데이터셋 모두에서 전체 거시상태 표현이 엔트로피 전용 베이스라인보다 일관되게 우수한 성능을 보였습니다.

• UNSW-NB15: 60초 스케일에서 전체 거시상태는 0.9730의 AUPRC를 달s하여, 가장 우수한 엔트로피 전용 베이스라인(One-Class SVM, 0.9631)을 크게 앞질렀습니다.
• CIC-IDS2017: 전체 거시상태(AUPRC ~0.7917)는 60초 기준 최상의 엔트로피 벡터 베이스라인(AUPRC ~0.7672)보다 높은 성능을 보였습니다.

B. 구조적 및 시간적 변수의 가치
절제 연구 결과, 이득은 단순히 차원이 높아졌기 때문이 아니라 특정 행동 구성 요소 덕분임이 밝혀졌습니다:

• 활동성을 무질서도에 추가했을 때 엔트로피를 맥락화함으로써 명확한 이득을 얻었습니다.
• 구조적 질서를 추가했을 때 가장 유의미한 개선이 나타났으며, 이는 공격이 단순히 무작위성의 증가가 아니라 조직적인 재구성을 통해 나타난다는 점을 확인시켜 줍니다.
• 지속성과 편차는 최종적으로 작지만 긍정적인 상승 효과를 제공했습니다.

C. 스케일 민감도
"최적의" 거시상태 구성은 시간적 스케일에 따라 달랐습니다. 예를 들어, CIC-IDS2017의 경우 중간 단계인 $A+H+V$ (활동성, 무질서도, 휘발성) 구성이 30초에서 가장 강력했고, 전체 거시상태는 60초에서 가장 우수했습니다. 이는 이상 징후의 가시성이 스케일에 의존한다는 이론적 주장을 뒷받침합니다.

D. 전환 점수 산정의 한계
이론적 약속과는 대조적으로, 전환 인지형 점수 산정(상태 + 전환 융합)은 초기 실험에서 상태 전용 점수 산정보다 우수한 성능을 보이지 못했습니다. 저자들은 이를 사용된 명목 전환 연산자(예: 단순 지속성, 선형 회귀)의 단순함 때문으로 보고하며, 향후 연구에서 더 정교한 궤적 모델링이 필요함을 시사했습니다.

5. 의의 및 주장

본 논문은 더 넓은 "사이버 다이내믹스" 프로그램의 첫 번째 경험적 단계로서 자신을 위치시킵니다. 주요 기여와 주장은 다음과 같습니다:

1. 스칼라에서 상태로의 전환: 사이버 이상 탐지가 스칼라 불규칙성 탐지보다는 행동 상태 공간 구축의 문제로 프레임화되는 것이 더 낫다는 것을 입증합니다.
2. 해결책이 아닌 좌표로서의 엔트로피: 엔트로피가 유용한 구성 요소이긴 하지만, 구조적 재구성을 포함하는 복잡한 사이버 행동을 설명하기 위한 단독 기술로서는 불충분함을 증명합니다.
3. 해석 가능성: 거시상태 프레임워크는 단순히 무엇이 이상한지가 아니라 왜 이상한지에 대해 분석가가 추론할 수 있게 하는 압축적이고 해석 가능한 표현(활동성, 구조, 휘발성 등)을 제공합니다.
4. 기초적 기질: CSTS 상에 프레임워크를 구현함으로써, 본 논문은 네트워크, 엔드포인트 및 이질적인 텔레메트리 전반에 걸쳐 이식 가능한 정준 기초를 확립하며, 안정성, 회복 및 교차 모달 분석을 위한 향후 연구의 토대를 마련합니다.

저자들은 한계점을 명시적으로 언급했습니다: 전환 점수 산정 결과는 예비적 단계이며, 멀티스케일 융합이 아직 단일 스케일 모델보다 우수하지 않고, 현재 연구는 네트워크 중심적이라는 점입니다. 저자들은 이를 실패가 아니라, "논문 I"의 정의된 경계이자 "사이버 다이내믹스 II 및 III"를 위한 로드맵으로 규정했습니다.