기술 요약: 사이버 위협 인텔리전스 보고서로부터 도달 가능한 공격 체인을 추출하기 위한 자동화된 프레임워크

문제 정의

사이버 위협 인텔리전스(CTI) 보고서는 초기 침투부터 최종 목표 달성에 이르기까지 실제 공격 프로세스의 풍부하고 상세한 서사를 포함하고 있다. 그러나 이러한 보고서들은 비구조화된 자연어로 작성되어, 공격 동작, 맥락적 증거, 기술적 세부 사항이 여러 단락에 걸쳐 혼재되어 있다. 인간 분석가는 이러한 서사를 통해 공격 체인을 정신적으로 재구성할 수 있지만, 자동화된 시스템은 이러한 서사를 형식적 추론에 적합한 표현 형태로 변환하는 데 어려움을 겪는다.

현재의 CTI 추출 방식은 두 가지 주요 한계점을 가진다:

1. 표현의 격차(Representation Gap): 기존 방식은 침해 지표(IOC), 평면적인 MITRE ATT&CK 레이블, 또는 엔티티-관계 그래프를 추출하는 데 집중한다. 이러한 출력물은 명시적인 전제 조건(단계 실행에 필요한 상태)과 후속 결과(결과로 발생하는 보안 상태)가 결여되어 있다. 결과적으로 추출된 지식은 기술적(descriptive)일 뿐 실행 가능(executable)하지 않으며, 상태 매칭, 의존성 검증, 또는 공격 목표 도달 가능성 분석을 지원할 수 없다.
2. 추출의 격차(Extraction Gap): 대규모 언어 모델(LLM)에게 전제 조건-행위-후속 결과의 전체 체인을 엔드 투 엔드(end-to-end)로 생성하도록 프롬프트를 주는 단순한 접근 방식은 신뢰도가 낮다. 이러한 생성 방식은 전제 조건을 개방형 자연어로 생성하여(기호적 추론을 방해함), 흩어져 있는 암묵적 의존성을 놓치거나, 입도(granularity)가 일관되지 않으며, 생성된 단계들이 연결되고 실행 가능한 유도 과정을 형성하는지 검증하는 메커니즘이 부족하다.

방법론

본 논문은 비구조화된 CTI 서사와 형식적 논리 기반 공격 추론 사이의 간극을 메우기 위해 설계된 다단계 LLM 지원 프레임워크를 제안한다. 이 프레임워크는 CTI-공격 단위 저장소 구축과 저장소 기반 공격 경로 추론의 두 단계로 작동한다.

1. 공격 단위 표현

핵심 혁신은 각 공격 단계를 다음과 같은 **공격 단위(Attack Unit)**로 모델링하는 것이다:
$$u_j = \langle Pre_j, Act_j, Post_j \rangle$$

• 전제 조건 ($Pre_j$): 실행 전에 요구되는 환경 상태, 사용자 행동 또는 이전 공격 상태.
• 공격 행위 ($Act_j$): 핵심 동작 (예: 다운로드, 실행).
• 후속 결과 ($Post_j$): 실행 후 생성되는 새로운 보안 상태.

이러한 단위들은 Datalog 스타일의 규칙으로 컴파일되며, 여기서 전제 조건은 규칙의 본문(body)을 형성하고 후속 결과는 규칙의 헤드(head)를 형성하여, MulVAL과 같은 논리 추론 엔진이 도달 가능성을 결정할 수 있게 한다.

2. 추출 파이프라인

추출의 격차를 해결하기 위해, 본 프레임워크는 단일 패스 생성 대신 제어된 다단계 파이프라인을 사용한다:

• 행위 골격 추출(Behavior Skeleton Extraction): 프레임워크는 순서가 정해진 공격 행위 시퀀스를 식별한다. 일관된 입도를 보장하기 위해, 동작(예: user_action, download, execute)을 분류하는 행위 어휘집(MITRE ATT&CK 및 일반적인 CTI 의미론에서 유도됨)을 활용하여 과도한 압축이나 과도한 파편화를 방지한다.
• 전/후속 결과 추출(Pre/Postcondition Extraction): 이중 채널 전략이 사용된다. 로컬 채널은 즉각적인 텍스트 증거와 인접한 단계에 집중하며, 글로벌 채널은 전체 보고서를 분석하여 장거리 의존성을 포착한다. 두 채널의 출력은 융합되어 후보 조건들을 생성한다.
• 술어 정규화(Predicate Normalization): 자연어 조건은 사전 정의된 술어 어휘집(MulVAL 스타일의 의미론을 따름)에 매핑된다. 이를 통해 자유 형식의 텍스트를 기호적 상태(예: host.vuln_present(host, CVE))로 변환함으로써, 한 단위의 후속 결과가 다른 단위의 전제 조건과 정확히 일치하도록 보장한다.
• 진단 가이드 수정(Diagnosis-Guided Repair): LLM은 정규화된 체인을 검사하여 지원되지 않는 전제 조건(이전 단계나 초기 사실에 의해 생성되지 않은 상태), 불일치하는 술어, 또는 잘못 병합된 분기 등의 불일치 사항을 식서 식별한다. 시스템은 소스 보고서에 대한 충실도를 유지하기 위해 플래그가 지정된 문제만을 엄격하게 수정한다.
• 규칙 생성 및 추론(Rule Generation & Reasoning): 정규화된 단위들은 Datalog 규칙으로 변환된다. 전방향 체이닝(forward-chaining) 알고리즘은 초기 사실 집합($F_0$)으로부터 특정 공격 목표가 도달 가능한지 결정하며, 역방향 탐색(backward search)을 통해 구체적인 공격 경로를 복구한다.

주요 기여

1. 추론 가능한 표현(Reasoning-Ready Representation): 본 논문은 공격 단계를 기술적 기록이 아닌 실행 가능한 상태 전이($Pre \to Act \to Post$)로 모델링하는 표현을 도입한다. 이를 통해 기존의 CTI 추출에서는 불가능했던 상태 매칭 및 의존성 검증을 가능하게 한다.
2. 신뢰할 수 있는 추출 프레임워크: 추출 작업을 제어 가능한 단계(골격 추출, 조건 복구, 정규화, 수정)로 분해함으로써, 엔드 투 엔드 LLM 생성의 불안정성을 극복한다. 이는 단계의 입도를 안정화하고 의존성 일관성을 강제한다.
3. 텍스트에서 형식 논리로의 가교: 전문가의 수작업이 필요했던 Datalog 규칙을 자동으로 생성하여, 논리적 공격 그래프 분석 도구가 자연어 CTI 보고서를 직접 활용할 수 있도록 한다.
4. 경험적 검증: 본 프레 framework는 334개의 인간 검증 주석 단계가 포함된 20개의 CTI 보고서를 대상으로 평가되었으며, 기존 시스템들에 비해 단계 커버리지 및 추론 준비성 측면에서 우수한 성능을 입증하였다.

실험 결과

본 프레임워크는 세 가지 대표적인 CTI 추출 시스템(AttacKG+, CRUcialG, CTINEXUS) 및 내부 절제 연구(ablation) 변형 모델들과 비교 평가되었다.

• 공격 단계 커버리지: 제안된 프레임워크는 334개의 주석 단계에 대해 **94.9%**의 매크로 평균 단계 커버리지를 달ol 성하였으며, 이는 CTINEXUS (82.2%), AttacKG+ (81.1%), CRUcialG (42.6%)를 크게 상회하는 수치이다. 시스템은 300단계를 완전히 커버했고, 32단계를 부분적으로 커버했으며, 단 2개만을 놓쳤다.
• 술어 정확도: 프레임워크는 20개의 보고서에 대해 평균 술어 F1 점수 80.9%(정밀도: 85.3%, 재현율: 77.8%)를 달성하였다. 이는 실행에 필요한 조건과 결과로 발생하는 보안 상태를 모두 높은 정확도로 복구했음을 나타낸다.
• 추론 성공 여부: 추출된 체인에 대해, Datalog 추론은 20개 보고서 중 19개에서 지정된 공격 목표에 도달하는 데 성공하였다. 역방향 탐색을 통해 총 34개의 공격 경로를 복구하였다.
• 절제 연구(Ablation Study): 다단계 파이프라인 대신 엔드 투 엔드 생성(GPT-4.1 또는 GPT-5.2 사용)을 사용하는 경우 성능이 급격히 저하되었다(평균 F1이 94.5%에서 약 50%로 하락). 이는 어휘 제한 및 수정 메커니즘을 갖춘 단계적 접근 방식이 정밀도 확보에 필수적임을 확인시켜 준다.

의의 및 주장

본 논문의 주요 의의는 비구조화된 CTI 서사를 구조화되고 실행 가능한 지식으로 변환하는 데 있다. 전제 조건과 후속 결과를 명시적으로 모델링함으로써, 본 프레임워크는 자동화된 시스템이 수동 분석이나 수작업 규칙 없이도 도달 가능성 분석 및 공격 경로 추론을 수행할 수 있도록 한다.

저자들은 본 프레임워크가 서사 보고서와 형식적 추론 사이의 간극을 성공적으로 메우고 있지만, 완벽한 솔루션은 아니라는 점을 강조한다. 한계점으로는 다음이 포함된다:

• 전문가가 설계한 어휘집에 대한 의존성.
• 정적 환경 가정(예: 기존 네트워크 연결성)과 동적으로 생성된 공격 상태를 구분하는 데 따르는 어려움.
• 여러 개의 서로 다른 캠페인 맥락을 하나의 서사로 통합하는 보고서를 처리할 때 발생하는 간헐적인 어려움.

궁극적으로, 이 연구는 자연어 CTI를 자동화된 보안 추론을 지원하는 형식으로 변환하는 실용적인 방법을 제공하며, 단순한 엔티티 추출을 넘어 실행 가능한 공격 경로 분석으로 나아가는 길을 제시한다.