기술 요약: 디지털 트윈 강화 멀티스케일 계획을 통한 에이전트 기반 사고 대응

문제 정의

현재의 사고 대응(Incident Response, IR) 프로세스는 주로 보안 운영자와 사전 정의된 플레이북에 의존하는 수동적인 방식입니다. 이러한 접근 방식은 종종 느리고 노동 집약적이며 전문적인 기술을 요구하며, 보고에 따르면 조직이 보안 사고에 완전히 대응하고 복구하는 데 100일 이상이 걸릴 수도 있습니다. 결정 이론적 접근 방식(예: 강화 학습, 마르코프 결정 과정)에 기반한 자율 사이버 방어(ACD) 방법들이 자동화된 계획을 위해 제안되어 왔으나, 이들은 대개 **추상적인 전술적 규모(abstract tactical scale)**에서 작동합니다. 이러한 방법들은 고수준의 전략(예: "호스트 X를 방어하라")을 생성하지만, 실행 가능한 운영 명령을 생성하지 못하여 실제 시스템에 직접 적용하는 데 한계가 있습니다.

반대로, 대규모 언어 모델(LLM)을 사용하여 운영 명령을 생성하는 방식은 신뢰성 문제를 겪습니다. 현재의 에이전트 기반 LLM 접근 방식은 원칙적인 계획 알고리즘 없이 반복적인 호출에 의존하는 경우가 많아, 환각 현상(hallucinations), 신뢰할 수 없는 계획, 제한된 계획 범위 등의 문제를 야기합니다. 또한, 기존의 많은 LLM 기반 방법들은 외부 제공업체에 의존하며 실행 전 동작을 검증하는 능력이 부족합니다.

따라서 전술적 계획(자원 할당 및 전략)과 운영 실행(특정 시스템 명령 생성 및 검증) 사이에는 심각한 간극이 존재합니다.

방법론

본 논문은 결정 이론적 계획과 LLM 기반 명령 생성을 통합하고, 이를 **디지털 트윈(Digital Twin, DT)**으로 지원하는 멀티스케일 에이전트 기반 사고 대응 프레임워크를 제안하여 이 간극을 메웁니다. 이 아키텍처는 두 가지 뚜렷한 규모에서 작동합니다.

1. 정형화: Factorized POMDP

저자들은 사고 대응을 **분해된 부분 관측 마르코프 결정 과정(Factorized Partially Observable Markov Decision Process, POMDP)**으로 모델링합니다:

• 상태 공간 ($s_t$): 네트워크 구성 요소의 침해 상태(안전함 vs 침해됨)를 나타내는 글로벌 보안 상태($g_t$)와, 6단계의 대응 단계(봉쇄, 평가, 보존, 축출, 경화, 복구)를 거치는 특정 구성 요소의 로컬 복구 상태($\ell_t$)로 분해됩니다.
• 행동 ($a_t$): 전술적 행동(복구 우선순위를 정의하는 순열)과 운영적 행동(우선순위가 지정된 구성 요소에 적용되는 특정 시스템 명령)으로 구분됩니다.
• 비용 함수: 복구 시간을 최소화하면서, 우선순위가 높거나 중요한 구성 요소의 복구 지연에 대해 페널티를 부여합니다.

2. 멀티스케일 아키텍처

시스템은 두 가지 모드로 작동하는 **디지털 트윈(Digital Twin)**을 활용합니다:

• 시뮬레이션 모드 (전술적 규모): 공격 진행을 시뮬레이션하고 고수준의 복구 전략을 평가하기 위해 사용되는 네트워크의 경량 추상화 모델입니다.
• 에뮬레이션 모드 (운영적 규모): 실제 시스템에 적용하기 전 특정 명령을 실행하고 검증하기 위해 사용되는 영향을 받은 시스템의 가상 복제본입니다.

계획 프로세스는 두 단계로 구성됩니다:

• 전술적 계획 (Rollout Planner): 디지털 트윈 시뮬레이션을 사용하여, 결정 이론적 플래너(룩어헤드 롤아웃 방식 기반)가 고수준의 대응 전략을 계산합니다. 이는 총 복구 시간과 위험 전파를 최소화하기 위해 네트워크 구성 요 ever를 복구하는 최적의 순서를 결정합니다.
• 운영적 계획 (LLM 에이전트): 경량화되고 미세 조정된 LLM이 고수준 전략을 실행 가능한 명령으로 변환합니다.
  • 오프라인 미세 조정: 저자들은 68,000건의 사고 데이터셋을 사용하여 세 가지 특정 작업(1. 사고 평가: 공격자 전술 추론, 2. 믿음 생성: 로그로부터 시스템 상태 추정, 3. 대응 행동 생성)에 대해 DeepSeek-R1-14B 모델을 미세 조정했습니다.
  • 온라인 실행: LLM은 후보 명령을 생성하고, 이 명령들은 디지털 트윈 에뮬레이션을 통해 검증됩니다. 명령이 효과적인 것으로 검증되면 실행되며, 그렇지 않으면 비용 페널티가 부과되고 에이전트는 계획을 재생성합니다.

주요 기여

1. Factorized POMDP 정형화: 저자들은 사고 대응을 네트워크 수준의 전술적 계획과 서버별 운영 계획을 명시적으로 분리하는 분해된 MDP로 정형화했습니다.
2. 통합 에이전트 프레임워크: 결정 이론적 롤아웃 계획(전략용)과 LLM 기반 생성(실행용)을 결로하고, 이를 디지털 트윈으로 검증하는 프레임워크를 개발했습니다. 이는 전술적 계획과 운영적 대응 생성을 이와 같은 방식으로 결합한 첫 번째 연구입니다.
3. 이중 모드 디지털 트윈: 시뮬레이션 또는 에뮬레이션 중 하나만 사용하는 기존 연구들과 달리, 본 방법은 전술적 계획을 위한 시뮬레이션과 운영 검증을 위한 에뮬레이션을 모두 활용합니다.
4. 경량 로컬 구현: 시스템은 로컬에서 미세 조정된 14B 파라미터 LLM을 사용하여 외부 LLM 제공업체에 대한 의존도를 줄였으며, 원칙적인 계획에 의해 가이드될 때 경량 모델이 프런티어 모델보다 뛰어난 성능을 낼 수 있음을 입증했습니다.

실험 결과

본 방법은 3가지 공격 시나리오(Weak-Credential-3, Shellshock-4, Command-Injection-5)에 걸쳐 5대의 서버가 있는 테스트베드 네트워크에서 평가되었습니다.

• 베이스라인: 제안된 시스템은 프런티어 LLM(GPT-5.5, Gemini-3.1-Pro, DeepSeek-V4-Pro, Claude-Opus-4.8) 및 최신 에이전트 기반 베이스라인(IRCopilot, LLM-IR)과 비교되었습니다.
• 복구율: 제안된 에이전트 방식은 모든 시나리오에서 **약 90%**의 복구율을 달아냈습니다. 이는 프런티어 LLM(46.8% ~ 71.4%) 및 기존 에이전트 기반 베이스라인(50.8% ~ 68.2%)을 크게 상회하는 수치입니다.
• 실행 시간: 이 방식은 프런티어 LLM 대비 평균 복구 행동 실행 시간을 15.1% 단축했습니다.
• 절제 연구 (Ablation Studies):
  • 동일한 전술 계획을 사용하는 베이스라인과 비교했을 때, 제안된 방법의 운영 계획(LLM + DT 검증)이 더 우수했습니다.
  • 베이스라인이 강제로 전술 계획을 수행하도록 했을 때도, 제안된 방법은 실행 시간 측면에서 베이스라인보다 53.9% ~ 57.8% 더 높은 성능을 보였으며, 이는 통합된 전술-운영 루프의 가치를 강조합니다.
• LLM 성능: 미세 조정된 14B 모델은 일반적인 공격 전술에 대해 높은 정밀도와 재현율(>0.85)을 달성했으며, 특정 MITRE ATT&CK 전술에 대한 효과적인 복구 행동 생성 성공률 85.3%를 기록했습니다.

의의 및 주장

본 논문의 주요 의의는 추상적인 결정 이론적 계획과 실제적인 운영 실행 사이의 간극을 메우는 것에 있다고 주장합니다. 롤아웃 플래너의 전략적 엄격함과 LLM의 맥락적 적응성을 결합하고, 이를 검증을 위한 디지털 트윈에 접지(grounding)함으로써 시스템은 다음을 달alam합니다:

• 신뢰성: 디지털 트윈 검증을 통해 LLM의 환각 현상을 완화합니다.
• 효율성: 최적의 자원 할당(전술적 계획)을 통해 복구 시간을 단축합니다.
• 실용성: 외부 API 제공업체에 의존하지 않는, 로컬에 배포 가능한 경량 모델로 작동합니다.

저자들은 본 방법이 완벽하지는 않다고 결론지었습니다. 특히 공격 전술 오지정(LLM이 잘못된 전술을 추론할 경우 전술 계획이 영향을 받음)과 LLM 롤아웃의 계산 비용 문제를 언급했습니다. 그럼에도 불구하고, 이 연구는 완전한 자율적이고 신뢰할 수 있으며 효율적인 사고 대응 시스템을 향한 원칙적인 진전임을 나타냅니다. 향arian 과제로는 전술 오지정을 줄이기 위한 LLM 기반 사고 평가의 캘리브레이션(calibration)이 식별되었습니다.