기술 요약: ThreatLens – 고우선순위 CVE의 증거 기반 랭킹

문제 정의

현대적인 취약점 관리 체계는 심각한 확장성 문제에 직면해 있다: 지속적으로 공개되는 공통 취약점 및 노출(CVE)의 수가 보안 팀이 이를 조사, 검증 및 조치할 수 있는 능력을 훨씬 초과하고 있다는 점이다. 기존의 우선순위 결정 신호인 CVSS(Common Vulnerability Scoring System), EPSS(Exploit Prediction Scoring System), 그리고 공개된 익스플로잇 가용성 등은 파편화되어 있거나, 시간 민감도가 높거나, 혹은 그 자체만으로는 불충분한 경우가 많다.

이전 연구들의 중대한 방법론적 결함은 **시간적 누수(temporal leakage)**이다. 많은 연구가 (예를 들어, 과거의 취약점을 랭킹 매길 때 미래의 익스플로잇 데이터를 사용하는 등) 의사결정 시점에는 존재하지 않았을 증거를 사용하여 우선순위 모델을 평가한다. 이러한 "완벽한 레이블링 가정"은 회고적인 랭킹을 도출하여 모델의 성능을 과장하게 만든다. 본 논문이 다루는 핵심 문제는 특정 결정 시점에 사용 가능한 증거만을 사용하여, 어떤 CVE가 공식적인 카탈로그 등록 이전에 운영상 긴급한 상태(즉, CISA KEV 카탈로그에 진입하는 상태)가 될 것인지를 식별함으로써 현실적인 시간 제약 조건 하에서 어떻게 우선순위를 정할 것인가 하는 것이다.

방법론: ThreatLens 프레임워크

ThreatLens는 주간 단위의 분석가 검토 큐(review queue) 내에서 CVE를 랭킹 매기도록 설계된, 배포 현실성을 갖춘 프레임워크이다. 이는 취약점 우선순위 결정을 정적인 이진 분류 작업이 아닌, 시간 인지적 랭킹 문제로 취급한다.

1. 데이터 구축 및 시간적 정렬

프레임워크는 특정 CVE가 특정 주간 컷오프 날짜에 관찰된 상태를 나타내는 **CVE-시간 스냅샷(CVE-time snapshots)**을 구축한다.

• 증거 소스: 시스템은 NVD 설명, CVSS 메타데이터, EPSS 점수, GitHub Security Advisory (GHSA) 활동, 그리고 Exploit-DB 및 Metasploit의 공개 익스플로잇 신호를 포함한 이질적인 공개 데이터를 통합한다.
• 컷오프 유효성: 모든 증거는 엄격하게 주간 컷오프 시점에 맞춰 정렬된다. 예를 들어, EPSS 점수는 컷오프 시점 또는 그 이전에 가용했던 값을 사용하며, 어드바이저리(advisory) 수는 발행/수정 시간을 기준으로 필터링되고, 익스플로잇 지표는 발행 날짜를 기준으로 필터링된다.
• 누수 방지: 시간적 누수를 방지하기 위해, 시스템은 가변적인 메타데이터(예: 마지막 수정 날짜, 원시 URL, 태그)를 제거하고 정확한 날짜를 제외한다. 시간적 맥락은 절대적 타임스탬프가 아닌 상대적 특징(예: CVE 연령, 첫 익스플로잇 발생 후 경과 일수)을 통해 인코딩된다.
• 레이블링: 시스템은 미래의 CISA KEV 카탈로그 진입을 **약한 지도 학습 신호(weak supervision signal)**로 사용한다. 스냅샷은 컷오프 후 30일 이내에 KEV에 진입하면 양성(positive)으로, 그렇지 않으면 음성(negative)으로 레이블링된다. 이는 단순히 익스플로잇의 존재 여부가 아니라 운영상의 긴급성을 반영한다.

2. 모델 표현 (Model Representations)

ThreatLens는 컷오프 시점에 유효한 두 가지 유형의 증거 표현을 평가한다:

• 증거 텍스트 (Evidence Text): 취약점 컨텍스트, 심각도 요약, EPSS 값, 어드바이저리 증거 및 상대적 시간 정보를 직렬화한 표현이다.
• 구조화된 특징 (Structured Features): EPSS 점수/백분위수, CVSS 기본 점수, 어드바이저리 수, 익스플로잇 가용성, CVE 연령 및 상호작용 특징(예: EPSS와 익스플로잇 증거의 결합)을 인코딩하는 테이블 형태의 표현이다.

3. 스코어링 모델

프레임워크는 동일한 데이터에 대해 세 가지 유형의 랭커를 학습시키고 비교한다:

• 신경망 텍스트 랭커 (TL-NR): BGE-large-en-v1.5 인코더와 MLP 스코어링 헤드를 사용하며, 쌍별 지도 학습(동일한 컷오프 내에서 양성 스냅샷을 음성 스냅샷보다 높게 랭킹)을 통해 학습된다.
• 구조화 로지스틱 랭커 (TL-LR): 구조화된 테이블 특징을 사용하여 학습된 가중치 적용 로지스틱 회귀 모델이다.
• 얕은 텍스트 랭커 (TL-TF-IDF): 증거 텍스트를 기반으로 학습된 TF-IDF 기반 로지스틱 회귀 모델이다.

4. 평가 프로토콜

평가는 실제 배포 상황을 모사하도록 설계되었다:

• 시간 순방향 분할 (Forward-in-Time Split): 데이터는 시간 순서대로 분할된다. 훈련, 검증, 테스트 세트는 시간적으로 분리된다.
• CVE-비중복성 (CVE-Disjointness): 훈련 세트에 등장하는 CVE는 ID 누수를 방기하기 위해 검증 및 테스트 세트에서 제외된다.
• 지표: 성능은 제한된 예산을 가진 보안 분석가의 상황을 반영하여, 주간 후보 풀 내에서의 Recall@K (특히 K=20 및 K=50)로 측정된다. 클래스 불균형을 고려하기 위해 글로벌 및 매크로 PR-AUC도 보고된다.

주요 기여

1. 문제 정식화: 저자들은 CVE 우선순위 결정을 정적인 심각도 점수 산정 방식에서 벗어나, 주기적이고 시간 인지적인 주간 분석가 검토 큐에 대한 랭킹 문제로 정식화하였다.
2. 데이터 구축: 변화하는 공개 증거를 포착하면서도 시간적 누수를 엄격하게 방지하는 컷오프 정렬된 CVE 스냅샷 구축 방법을 제시하였다.
3. 프레임워크 개발: ThreatLens는 다양한 증거 소스(NVD, EPSS, GHSA, Exploit-DB)를 통합하고 다양한 랭킹 아키텍처(신경망, 구조화, 얕은 텍스트)를 지원하는 증거 가이드 프레임워크로 제시된다.
4. 엄격한 평가: 시간 순방향, CVE 비중복 평가를 통해 학습된 랭커가 표준 베이스라인보다 미래의 KEV 진입을 식별하는 데 있어 현저히 우수함을 입증하였다.

결과

보유 데이터 중 11,779개의 스냅샷(양성 비율 2.50%)을 포함하는 홀드아웃 테스트 세트에서, ThreatLens는 비학습 베이스라인에 비해 상당한 개선을 보였다:

• Top-K 우선순위 지정: 구조화 로지스틱 랭커(TL-LR)는 80.0%의 Recall@20과 95.9%의 Recall@50을 달성하였다. 이는 EPSS 베이스라인(24.7% Recall@20)보다 3배 이상 높은 성능이며, CVSS 및 규칙 기반 퓨전(rule-based fusion) 모델을 크게 앞선다.
• 모델 효율성: 복잡한 신경망 모델이 우세할 것이라는 예상과 달리, 가볍고 해석 가능한 TL-LR(구조화된 특징에 대한 로지스틱 회귀)이 가장 강력한 종합 스코어러였다. 이는 가치의 핵심이 모델의 복잡성이 아니라 컷오프에 정렬된 증거 표현의 품질에 있음을 시사한다.
• 조기 경보: ThreatLens는 공식적인 KEV 진입 날짜 이전에 미래의 KEV CVE를 포착할 수 있다. 엄격한 시간 순방향 설정에서, TL-LR은 홀드아웃된 KEV CVE의 **97.8%**를 KEV 카탈로그에 진입하기 전 Top 50 내에서 식별하였으며, 중앙값 경고 시간은 25일이었다.
• 절제 연구 (Ablation Studies): EPSS나 CVSS와 같은 지배적인 신호를 제거하면 성능이 감소하지만, 베이스라인 대비 우위가 사라지지는 않는다. 이는 ThreatLens가 단일 숏컷 신호에 의존하기보다 다양한 증거 소스의 통합으로부터 이득을 얻음을 확인시켜 준다.

의의 및 주장

본 논문은 우선순위 결정이 정적인 심각도 랭킹 작업이 아니라 운영상의 조기 경보 문제로 다뤄져야 함을 보여준다고 주장한다.

• 배포 현실성: 주요 기여는 새로운 신경망 아키텍처가 아니라, 시간적 규율을 강제하는 배포 현실적인 정식화이다. 의사결정 시점에 사용 가능한 증거만을 사용하여 모델을 훈련하고 평가함으로써, 본 논문은 향후의 익스플로잇 예측 시스템을 위한 더 강력한 기준을 확립한다.
• 상호 보완적 신호: 결과는 EPSS와 CVSS가 유용하긴 하지만, 그것만으로는 불충분하다는 것을 나타낸다. 구조화된 신호(EPSS 변동 및 익스플로잇 가용성 등)를 텍스트 컨텍스트(어드바이저리 언어 및 취약점 설명)와 결합하는 것이 견고한 우선순위 결정 신호를 제공한다.
• 트리아지 압축 (Triage Compression): ThreatLens는 자율적인 조치 오라클이 아니라, 트리아지 압축 계층으로 위치한다. 이는 대규모의 주간 CVE 풀을 증거에 기반한 작은 검토 큐로 압축하여, 분석가들이 광범위하게 긴급성이 인식되기 전 단계에서 나타나는 신흥 운영 리스크에 집중할 수 있도록 한다.
• 한계: 저자들은 KEV가 익스플로잇의 단순한 대리 지표(단순한 익스플로잇 현상뿐만 아니라 카탈로그 결정 및 보고 관행을 반영함)라는 점을 겸허히 언급하며, 본 시스템이 조직별 리스크가 아닌 글로벌한 관련성을 추정한다는 점을 명시하였다. 향후 배포 시에는 로컬 자산 노출도 및 패치 상태와 결합하는 과정이 필요할 것이다.