기술 요약: 텔레메트리에서 기법으로 (From Telemetry to Techniques)

문제 정의

전통적인 시그니처 기반 및 규칙 기반 위협 탐지 방식은 사전 정의된 침해 지표(IOC)에 의존하며 복잡한 행동 패턴을 포착하지 못하기 때문에 현대적인 사이버 공격을 식별하는 데 어려움을 겪고 있다. 시스템 텔레메트리를 활용한 행동 중심 접근 방식이 주목받고 있으나, 여전히 상당한 연구 공백이 존재한다. 기존 연구들은 종종 정적 특징이나 수작업으로 제작된 규칙에 의존하여 이질적인 공격 동작 전반에 걸친 일반화 능력이 제한적이다. 또한, 많은 접근 방식이 보안 이벤트를 독립적인 관측치로 취급하여, 적대적 행동 내에 내재된 순차적 및 의미론적 관계를 무시한다. 아울러, 범용 언어 모델의 사용은 사이버 보안 용어에 대한 도메인 특화 이해가 부족한 경우가 많으며, 보안 데이터셋의 심각한 클래스 불균형은 저빈도 적대적 기법의 신뢰할 수 있는 탐지를 저해한다.

방법론

본 논문은 Atomic Red Team 공격 에뮬레이션을 통해 생성된 Sysmon 텔레메트리를 사용하여 MITRE ATT&CK 기법을 분류하는 행동 중심 프레임워크를 제안한다. 본 방법론은 개별적인 Sysmin 이벤트를 행동적으로 유의미한 시퀀스로 재구성하고, 분류를 위한 다양한 학습 패러다임을 평가하는 데 중점을 둔다.

1. 데이터 전처리 및 특징 선택

본 연구는 Splunk Attack Data 저장소를 활용하였으며, 특히 Attack Range 환경 내의 Atomic Red Team 시뮬레이션에 의해 생성된 데이터셋을 사용하였다. 원시 Sysmon XML 로그는 엄격한 전처리 파이프라인을 거쳤다:

• 특징 선택: 이질적인 Sysmon 스키마로부터 프로세스 실행 컨텍스트, 관계, 리소스 상호작용 및 시간적 패턴을 포착할 수 있는 능력을 기준으로 특징을 선택하였다. 유지된 주요 필드에는 EventID, UtcTime, 프로세스 GUID(ProcessGUID, ParentProcessGUID 등) 및 CommandLine, Image, TargetFilename과 같은 이벤트별 속성이 포함된다.
• 정규화 및 추상화: 환경 특정적 아티팩트(예: 특정 파일 경로, 사용자 SID, 머신 특정 GUID)는 모델이 호스트 특정 노이즈를 학습하는 것을 방지하기 위해 익명화되거나 일반적인 토큰(예: [USER], [GUID], [BASE64])으로 대체되었다.
• 중복 제거: 중복된 이벤트를 제거하여 데이터셋을 427,774개에서 148,500개로 축소하였다.

2. 이벤트 상관관계 전략

이산적인 이벤트로부터 행동 시퀀스를 재구성하기 위해 두 가지 별도의 전략이 채택되었다:

• GUID 기반 상관관계: 이 접근 방식은 프로세스 계보와 인과 관계를 재구성하기 위해 Sysmon에서 생성된 지속적인 프로세스 식별자(ProcessGUID)를 활용한다. 이는 PID 재사용과 관계없이 공격 체인의 구조적 컨텍스트를 보존하면서 프로세스 계층 구조, 프로세스 간 상호작용(예: 인젝션, 액세스) 및 라이프사이클별로 이벤트를 그룹화한다.
• 시간 기반 상관관계: 이 접근 방식은 동일한 MITRE ATT&CK 레이블을 공유하며 1초의 시간 창 내에서 발생하는 이벤트를 그룹화한다. 이는 명시적인 프로세스 관계 재구성 없이 시간적 근접성에 의존하여 행동 패턴을 포착한다.

3. 학습 패러다임 및 불균형 처리

본 연구는 다양한 클래스 불균형 완화 전략 하에서 두 가지 카테고리의 모델을 평가하였다:

• 전통적 머신 러닝 (ML): 세 가지 앙상블 분류기(LightGBM, Extra Trees, Random Forest)를 SecBERT에서 생성된 수치형 임베딩에 대해 학습시켰다. 클래스 불균형을 해결하기 위해 임베딩 공간에 SMOTE(Synthetic Minority Over-sampling Technique)를 적용하였다.
• 트랜스포머 기반 모델: 사이버 보안 특화 언어 모델인 SecBERT와 SecureBERT를 텍스트 형태의 행동 표현에 직접 미세 조정(Fine-tuning)하였다. 합성 오버샘플링 대신 알고리즘 수준의 전략인 Adaptive Focal Loss(집중 파라미터를 동적으로 조정)와 Cost-Sensitive Focal Loss(클래스 가중치 페널티를 포함)를 사용하였다. 명시적인 불균형 완화 처리가 없는 베이스라인 구성도 테스트되었다.

주요 기여

1. 행동 중심 프레임워크: GUID 기반 및 시간 기반 이벤트 상관관계를 사용하여 Sysmon 텔레메트리를 컨텍스트가 있는 행동 시퀀스로 재구성하는 체계적인 프레임워크를 제안한다.
2. 비교 평가: MITRE ATT&CK 기법 분류를 위해 전통적인 머신 러닝 분류기와 사이버 보안 특화 트랜스포머 모델 간의 종합적인 비교를 수행한다.
3. 불균형 전략 분석: 이 특정 도메인에 효과적인 조합을 식별하기 위해 데이터 수준(SMOTE) 및 알고리즘 수준(Focal Loss 변형)의 클래스 불균형 처리 전략을 조사한다.
4. 상관관계 전략 검증: 상관관계 전략, 학습 패러다임 및 불균형 처리에 대한 가장 효과적인 조합을 경험적으로 식별한다.

실험 결과

실험은 두 개의 데이터셋(GUID 상관관계 및 시간 상관관계)과 여러 모델에 걸쳐 24개의 구성으로 진행되었다.

• 상관관계 전략: GUID 기반 상관관계가 모든 평가된 분류기에 대해 시간 기반 상관관계보다 일관되게 우수한 성능을 보였다. 이는 프로세스 수준의 행동 컨텍스트(계보 및 상호작용)를 보존하는 것이 시간적 그룹화만 하는 것보다 기법 인식에 더 실질적으로 기여함을 나타낸다.
• 모델 성능:
  • 최고 성능: GUID 상관관계 시퀀스에 대해 학습된 SecureBERT 모델을 명시적인 클래스 불균형 완화 없이 사용했을 때 가장 높은 성능(정확도: 0.586, Macro F1: 0.357)을 달성하였다.
  • 전통적 ML: 전통적 모델 중에서는 GUID 상관관계 데이터에 SMOTE를 적용한 LightGBM이 가장 우수한 성능(정확도: 0.501)을 보였다.
  • 불균형 처리: 트랜스포머 모델의 경우, 일반적으로 베이스라인(비용 민감 학습이 없는 상태)이 Focal Loss 변형 모델보다 우수한 성능을 보였다. 반면, SMOTE는 특히 GUID 상관관계 데이터에 대해 전통적 ML 모델에서 일관된 개선을 제공하였다.
• 클래스별 분석: 독특한 행동 패턴을 가진 기법들(예: T1588, T1059)은 높은 F1-score(>0.9)를 달성했으나, 겹치는 행동을 가진 기법들(예: T1547, T1543과 같은 지속성 메커니즘)이나 샘플 수가 적은 기법들(예: T1553)은 고전하며, 종종 "Indicator Removal"(T1070) 또는 다른 지속성 기법과 혼동되었다.

의의 및 주장

본 논문은 행동 표현의 품질이 분류기 자체의 선택보다 분류 성능에 더 큰 영향을 미친다고 주장한다. 주요 발견은 (Semantic representation learning 이전에) 구조적 프로세스 관계를 보존하는 것(GUID 기반 상관관계를 통해)이 기법 분류 성능을 유의미하게 향상시킨다는 점이다.

연구는 GUID 기반 이벤트 상관관계와 베이스라인 SecureBERT 모델의 조합이 Sysmon 텔레메트리로부터 자동화된 MITRE ATT&CK 기법 식별을 위한 가장 효과적인 프레임워크를 제공한다고 결론짓는다. 저자들은 본 연구의 결과가 행동 중심의 사이버 위협 분류를 위한 효과적인 이벤트 상관관계, 학습 모델 및 불균형 처리 전략의 조합을 선택하는 데 실질적인 가이드를 제공한다고 언급하였다.

저자들은 한계점 또한 인정하였는데, 구체적으로 데이터가 실제 기업 환경이 아닌 통제된 실험실 환경(Atomic Red Team)에서 생성되었다는 점과, 상관관계가 있는 시퀀스의 복잡한 구조가 전통적인 데이터 증강 기법의 적용을 제한한다는 점이다. 이들은 향후 연구에서 대규모 실제 텔레메트리에 대해 프레임워크를 평가하고 컨텍스트 인지형 증강 방법을 조사할 것을 제안한다.