💻 computer science

SCOPE: Rethinking Attack Analysis as Uncertainty-Aware Security Reasoning under Incomplete Observations

본 논문은 행동 중심 그룹화, 분포 기반 TTP 매핑, 그리고 Top-K 비터비(Viterbi) 시퀀스 추론을 통합하여 불완전한 관측 하에서도 일관된 공격 동작을 재구성함으로써 기존 베이스라인보다 정확도와 강건성 측면에서 우수한 성능을 보이는, 불확실성을 인지하는 학습 불필요(training-free) 프레임워크인 SCOPE를 소개한다.

원저자: JuYoung Lee, JeongMin Oh, SeonWoo Lee, TaeJin Lee

게시일 2026-09-02

📖 5 분 읽기🧠 심층 분석

CC BY 4.0

원저자: JuYoung Lee, JeongMin Oh, SeonWoo Lee, TaeJin Lee

원본 논문은 CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

디지털 세상에서 보안 팀들은 컴퓨터와 서버로부터 쏟아지는 데이터의 흐름에 끊임없이 노출되어 있습니다. 이러한 로그는 파일 열기, 프로그램 시작, 연결 생성 등 기계가 수행하는 모든 동작을 기록합니다. 수년 동안 사이버 보안의 목표는 이 흩어진 메모들을 하나로 모아 공격의 전체적인 그림을 그려내는 것이었습니다. 문제는 이 메모들이 종종 불완전하다는 점입니다. 공격자들은 자신의 흔적을 숨기거나, 로그를 삭제하거나, 사건의 순서를 뒤섞는 데 능숙합니다. 더욱이, 단일한 컴퓨터 동작은 맥락에 따라 매우 다양한 의미를 가질 수 있습니다. 예를 들어, 프로그램이 시작되는 것은 무해한 업데이트일 수도 있고, 데이터 절도의 시작일 수도 있습니다. 전통적인 방식은 알려진 위협과 특정 패턴을 매칭하여 이를 해결하려 하지만, 증거가 지저나거나 공격자가 익숙한 도구를 예상치 못한 새로운 방식으로 사용할 때는 자주 실패합니다.

대한민국의 가천대학교 연구진은 이 문제에 대해 생각하는 새로운 방식을 제안했습니다. 그들은 자신들의 시스템을 SCOPE라고 부릅니다. SCOPE는 모든 개별 로그 항목을 경직된 틀에 억지로 끼워 맞추는 대신, 분석을 '불확실성 하에서의 추론' 과정으로 취급합니다. 이 시스템은 자신이 받는 데이터가 결함이 있고 불완전하다는 점을 인정하며, 조각이 빠져도 무너지지 않고 처리할 수 있는 모델을 구축합니다. 연구진은 이미 실제 사건의 순서가 문서화되어 있는 35개의 알려진 공격 시나리오를 대상으로 이 시스템을 테스트했습니다. 그 결과, SCOPE는 디지털 증거의 절반이 사라진 상황에서도 기존 방식들보다 훨씬 더 높은 정확도로 공격의 전체 경로를 재구성할 수 있음을 발견했습니다. 더 중요한 점은, SCOPE가 이전에 본 적 없는 복잡한 공격 패턴이라 할지라도, 그 패턴이 알려진 구성 요소들로 이루어져 있다면 이를 식별할 수 있다는 것입니다.

로그 분석의 핵심적인 어려움은 개별 이벤트가 그 자체만으로는 이야기를 들려주기에는 너무 작다는 점입니다. 단일 로그 항목은 파일이 생성되었음을 보여줄 수는 있지만, 왜 그런 일이 일 발생했는지는 설명하지 못합니다. 이를 해결하기 위해 연구진은 먼저 서로 관련된 이벤트들을 더 크고 의미 있는 덩어리로 그룹화합니다. 이들은 시간적으로 가까이 발생하거나, 동일한 컴퓨터 프로세스를 포함하거나, 동일한 파일 및 네트워크 연결을 사용하는 이벤트들을 찾습니다. 이렇게 하면 단순한 고립된 파일 변경 목록이 아니라, 해커가 비밀번호를 훔치려는 시도와 같이 공격의 일관된 단계로서의 '행위 그룹(behavior group)'이 만들어집니다. 이 그룹화는 견고하게 설계되었습니다. 중간의 일부 이벤트가 누락되거나 삭제되더라도, 남은 조각들이 공유된 맥락에 의해 서로 연결되어 있기 때문에 시스템은 여전히 해당 그룹을 인식할 수 있습니다.

이러한 그룹이 형성되면, 시스템은 다음 과제에 직면합니다. 바로 각 그룹이 실제로 무엇을 나타내는지 결정하는 것입니다. 과거의 시스템들은 그룹에 "비밀번호 탈취"와 같은 단일 레이블을 부여하려고 시도했습니다. 만약 그 레이블이 틀리면 전체 분석이 무너졌습니다. SCOPE는 이러한 함정을 피하기 위해 한 번에 여러 가능성을 열어둡니다. 각 행위 그룹에 대해, 시스템은 서로 다른 가능성을 가진 잠재적 레이블 목록을 생성합니다. 즉시 최종 결정을 내리지 않고, 이 옵션들을 불확실한 상태로 유지함으로써 전체적인 그림을 고려한 후에 답을 내릴 수 있도록 합니다. 이러한 접근 방식은 동일한 행동이 다음에 일어나는 일에 따라 서로 다른 의미를 가질 수 있다는 점을 인정하는 것입니다.

마지막 단계는 이러한 그룹들을 하나의 완전한 사슬로 연결하는 것입니다. 연구진은 공격의 논리적 흐 흐름과 물리적 연결이라는 두 가지 주요 요소를 기반으로, 한 행위가 다른 행위를 얼마나 잘 따르는지를 점수화하는 방법을 사용합니다. 그들은 시스템에 접속한 후 데이터를 훔치는 것처럼, 특정 유형의 행동들이 보통 특정한 순서로 발생한다는 것을 알고 있습니다. 또한, 한 단계에서 생성된 파일이 다음 단계에서 사용되는 것과 같은 물리적 연결도 살펴봅니다. 이러한 논리적, 물리적 단서들을 결합함으로써, 시스템은 증거가 누락된 부분을 메울 수 있습니다. 만약 어떤 단계가 빠져 있더라도 시스템은 멈추지 않습니다. 단지 남은 단계들을 연결하며, 그 간격이 평소보다 넓더라도 여전히 가능하다고 인정합니다. 이를 통해 시스템은 타임라인의 일부가 지워진 상황에서도 연속적인 이야기를 재구성할 수 있습니다.

연구진은 실제 발생한 상황에 대한 정답(ground-truth) 기록이 포함된 35개의 공격 시나리오 데이터셋을 사용하여 이 접근 방식을 테스트했습니다. 그들은 SCOPE를 특정 패턴을 찾는 규칙 기반 시스템, 연결 관계를 매핑하는 그래프 기반 시스템, 그리고 이야기를 추측하는 대규모 언어 모델을 사용하는 시스템을 포함한 여러 선도적인 방법들과 비교했습니다. SCOPE는 이들 모두보다 우수한 성능을 보였습니다. 상위 5개의 추측을 기준으로 볼 때, SCOPE는 공격에 사용된 특정 기술을 약 84%의 확률로 정확히 식별했습니다. 전체 사건의 순서를 재구성하는 능력을 측정했을 때, SCO-PE는 0.68의 점수를 기록했으며, 이는 차점자보다 현저히 높은 수치였습니다.

아마도 가장 주목할 만한 발견은 이 시스템이 누락된 데이터를 처리하는 방식일 것입니다. 연구진은 공격자가 자신의 흔적을 지우는 상황을 모사하여, 최대 50%의 로그 이벤트가 무작위로 제거된 상황을 시뮬레이션했습니다. 다른 시스템들의 성능은 데이터가 사라짐에 따라 급격히 떨어졌지만, SCOPE는 안정적인 모습을 보였습니다. 증거의 절반이 사라진 상황에서도 약 0.57의 재구성 점수를 유지했는데, 이는 모든 데이터가 존재할 때 다른 최상위 방법들이 달성한 점수보다도 높았습니다. 이는 불확실성에 대해 추론하고 살아남은 증거의 조각들을 연결하는 SCOPE의 능력이 실제 환경의 데이터 손실에 훨씬 더 탄력적임을 시사합니다.

또한 이 시스템은 새로운 공격 조합을 인식하는 능력을 보여주었습니다. 사이버 보안 분야에서 공격자들은 종로 알려진 도구들을 새로운 방식으로 사용하곤 합니다. 전통적인 시스템은 특정된 순서만을 학습하기 때문에 여기서 자주 실패합니다. 그러나 SCOPE는 특정 순서를 암기하는 것에 의존하지 않습니다. 대신, 서로 다른 공격 단계들 사이의 호환성을 이해합니다. 테스트에서 SCOPE는 훈련 데이터에 등장하지 않았던 기술들의 일관된 사슬을 성공적으로 재구성했습니다. 이는 '의미 있는 신규 조합(coherent-novel)' 식별률 0.83을 달 기록했는데, 이는 해당 조합이 발생한 경우의 83%에서 이를 정확히 식별하고 연결할 수 있었음을 의미합니다. 이는 시스템이 개별 구성 요소가 익숙하다면, 보지 못한 위협에 대해서도 지식을 일반화할 수 있음을 나타냅니다.

SCOPE의 핵심적인 설계 선택 중 하나는 인공지능을 활용하는 방식입니다. 연구진은 자연어를 이해할 수 있는 유형의 AI인 대규모 언어 모델을 사용했지만, 이를 오직 한 가지 특정 작업, 즉 행위 그룹을 평문 텍스트로 묘사하는 데만 사용했습니다. 이 모델은 공격이 무엇인지 또는 조각들이 어떻게 맞물리는지에 대한 최종 결정을 내리지 않습니다. 그러한 결정은 단계 간의 연결을 점수화하는 결정론적이고 수학적인 과정에 의해 내려집니다. 이러한 분리는 시스템이 데이터에 근거하지 않은 내용을 "환각(hallucinate)"하거나 지어내는 것을 방지합니다. 언어 모델은 오직 번역가로서 작동하여, 원시 컴퓨터 로그를 점수화 시스템이 이해할 수 있는 설명으로 변환할 뿐이며, 점수화 시스템이 최종 사슬에 대한 엄격한 판사 역할을 수행합니다.

연구진은 자신들의 작업이 통제된 데이터셋을 기반으로 하고 있으며, 실제 기업 환경은 훨씬 더 복잡하다는 점을 인정합니다. 그들은 이 시스템이 저수준 탐지 트리거(low-level detection triggers)를 대체하는 것이 아니라, 그러한 트리거가 생성하는 데이터의 의미를 파악하기 위한 도구라고 언급합니다. 이 시스템은 실제 로그의 불완전하고 노이즈가 많은 특성에 맞춰 설계되었으며, 파편화된 증거 속에서도 공격의 서사를 복구하는 방법을 제공합니다. 공격 분석을 단순한 패턴 매칭이 아닌 불확실성 하에서의 추론 문제로 다룸으로써, 연구진은 공격자들이 흔적을 숨기기 위해 사용하는 기법들에 훨씬 더 강한 프레임워크를 구축했습니다. 연구 결과는 공격 분석의 미래가 더 많은 데이터를 찾는 것이 아니라, 남아 있는 데이터를 얼마나 효과적으로 추론하느냐에 달려 있음을 시사합니다.

기술 요약: SCOPE – 불완전한 관측 하에서의 불확실성 인지 보안 추론으로서의 공격 분석 재고

1. 문제 정의

엔드포인트 로그로부터 공격의 전체 구조를 재구성하는 것은 사이버 보안에서 매우 중요한 과제이며, 특히 실제 환경의 관측값은 시스템 제한 및 적대적 조작으로 인해 본질적으로 불완전하고, 노이즈가 섞여 있으며, 부분적으로만 순서가 정해져 있다는 점이 핵심적인 도전 과제입니다. 기존 방식들은 세 가지 근본적인 한계를 가집니다:

세밀도 격차 (Granularity Gap): 고정된 분석 단위(예: 시간 창 또는 단일 프로세스)는 공격, 전술, 기법 및 절차(TTP)의 다양한 의미적 범위를 포착하지 못하며, 프로비넌스 그래프(provenance graphs)는 중간 이벤트가 유실될 경우 구조적으로 불완전해집니다.
취약한 결정론적 추론 (Brittle Deterministic Inference): 현재의 방법들은 분석 단위당 단 하나의 TTP 레이블을 확정합니다. 단 한 번의 오분류가 앞으로 전파되어 전체 공격 내러티브를 무너뜨립니다. 또한, 이러한 방법들은 매핑의 의미적 모호성과 시퀀싱의 구조적 불확실성을 결합하여 해결하지 못하는 경우가 많습니다.
학습 분포에 대한 의존성 (Dependence on Training Distributions): 규칙 기반 및 학습 기반 시스템은 사전 정의된 규칙이나 학습 데이터에 묶여 있어, 알려진 기법들의 미지의 조합(adversarial novelty가 존재하는 지점)에 일반화하는 데 실패합니다.

저자들은 기존의 어떤 방법도 의미적 추상화, 불확실성 모델링, 구조적 체인 재구성, 그리고 누락된 로그에 대한 강건성을 동시에 해결하지 못한다고 주장합니다.

2. 방법론: SCOPE 프레임워크

SCOPE(Security Reasoning under Partial Observability)는 엔드포인트 로그 분석을 불완전한 관측 하에서의 확률적 공격 체인 재구성으로 재정의합니다. 이는 세 가지 핵심 단계로 구성됩니다:

A. 행위 중심 로그 그룹화 (Behavior-Centric Log Grouping)

원시 이벤트를 분석하거나 고정된 시간 창을 사용하는 대신, SCOPE는 "앵커 이벤트"(예: 특정 의심스러운 프로세스 생성 또는 레지스트리 변경)를 중심으로 의미론적으로 일관된 **행위 그룹(behavior groups)**을 생성합니다.

기준: 그룹은 세 가지 직교하는 기준을 사용하여 형성됩니다: 시간적 국소성(시간 창 내의 이벤트), 프로세스 계보(h-hop 프로세스 트리 연결), 그리고 공유 엔티티(공통 파일, 레지스트리 키 또는 네트워크 엔드포인트).
강건성: 이러한 이산적(disjunctive) 접근 방식은 하나의 신호(예: 타임스탬프)가 조작되거나 누락되더라도, 다른 신호(예: 공유 아티팩트)를 통해 그룹의 일관성을 유지함으로써 파편화된 증거 문제를 해결합니다.

B. 분포적 TTP 매핑 (Distributional TTP Mapping)

행위 그룹에 단일 TTP 레이블을 할당하는 대신, SCOPE는 후보 MITRE ATT&CK 기법들에 대한 확률 분포를 유지합니다.

메커니즘: 경량화된 대규모 언어 모델(LLM)은 구조화된 특징을 바탕으로 행위 그룹에 대한 자연어 설명을 생성합니다. 이 설명은 모든 472개 ATT&CK 기법의 참조 설명과 임베딩 유사도(코사인 유사도)를 통해 비교됩니다.
불확실성 보존: 출력값은 후보 기법들의 Top-K 분포입니다. 이는 국소적 모호성을 보존하여, 후속 추론 단계가 조기 결정에 의한 취약성을 피하고 전역적 문맥을 사용하여 불확실성을 해결할 수 있도록 합니다.
규칙 우선순위 편향 탈피: 시스템은 앵커 규칙의 기법 사전 확률에 얽매이지 않습니다. 전체 의미적 문맥을 바탕으로 활동을 재해석할 수 있어, 알려진 기법들의 새로운 조합을 탐지할 수 있습니다.

C. 확률적 시퀀스 추론 (Probabilistic Sequence Inference)

SCOPE는 Top-K 비터비(Viterbi) 재귀를 사용하여 행위 그룹을 글로벌 공격 체인으로 조립합니다.

전이 점수화 (Transition Scoring): 연속적인 기법 간의 호환성은 전술적-인과적(Tactical–Causal) 함수를 사용하여 점수화됩니다:
- 전술적 흐름 (Tactical Flow): 학습된 빈도가 아닌, 사전 정의된 킬체인 의미론(예: 실행 $\to$ 지속성)에 기반하여, 미지의 시퀀스에도 일반화가 가능합니다.
- 인과적 계보 (Causal Lineage): 단계 간의 입력/출력 엔티티 유형(프로세스, 파일 등)의 중첩도를 측정합니다.
누락된 로그에 대한 강건성: 중간 이벤트가 누락된 경우, 생존한 그룹들이 관찰된 순서대로 연결됩니다. 전술 매트릭스는 "교차 전술 점프"(예: 실행에서 직접 수집으로 건너뛰는 것)를 차단하기보다 점수를 낮추는 방식을 취함으로써, 부분적 관측 하에서도 체인의 연속성을 유지합니다.
LLM 제한: LLM은 행동 설명 생성에 엄격히 제한됩니다. 모든 점수 계산, 탐색 및 구조적 추론은 결정론적이고 학습이 필요 없는 확률 모델에 의해 수행되어, 보조 단계에서의 환각(hallucination) 위험을 격리합니다.

3. 주요 기여

불확실성 인지 행위 중심 재구성: 행위 그룹 추상화와 Top-K 비터비 재귀를 결합하여 로컬 TTP 가능도와 전술적-인과적 전이 호환성을 공동 최적화하는 통합 프레임워크를 제시합니다.
학습이 필요 없는 일반화: 분포적 매핑과 호환성 기반(빈도 기반이 아닌) 전이 점수화를 사용함으로써, SCOPE는 학습 코퍼스에 존재하지 않았던 알려진 ATT&CK 기법들의 재조합을 복구할 수 있습니다.
다계층 제어 평가: 본 프레임워크는 35개의 OTRF 시나리오가 포함된 큐레이션된 벤치마크를 통해 네 가지 베이스라인 제품군(이벤트/규칙 기반, 그래프 기반, LLM 기반, TTP 시퀀스 기반)과 비교 평가되었으며, 계층적 설계의 필요성과 단일 구성 요소의 불충분함을 입증했습니다.

4. 실험 결과

평가는 ground-truth 공격 흐름과 제어된 로그 손실 스트레스 테스트가 포함된 OTRF 보안 데이터셋(Mordor)을 활용하였습니다.

정확도: SCOPE는 TTP에 대해 Top-5 적중률 0.84를, 기법 Longest-Common-Subsequence(LCS) 0.68를 달성하여 이벤트, 그래프, LLM 및 시퀀스 기반 베이스라인들을 능가했습니다.
로그 손실에 대한 강건성: 50% 무작위 로그 드롭률 조건에서, SCOSE의 기법-LCS는 0.57로 안정적으로 유지되었습니다. 이는 모든 베이스라인의 온전한 로그 상태 성능(최대 0.40)보다 현저히 높은 수치입니다. 즉, 프레임워크가 붕괴되지 않고 우아하게 성능을 저하시킵니다.
신규성 커버리지: SCOPE는 캠페인 라이브러리에 없는 알려진 기법들의 일관된 조합을 성공적으로 재구성하여 **0.83의 일관된 신규성 비율(coherent-novel rate)**을 달성했습니다.
효율성: 단일 CPU에서 SCOPE는 초당 약 460개의 이벤트를 처리하였으며, 이는 구조화되고 점수화된 체인을 생성하면서도 SHIELD 베이스라인 재구현 버전보다 약 6배 빠른 속도입니다.
절제 연구 (Ablation Studies): 행위 그룹화를 제거했을 때 가장 큰 성능 저하(−13 pp)가 발생했으며, 그 다음으로 분포적 매핑을 단일 레이블로 축소했을 때(−6 pp)가 뒤를 이었습니다. 이는 의미적 추상화와 불확실성 모델링 모두의 필요성을 확인시켜 줍니다.

5. 의의 및 주장

본 논문은 SCOE가 의미적 수준과 구조적 수준 모두에서 불확실성을 명시적으로 모델링함으로써 견고한 공격 체인 분석을 위한 실용적인 토대를 제공한다고 주장합니다. 그 의의는 다음과 같습니다:

탐지와 분류의 분리: 앵커를 오직 선별(triage, 관심 영역 식별) 용도로만 사용하고 기법 분류를 의미 계층으로 미룸으로써, 규칙 기반 레이블링의 취약성을 회피합니다.
부분적 관측 가능성 처리: 엣지가 유실될 때 실패하는 프로비넌스 그래프 방식과 달리, SCOPE는 누락된 관측을 전이 점수에 대한 감점으로 처리하여 체인의 연속성을 유지합니다.
학습 없이의 일반화: 전이 점수 산출에 도메인 지식 기반의 사전 확률(킬체인 의미론)을 사용함으로써, 데이터 주도형 모델이 가진 한계를 극복하고 학습 데이터에 없던 공격 조합에도 일반화할 수 있습니다.

저자들은 SCOPE가 통제된 원자적 트레이스(atomic traces)에서는 잘 작동하지만, 향후 프로덕션 규모의 멀티 호스트 및 양성 전용 트래픽에 대한 검증과 고가치 기록에 대한 협동적 적대적 조작(adversarial tampering) 대응에 대한 연구가 필요함을 인정합니다.