Modular Semantic Schema Mapping for Heterogeneous Security Syslogs: Deployability and Cross-Vendor Robustness
본 논문은 이질적인 보안 시스템 로그를 공통 스키마로 매핑하기 위한 모듈형 3단계 파이프라인을 제안하며, 한국 교육 분야 데이터를 활용한 광범위한 평가를 통해 구조적 정규화와 로컬 및 에이전트 기반 시맨틱 매처를 결적으로 결합하는 것이 매핑 정확도를 유의미하게 향상시키는 동시에, 서로 다른 벤더 환경 전반에 걸쳐 정밀도와 배포 지연 시간 사이의 결정적인 트레이드오프를 드러낸다는 점을 입증한다.
원본 논문은 CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기
현대 조직의 디지털 신경계에서 보안 팀은 시스템 로그라고 불리는 자동화된 보고서의 끊임 없는 흐름에 의존합니다. 이 로그는 방화벽, 서버, 네트워크 장치가 위협을 감시하며 남기는 디지털 발자국입니다. 보안 팀이 이 정보의 홍수를 이해하기 위해서는 이 보고서들을 하나의 통일된 언어로 번역해야 합니다. 한 방에 모인 사람들이 불이 난 상황을 논의하고 있는데, 한 사람은 이를 "화염"이라 부르고, 다른 한 사람은 "대화재"라 부르며, 세 번째 사람은 "열 이벤트"라고 부르는 상황을 상상해 보십시오. 또한 각자 위치를 설명할 때 서로 다른 거리 이름과 건물 번호를 사용한다면 대화는 실패할 것입니다. 사이버 보안의 세계에서 이러한 공유된 어휘를 스키마(schema)라고 부릅니다. 서로 다른 제조사의 다양한 보안 제품들이 로그를 생성할 때, 이들은 종-종 동일한 기본 개념에 대해 자신들만의 고유한 이름과 구조를 사용하며, 이는 자동화된 시스템이 데이터를 효과적으로 분석하는 것을 방해하는 혼란스러운 장벽을 만듭니다.
대한민국의 홍익대학교 연구진은 이러한 상충하는 보안 보고서들을 공통된 언어로 번역하는 새로운 방법을 개발하여 이 문제를 해결했습니다. 그들의 연구는 수천 개의 서로 다른 벤더로부터 발생하는 수백만 개의 경고가 매일 생성되는 한국의 교육 기관 네트워크를 중심으로 이루어졌습니다. 연구진은 단일 인공지능 모델에게 이 전체 번역 문제를 한꺼번에 해결하도록 강요하는 것이 비효율적이며 실제 사용 환경에서는 실용적이지 않은 경우가 많다는 것을 발견했습니다. 대신, 그들은 이 작업을 전문적인 조립 라인처럼 작동하는 3단계 프로세스로 나누었습니다. 첫째, 지저분한 필드 이름과 구조를 정리합니다. 둘째, 매칭 도구를 사용하여 정확한 의미를 찾습니다. 셋째, 결과에 대한 확신도를 결정하기 위해 매칭 점수를 산출합니다. 이러한 모듈형 접근 방식은 보안 팀이 속도와 정확성 사이에서 균형을 맞추며 자신의 특정 요구에 맞는 적절한 도구를 선택할 수 있게 해줍니다.
그들 솔루션의 핵심은 데이터가 분석되기 전 단계에서 데이터를 조직하는 새로운 방식에 있습니다. 연구진은 '정규화된 매핑 오브젝트(Normalized Mapping Object)'라고 부르는 표준 형식을 만들었습니다. 이것은 복잡하게 손으로 쓴 메모를 항목의 이름, 유형, 그리고 시스템 내 계층 구조상의 위치라는 엄격한 3부 구성의 양식으로 다시 쓰는 것과 같습니다. 모든 데이터를 이 엄격한 구조에 강제로 맞춤으로써, 연구진은 동일한 것에 대해 서로 다른 이름을 사용하는 제조사들로 인한 혼란을 제거했습니다. 그들은 학교와 대학에서 사용되는 보안 장치의 로그를 설명하는 수백 개의 문서에서 추출한 방대한 데이터셋을 통해 이 방법을 테스트했습니다. 이 데이터셋에는 보안 분석가들이 관리해야 하는 복잡한 연결망을 나타내는 1,000개의 소스 필드와 1,000개의 타겟 필드가 포함되었습니다.
이 표준화된 형식을 매칭 도구에 적용했을 때, 결과는 즉각적이고 유의미했습니다. 그들은 두 가지 유형의 매칭 엔진을 테스트했습니다. 하나는 컴팩트하고 효율적인 모델을 사용하여 컴퓨터에서 로컬로 실행되는 것이고, 다른 하나는 더 강력한 클라우드 기반 인공지능 에이전트를 사용하는 것입니다. 새로운 표준 형식이 없었을 때, 로컬 모델은 약 절반 정도의 확률로만 올바른 매칭을 식별할 수 있었습니다. 하지만 새로운 형식을 적용하자 그 정확도는 70% 이상으로 급증했습니다. 강력한 클라우드 기반 에이전트 역시 약 78%에서 85% 이상의 정확도로 향상되었습니다. 이는 그들 작업의 가치가 단순히 매칭 도구 자체에 있는 것이 아니라, 데이터를 준비하는 방식에 있음을 입증했습니다. 표준화된 형식은 단순한 도구와 복잡한 도구 모두의 작업을 더 쉽게 만들어 주었습니다.
연구진은 이후 실제 보안 운영에 어떤 것이 더 나은지 확인하기 위해 두 매칭 엔진을 비교했습니다. 클라우드 기반 에이전트는 단일 최적 매칭을 찾는 데 있어 약 86%의 확률로 약간 더 높은 정확도를 보였습니다. 그러나 이는 매우 느려서 단 하나의 필드를 처리하는 데 거의 26초가 걸렸습니다. 매 분 수천 개의 경고가 도착하는 보안 센터에서 그 정도의 지연은 용납될 수 없습니다. 반면 로컬 모델은 훨씬 빨랐으며, 필드 하나를 처리하는 데 단 1.5초밖에 걸리지 않았습니다. 최상위 매칭 하나를 뽑아내는 능력은 약간 떨어졌지만, 상위 5개의 후보 목록을 제공하는 데는 매우 뛰어났습니다. 실제로 로컬 모델은 느린 에이전트보다 더 자주 정답을 상위 5개 선택지 안에 포함시켰습니다. 이는 중요한 트레이드오프를 드러냈습니다. 즉, 더 빠른 로컬 도구는 보안 분석가에게 검토할 짧은 목록을 제공하는 데 있어 거의 대등한 성능을 보이면서도, 외부 서비스로 데이터를 보낼 필요 없이 거의 즉각적으로 수행한다는 점입니다.
시스템의 견고함을 보장하기 위해, 연구진은 고유한 이름을 사용하는 서로 다른 벤더들을 포함한 실제 환경의 변수들을 대상으로 테스트를 진행했습니다. 그들은 세 곳의 서로 다른 제조사가 만든 웹 애플리케이션 방화벽에 집중했습니다. 새로운 벤더가 사용하는 특정 명칭을 이전에 본 적이 없는 경우에도, 표준 타겟이 존재한다면 로컬 모델은 약 83%의 확률로 필드를 올바르게 매핑할 수 있었습니다. 한 벤더의 지식을 사용하여 완전히 다른 벤더의 필드를 매핑하려고 시도했을 때도 정확도는 약 78%로 높게 유지되었습니다. 이는 시스템이 새로운 장치와 다양한 명명 규칙이 끊임없이 등장하는 시장의 무질서한 현실을 처리할 수 있음을 시사합니다. 연구진은 또한 각 단계에 소요되는 시간을 측정하여, 로컬 방식이 값비싼 클라우드 서비스에 의존하지 않고도 표준 사무용 하드웨어에서 실행될 만큼 충분히 빠르다는 것을 확인했습니다.
이 연구는 모든 상황에 적용되는 단 하나의 "최선의" 방법은 없다는 결론을 내립니다. 대신, 최선의 접근 방식은 보안 팀의 구체적인 제약 조건에 따라 달라집니다. 만약 절대적인 완벽한 매칭을 찾는 것이 우선순위이고 속도가 문제가 되지 않는다면, 강력한 클라우드 에이전트가 더 나은 선택입니다. 그러나 실시간 모니터링을 위해 데이터를 빠르게 처리하고 자체 보안 네트워크 내에 유지해야 하는 대부분의 보안 운영 센터의 경우, 로컬 모델이 매력적인 대안이 됩니다. 로ocal 모델은 분석가가 짧은 후보 목록을 검토할 의사가 있다면 높은 수준의 정확도를 제공하며, 이를 실시간 모니터링이 가능할 정도의 속도로 수행합니다. 연구진은 빠른 로컬 모델이 대부분의 작업을 처리하고, 가장 어렵거나 불확실한 경우에만 느리지만 강력한 에이전트로 보내는 하이브리드 전략을 제안합니다. 이러한 접근 방식은 조직이 관리해야 하는 데이터의 엄청난 양과 다양성에 압도당하지 않으면서도 높은 보안 표준을 유지할 수 있게 해줍니다.
연구 분야의 논문에 파묻히고 계신가요?
연구 키워드에 맞는 최신 논문의 일일 다이제스트를 받아보세요 — 기술 요약 포함, 당신의 언어로.