기술 요약: CATBridge – 저자원 환경에서의 CVE-ATT&CK 정렬 강화

1. 문제 정의

Common Vulnerabilities and Exposures (CVE)를 MITRE ATT&CK 프레임워크와 정렬하는 것은 능동적 방어에 매우 중요하지만, 계산 능력과 고품질 레이블링된 샘플이 부족한 저자원 환경에서는 상당한 어려움에 직면해 있습니다.

기존의 접근 방식은 세 가지 범주로 나뉘며, 각각 뚜렷한 한계를 가집니다:

• 머신러닝(ML) 및 딥러닝(DL): 높은 탐지 정확도를 제공하지만, 특정 취약점 설명(예: "버퍼 오버플로우")과 거시적 수준의 공격 전술(예: "권한 상승") 사이의 깊은 의미론적 연관성을 포착하는 데 어려움을 겪습니다. 이들은 종종 표면적인 텍스트 특징에 의존하거나 방대한 레이블 데이터와 계산 자원을 필요로 합니다.
• 프롬프트 기반 대규모 언어 모델(LLM): GPT-5나 DeepSeek-R1과 같은 모델은 강력한 의미 이해력을 갖추고 있지만, 높은 계산 비용, 낮은 추론 효율성, 데이터 프라이버시 문제를 안고 있어 자원이 제한된 환경에 배치하기에는 부적합합니다.
• 미세 조정된 소규모 LLM: 계산 효율성과 배포 가능성은 높지만, 7B 파라미터 규모의 작은 모델들은 충분한 사이버 보안 도메인 지식이 부족합니다. 이들은 복잡한 공격 패턴을 이해하는 데 어려움을 겪으며, 롱테일(long-tail) 데이터에 대해 낮은 성능을 보이고 유사한 기법 간의 구별 능력이 떨어집니다.

본 논문은 저자원 환경에서 LLM을 활용할 때 발생하는 세 가지 구체적인 과제를 식별했습니다:

1. 롱테일 분포 (Long-tail Distribution): CVE 데이터는 불균형하며, 희귀한 ATT&CK 기법은 학습 샘플이 부족합니다. 대규모 모델에서 추출된 지식은 헤드 클래스(head-class) 샘플에 편향되는 경향이 있습니다.
2. 의미론적 격차 (Semantic Gap): CVE의 기술적 세부 사항과 ATT&CK의 전술적 목표 사이에 단절이 존재합니다. 소규모 모델은 "취약점 악용"에서 "공격자의 의도"로 이어지는 암시적인 추론 과정을 파악하는 데 실패합니다.
3. 기술적 유사성 (Technical Similarity): 많은 ATT&CK 기법들이 표면적인 기능적 의미(예: 코드 실행)를 공유하지만, 전술적 의도 면에서는 근본적으로 다릅니다. 대규모 모델은 공유된 기능을 지나치게 강조하여, 소규모 모델이 명확한 결정 경계를 학습하는 데 필요한 변별력 있는 논리를 제공하지 못할 수 있습니다.

2. 방법론: CATBridge 프레임워크

저자들은 대규모 LLM(교사, Teacher)이 경량화된 소규모 LLM(학생, Student)을 세 단계의 점진적 과정으로 가이드하는 "교사-학생" 협업 메커니즘인 CATBridge를 제안합니다.

1단계: 타겟 데이터 강화 (Targeted Data Enhancement)

롱테일 분포 문제(C1)를 해결하기 위해, 본 프레임워크는 정교한 프롬프트 엔지니어링을 사용하여 교사 모델이 희귀한 ATT&CK 기법 카테고리에 대한 고품질 CVE 샘플을 합성하도록 유도합니다.

• 메커니즘: 교사 모델은 "사이버 보안 취약점 모델링 전문가" 역할을 수행합니다. 대상 기법 ID와 시드(seed) CVE 샘플을 전달받아, 미흡한 기법들을 위해 논리적으로 일관되고 의미론적으로 표준화된 CVE 설명을 생성합니다.
• 목표: 핵심적인 행동 의미를 왜곡하지 않으면서 샘플 부족 문제를 완화하고, 롱테일 클래스를 위한 학습 데이터를 효과적으로 확장합니다.

2단계: 도메인 지식 강화 (Domain Knowledge Enhancement)

의미론적 격차(C2)를 메우기 위해, 본 프레임워크는 **취약점 지식 그래프(Vulnerability Knowledge Graph)**를 구축하여 CVE에서 ATT&CK로 이어지는 논리적 체인을 형성합니다.

• 지식 그래프 구축: 교사 모델은 강화된 CVE 샘플로부터 구조화된 도메인 지식(약점(CWE) 및 공격 패턴(CAPEC))을 추출합니다. 엔티티(취약점, 약점, 공격 패턴, 전술/기법)와 관계(hasWeakness, exploitedBy, mapsToTechnique)가 그래프 내에 조직됩니다.
• 지식 체인 추출: 알고리즘이 그래프를 탐색하여 완전한 체인(CVE → CWE → CAPEC → ATT&CK)을 추출합니다.
• 학생 학습: 이러한 체인들은 명시적인 텍스트 컨텍스트로 직렬화되어 지도 미세 조정(SFT)을 통해 학생 모델의 학습 데이터에 포함됩니다. 이를 통해 학생 모델은 불투명한 추론 경로에 의존하는 대신, 교차 출처의 논리적 관계를 직접 학습할 수 있습니다.

3단계: 추론 지식 강화 (Reasoning Knowledge Enhancement)

기술적 유사성을 해결하고 변별력을 높이기 위해(C3), 본 프레임워크는 사고 사슬(Chain-of-Thought, CoT) 기법을 활용합니다.

• 변별적 추상화 생성: 학생 모델이 구별하기 어려워하는 유사한 ATT&CK 기법 쌍에 대해, 교사 모델은 사이버 킬 체인(Cyber Kill Chain)을 기반으로 다음 세 가지 차원을 분석하는 구조화된 요약을 생성합니다:
  1. 전제 조건 (Precondition): 요구되는 시스템 상태 또는 접근 권한.
  2. 핵심 동작 (Core Actions): 실행되는 근본적인 원자적 연산.
  3. 달성된 결과 (Achieved Outcomes): 전술적 수준의 결과 및 영향.
• 학생 학습: 학생 모델은 교사가 생성한 변별적 추상화와 CVE 샘플을 쌍으로 하는 두 번째 SFT 단계를 거칩니다. 이를 통해 명시적인 추론 논리가 전이되어, 학생 모델이 혼동하기 쉬운 기법들 사이에서 명확한 결정 경계를 학습할 수 있게 됩니다.

3. 주요 기여

• LLM 기반 지식 습득: 본 논문은 대규모 LLM으로부터 전문 지식을 추출하여 소규모 LLM을 미세 조정하는 "교사-학생" 파이프라인을 도입했습니다. 이는 저자원 환경에서 대규모 모델의 높은 오버헤드와 소규모 모델의 지식 부족 사이의 트레이드오프 문제를 해결합니다.
• 다단계 지식 강화: 표준적인 미세 조정을 보완하여 성능을 크게 향상시키는 새로운 3단계 프로세스(타겟 데이터, 도메인 지식, 추론 지식)를 제안합니다.
• 저자원 환경에서의 성능: 본 프레임워크를 통해 강화된 경량 7B 모델이 자원이 제한된 환경에서 기존의 최첨단(SOTA) 방식 및 제로샷 일반 목적 대규모 모델(예: GPT-5, DeepSeek-R1 671B)보다 우수한 성능을 보임을 입증했습니다.

4. 실험 결과

프레임워크는 Qwen2.5-7B-instruct 학생 모델을 사용하여 ChatGPT-VDMEval 테스트 세트(7,013개 샘플)에서 평가되었습니다.

• 전반적인 성능: CATBridge는 **정확도(Accuracy) 83.50%, 정밀도(Precision) 90.98%, 재현율(Recall) 93.01%, F1-스코어 85.55%**를 달성했습니다.
• 비교 우위:
  • SOTA 대비: 가장 우수한 베이스라인인 GuardLink(50.21%)보다 33.29 퍼센트 포인트 높은 절대적 향상을 보였습니다.
  • 제로샷 대규모 모델 대비: 제로샷 일반 대규모 모델(GPT-5, DeepSeek-R1, Qwen3) 대비 평균 46.24 퍼센트 포인트 향상되었습니다.
  • 베이스라인 미세 조정 대비: 강화 파이프라인 없이 동일한 학생 모델을 표준 SFT로 학습시킨 경우(42.35%)보다 41.15 퍼센트 포인트 향상되었습니다(83.50%).
• 절제 연구 (Ablation Study): 각 단계가 뚜렷한 기여를 했음을 확인했습니다. 도메인 지식 강화가 단일 단계 중 가장 큰 성능 향상(+16.28 pp)을 제공했으며, 추론 지식 강화가 성능을 더욱 정교하게 다듬었습니다(+11.04 pp).
• 퓨샷(Few-Shot) 및 제로샷(Zero-Shot) 시나리오:
  • 퓨샷 설정(14개의 롱테일 기법)에서 정확도가 25.33%에서 **90.94%**로 향상되었습니다.
  • 제로샷 설정(8개의 미학습 기법)에서 정확도가 0.96%에서 **75.73%**로 향상되어 강력한 일반화 능력을 입증했습니다.
• 모델 호환성: 본 프레임워크는 다양한 학생 모델(Mistral-7B, Llama3-8B, Gemma2-9B, Qwen2.5-7B)에서 견고한 성능을 보여 특정 모델 아키텍처에 의존하지 않음을 나타냈습니다.

5. 의의 및 주장

본 논문은 단순한 단일 단계 미세 조정이나 체인 템플릿 접근 방식을 넘어, CVE-ATT&CK 정렬을 위해 특화된 다단계 교사-학생 지식 강화 파이프라인을 도입한 최초의 연구 중 하나라고 주장합니다.

주요 의의는 다음과 같습니다:

1. 자원 효율성: 대규모 레이블 데이터와 막대한 계산 자원에 대한 의존도를 크게 낮추어, 자원이 제한된 환경에서도 신뢰할 수 있는 위협 지식 상관관계를 가능하게 합니다.
2. 실제 배포 가능성: 성능이 훨씬 더 큰 제로샷 모델과 대등하거나 이를 능가하는 경량 모델(7B)을 배포할 수 있게 하여, 인프라가 제한된 조직에서도 자동화된 취약점 거버넌스를 실현할 수 있게 합니다.
3. 방법론적 진보: 단순히 최종 레이블만을 전달하는 것이 아니라 추론 논리와 도메인 지식 체인을 명시적으로 전달함으로써, LLM 추론의 "블랙박스" 문제를 해결하고 소규모 모델이 복잡한 의미론적 매핑을 학습할 수 있는 구조적 경로를 제공합니다.

저자들은 교사 모델의 사전 학습 데이터에 일부 CVE 기록이 포함되어 있을 수 있다는 점(잠재적 데이터 오염)을 인정하면서도, 성과가 단순 암기가 아닌 구조화된 지식 전이에서 비롯되었다고 주장합니다. 또한 현재 출력 해석력의 한계를 언급하며, 보안 분석가를 돕기 위한 어텐션 시각화(attention visualization)에 대한 향후 연구 과제를 제시했습니다.