[논문 리뷰] A Survey on Threat Situation Awareness Systems: Framework, Techniques, and Insights

Hooman Alavizadeh, Julian Jang‐Jaccard외 5명|arXiv (Cornell University)|2021. 10. 29.

Network Security and Intrusion Detection인용 수 4

한 줄 요약

이 논문은 사이버 상황 인식(CSA) 시스템에 대한 종합적인 설문 조사와 함께, 실시간으로 AI 기반 사이버 위협을 탐지하고 대응할 수 있도록 데이터 수집, 분석, 위협 예측을 통합하는 통합 프레임워크를 제안한다. 기존 시스템에서 자동화된 위협 예측, 동적 환경에서의 이방성 탐지, 표준화된 평가 지표 부족 등의 핵심 격차를 밝히며, 적응성과 보안 수준을 향상시키기 위해 AI 강화형 인간-AI 협업 방어 체계의 필요성을 주장한다.

ABSTRACT

Cyberspace is full of uncertainty in terms of advanced and sophisticated cyber threats which are equipped with novel approaches to learn the system and propagate themselves, such as AI-powered threats. To debilitate these types of threats, a modern and intelligent Cyber Situation Awareness (SA) system need to be developed which has the ability of monitoring and capturing various types of threats, analyzing and devising a plan to avoid further attacks. This paper provides a comprehensive study on the current state-of-the-art in the cyber SA to discuss the following aspects of SA: key design principles, framework, classifications, data collection, and analysis of the techniques, and evaluation methods. Lastly, we highlight misconceptions, insights and limitations of this study and suggest some future work directions to address the limitations.

연구 동기 및 목표

• AI 기반 사이버 위협의 증가하는 복잡성과 동적 특성을 해결하기 위해 지능적이고 적응 가능한 사이버 상황 인식(CSA) 시스템을 개발하기 위해.
• 특히 자동화된 위협 예측 및 실시간 이방성 탐지에서의 핵심 한계를 규명하고 해결하기 위해.
• 인식의 인지, 이해, 예측 수준을 통합하는 통합 프레임워크를 제안하여 위협 대응 능력을 향상시키기 위해.
• 위협 지능과 완전한 상황 인식을 혼동하는 오해를 드러내고, SA 파이프라인에서 데이터의 역할을 명확히 하기 위해.
• 미발전 영역을 특정하여 향후 연구를 이끌기 위해, AI 기반 공격자 모델링, 게임 이론적 접근법, 자동화된 방어에서의 인간-컴퓨터 상호작용을 포함한다.

제안 방법

• 엔슬리의 인지, 이해, 예측 단계에 대응하는 삼단계 CSA 프레임워크를 제안: 데이터 수집(인지), 분석 및 영향 평가(이해), 위협 진화 예측(예측).
• 각 수준에서의 기존 기법들을 검토하고 분류하며, 침입 탐지, 공격 그래프 분석, 경고 상관관계 분석, 오염 분석, 원인관계 모델링 등을 포함한다.
• 특히 동적이고 변화하는 네트워크 환경에서 이방성 탐지에 있어 AI 및 머신러닝의 효과를 평가한다.
• 시스템 설계를 위한 실제 상용 트렌드(Gartner, McAfee, Symantec)를 분석하여 클라우드 기반 모니터링, API 보안, 딥페이크 위협을 강조한다.
• 자기학습 능력과 적응형 대응 메커니즘을 갖춘 인간-AI 협업 기반의 미래 CSA 시스템 비전을 제시한다.
• SA 시각화 및 분석을 위한 도구와 프로토타입을 식별하고 평가하여 연구 및 구현을 지원한다.

실험 결과

연구 질문

• RQ1 사이버 상황 인식 시스템에서 인지, 이해, 예측 수준을 통합할 수 있는 통합 프레임워크는 어떻게 설계할 수 있는가?
• RQ2 동적 환경에서 실시간 데이터 처리, 이방성 탐지, 위협 예측과 관련된 현재 CSA 시스템의 핵심 한계는 무엇인가?
• RQ3 클라우드 마이그레이션, API 공격, AI 기반 딥페이크와 같은 상용 트렌드가 현대 CSA 시스템의 설계 및 요구사항에 어떻게 영향을 미치는가?
• RQ4 기존의 위협 지능 보고서와 데이터 수집 방식이 진정으로 상황 인식을 구성하는가, 그리고 어디에서 부족한가?
• RQ5 자동화되고 적응적이며 사전적 방어를 가능하게 하기 위해 AI는 공격자 모델링과 방어자 모델링에서 어떤 역할을 해야 하는가?

주요 결과

• 현재 CSA 시스템은 주로 취약성 분석 및 경고 상관관계 분석과 같은 저수준의 인지 및 이해 작업에 집중되어 있으며, 위협 예측의 자동화는 제한적이다.
• 네트워크 트래픽과 AI 기반 공격의 동적이고 변화무도한 특성으로 인해 실시간이고 적응형 이방성 탐지에 큰 격차가 존재한다.
• 시스템 보안 수준이나 상황 인식 변화를 정량적으로 평가할 수 있는 표준화되고 종합적인 지표가 없다.
• 위협 지능 보고서와 대규모 데이터 수집은 종종 전체 상황 인식으로 오해되지만, 실제로는 광범위한 분석 파이프라인의 입력에 불과하다.
• 미래의 CSA 시스템은 공격자 행동의 AI 기반 모델링, 게임 이론 전략, 향상된 인간-컴퓨터 상호작용을 통합하여 자율적이고 적응형 방어를 가능하게 해야 한다.
• 클라우드 기반 모니터링으로의 전환과 증가하는 API 공격 벡터는 현대 인프라에서 더 강력하고 실시간적이며 AI로 강화된 SA 시스템의 필요성을 강조한다.