[논문 리뷰] A systematic literature review on insider threats

Angad Singh, Ankit Sharma|arXiv (Cornell University)|2022. 12. 10.

Information and Cyber Security인용 수 6

한 줄 요약

이 체계적 문헌 고찰은 유형, 접근 수준, 동기, 공격 방법으로 내부자 위협을 분류함으로써 종합적인 분류 체계를 제안한다. 또한 기계 학습과 행동 분석을 포함한 탐지 기법을 평가한다. 연구는 탐지의 주요 과제를 규명하고 실제 사례를 제시하며 실행 가능한 방어 전략을 제안함으로써 사이버보안 분야에서 향후 연구와 내부자 위협 완화 향상에 체계적인 프레임워크를 기여한다.

ABSTRACT

Insider threats is the most concerned cybersecurity problem which is poorly addressed by widely used security solutions. Despite the fact that there have been several scientific publications in this area, but from our innovative study classification and structural taxonomy proposals, we argue to provide the more information about insider threats and defense measures used to counter them. While adopting the current grounded theory method for a thorough literature evaluation, our categorization's goal is to organize knowledge in insider threat research. Along with an analysis of major recent studies on detecting insider threats, the major goal of the study is to develop a classification of current types of insiders, levels of access, motivations behind it, insider profiling, security properties, and methods they use to attack. This includes use of machine learning algorithm, behavior analysis, methods of detection and evaluation. Moreover, actual incidents related to insider attacks have also been analyzed.

연구 동기 및 목표

• 내부자 위협은 접근 권한과 체계에 대한 익명성으로 인해 외부 위협보다 더 심각하고 탐지하기 어려운 점을 감안해 증가하는 우려를 다루기 위함.
• 기존의 내부자 위협 탐지, 분류, 방어 메커니즘에 관한 연구를 체계적으로 분석하여 격차와 기회를 규명하기 위함.
• 유형, 동기, 접근 수준, 공격 기법을 기반으로 내부자 위협에 대한 체계적인 분류 체계를 수립하여 이해와 완화를 향상시키기 위함.
• 기계 학습과 행동 분석을 포함한 탐지 방법론을 평가하고 실제 사례 데이터를 활용해 그 효과성을 평가하기 위함.
• 조직 내 내부자 위협 탐지 및 방지를 향상시키기 위한 실행 가능한 권고와 향후 연구 방향을 제공하기 위함.

제안 방법

• 2020년 이전에 출판된 내부자 위협 관련 주요 연구 50편을 분석하기 위해 기반 이론을 활용한 체계적 문헌 고찰(SLR)을 수행함.
• 유형(예: 현직 직원, 전직 직원, 외주 업체), 접근 수준, 동기(예: 재정적 이득, 복수, 부주의) 기반으로 내부자를 카테고리화함.
• 기계 학습 알고리즘, 행동 모델링, 시스템 로그 및 사용자 활동 데이터를 활용한 이질성 탐지 기법을 포함한 탐지 기법을 평가함.
• 실제 내부자 공격 사례(예: Barclays 은행 유출 사고)를 분석하여 패턴을 도출하고 탐지 방법론의 타당성을 검증함.
• 내부자 위협 연구에서 사용된 평가 지표와 데이터셋을 평가하여 재현 가능성과 확장성의 한계를 규명함.
• 정책 실행, 다중 인증, 지속적 모니터링을 통합한 내부자 위협 탐지에 대한 체계적 프레임워크를 제안함.

실험 결과

연구 질문

• RQ1 내부자 위협은 기업에 어떤 정도의 영향을 미치며, 특히 빈도 증가와 재정적 결과 측면에서 글로벌 영향은 어떠한가?
• RQ2 내부자들이 탐지 제어를 우회하는 데 사용하는 일반적인 기법은 무엇이며, 이러한 방법은 외부 공격과 어떻게 다를까?
• RQ3 실제 조직 환경에서 내부자 위협을 식별하고 방지하는 데 가장 효과적인 탐지 및 완화 기법은 무엇인가?
• RQ4 동기와 내부자 프로파일은 내부자 공격의 성격과 심각도에 어떤 영향을 미치는가?
• RQ5 신뢰할 수 있고, 낮은 거짓 경고 비율을 갖는 내부자 위협 탐지 시스템 개발의 주요 과제는 무엇인가?

주요 결과

• 최근 몇 년 간 내부자 위협은 30%에서 51%로 급격히 증가했으며, 주로 전직 직원과 분통 터진 직원이 주요 가해자이다.
• 블랙버즈 은행 유출 사고는 폭로자와 관련된 것으로, £770만 파운드의 벌금과 최대 £5900만 파운드의 배상금을 초래하여 내부자 유출의 심각한 재정적 및 명성적 영향을 보여준다.
• 기계 학습과 행동 분석은 탐지에 널리 사용되지만, 레이블이 부족한 데이터셋과 높은 거짓 경고 비율로 인해 도전 과제를 안고 있다.
• 일반적인 완화 전략으로는 다중 인증, 직원 선별, 로그북 모니터링, 정책 개정이 있으며, 많은 조직이 여전히 사전 위협 탐지에 소홀하다.
• 내부자 위협 연구에서 표준화된 데이터셋과 평가 지표의 부족은 탐지 시스템의 재현 가능성과 벤치마킹을 저해하고 있다.
• 향후 연구는 행동 모델링, 내부자 동기 이해, 증가하는 데이터 전송량에 따라 확장되는 디지털 보안 경계 보호에 초점을 맞춰야 한다.