[논문 리뷰] An Argumentation-Based Framework to Address the Attribution Problem in Cyber-Warfare

Paulo Shakarian, Gerardo I. Simari외 3명|arXiv (Cornell University)|2014. 04. 27.

Logic, Reasoning, and Knowledge참고 문헌 17인용 수 9

한 줄 요약

이 논문은 불확실성 하에서 기술적 증거와 지능 정보를 체계적으로 통합함으로써 사이버 책임 소재 문제를 해결하기 위해 확률적 추론과 논리 프로그래밍을 융합한 논거 기반 프레임워크인 InCA를 제안한다. 이는 증거가 상충되거나 속임수일 경우에도 자동화되고 설명 가능한 책임 소재를 가능하게 하며, 군사 및 보안 분석가들이 사용할 수 있는 공식적이고 추적 가능한 추론 과정을 제공한다.

ABSTRACT

Attributing a cyber-operation through the use of multiple pieces of technical evidence (i.e., malware reverse-engineering and source tracking) and conventional intelligence sources (i.e., human or signals intelligence) is a difficult problem not only due to the effort required to obtain evidence, but the ease with which an adversary can plant false evidence. In this paper, we introduce a formal reasoning system called the InCA (Intelligent Cyber Attribution) framework that is designed to aid an analyst in the attribution of a cyber-operation even when the available information is conflicting and/or uncertain. Our approach combines argumentation-based reasoning, logic programming, and probabilistic models to not only attribute an operation but also explain to the analyst why the system reaches its conclusions.

연구 동기 및 목표

• 기술적 증거나 지능 정보가 종종 상충되거나 의도적으로 속임수를 사용하는 군사적 맥락에서 사이버 작전의 책임 소재를 규명하는 데 어려운 과제를 해결하기 위해.
• 다양한 증거 유형(멀웨어 포렌식, 소스 추적, 전통적 지능 정보(HUMINT/SIGINT) 등)을 조합할 수 있도록 지원하는 공식적인 추론 체계를 개발하기 위해.
• 논거와 확률 모델링을 활용해 결론에 대한 추적 가능한 정당성을 제공함으로써 설명 가능한 책임 소재를 가능하게 하기 위해.
• 사이버 전쟁 상황에서 행위자, 멀웨어, 작전 간의 관계와 함께 경쟁적 가설, 속임수 전략을 추론할 수 있도록 하기 위해.
• 비국가 행위자, 국가 지원 공격, 그리고 조율된 사이버 캠페인을 포함한 확장 가능한 프레임워크를 구축하기 위해.

제안 방법

• 프레임워크는 환경 모델(EM)과 분석 모델(AM)이라는 두 가지 핵심 모델을 사용한다. EM은 기술적 증거 및 지능 보고서와 같은 확률적 배경 지식을 표현하며, AM은 책임 소재에 대한 경쟁적 가설을 표현한다.
• 상충되거나 반박 가능한 증거를 처리하기 위해 논거 기반 추론을 적용하여, 일관성과 특수성 원칙에 기반해 경쟁적 설명을 평가하고 순위를 매긴다.
• 확률적 정보를 통합함으로써 불확실성 하에서 추론하면서도 논리적 일관성을 유지할 수 있도록, 반박 가능한 논리 프로그래밍(DLP)을 확장한다.
• AM 문장에 EM에서 유도된 조건를 주석 처리함으로써, 결론이 검증 가능한 증거에 기반하고 있으며 원천 데이터로 추적 가능하게 한다.
• 가짜 플래그나 손상된 시스템과 같은 속임수를 논거 구조 내에서 평가하고 무효화할 수 있는 반론을 도입함으로써, 속임수 모델링을 지원한다.
• 증거 근원으로 거슬러 내려가는 논거 선을 추적함으로써 설명을 생성함으로써, 분석가들이 추론 과정을 감사하고 검증할 수 있도록 한다.

실험 결과

연구 질문

• RQ1 기술적 포렌식과 전통적 지능 자료에서 유래한 이질적이고 불확실하며 상충 가능한 증거를 통합할 수 있는 공식적 추론 체계는 어떻게 설계할 수 있는가?
• RQ2 논거 이론과 확률적 추론을 어떻게 융합하여 사이버 책임 소재에서 반박 가능한, 설명 가능한 결론을 도출할 수 있는가?
• RQ3 가짜 플래그나 손상된 인프라와 같은 속임수를 원칙적이고 추적 가능한 방식으로 모델링하고 추론할 수 있는가?
• RQ4 비국가 행위자와 국가 간 협력과 같은 복잡한 관계를 사이버 작전에서 어떻게 모델링할 수 있는가?
• RQ5 분석가의 신뢰와 의사결정 지원을 위해, 시스템이 책임 소재 결정의 감사 가능하고 인간이 읽을 수 있는 설명을 어떻게 제공할 수 있는가?

주요 결과

• InCA 프레임워크는 확률적 증거, 논리 프로그래밍, 논거를 융합하여 불확실성 하에서 자동화되고 설명 가능한 사이버 책임 소재를 지원한다.
• 일관성과 특수성 원칙에 기반해 경쟁적 논거를 평가함으로써, Stuxnet 사례와 같이 실제 사례에서 모호성을 해결할 수 있도록 상충되는 증거에 대한 추론을 가능하게 한다.
• 논거 프레임워크 내에서 반론을 도입하고 평가함으로써, 멀웨어에 심어진 가짜 단서와 같은 속임수 시나리오를 모델링할 수 있다.
• InCA는 국가 주도 비국가 행위자 간 협력이나 여러 공격 또는 멀웨어 패밀리를 포함한 복잡한 사이버 전쟁 상황을 모델링할 수 있다.
• 분석가들이 증거 근원으로 거슬러 내려가는 논거 선을 따라가도록 하여 추적 가능한 설명을 제공함으로써, 자동 결론의 투명성과 신뢰도를 향상시킨다.
• 이 접근법은 확장 가능하며, 향후 실시간 책임 소재, 자동 모델 학습, 증거 추천과 같은 향상 기능을 지원할 수 있다.