[논문 리뷰] ATHAFI: Agile Threat Hunting And Forensic Investigation

Rami Puzis, Polina Zilberman외 1명|arXiv (Cornell University)|2020. 03. 07.

Digital and Cyber Forensics참고 문헌 19인용 수 6

한 줄 요약

ATHAFI는 사이버 위협 지능(CTI)과 공격 지표(IoA)를 사용하여 동적으로 공격 가설과 사용자 정의 워크플로우를 생성함으로써 애자일 위협 탐지 및 포렌식 조사 능력을 향상시키는 준자동화 프레임워크이다. ATHAFI는 상용 오프더쇼프 도구(McAfee ePO, Splunk)를 통합하여 표적화된 데이터 수집, 워크플로우 자동 실행 및 새로운 위협에 실시간으로 대응할 수 있도록 하여, 분석가의 생산성 향상과 고도화된 지속적 위협 탐지에서의 수동 작업 감소를 크게 개선한다.

ABSTRACT

Attackers rapidly change their attacks to evade detection. Even the most sophisticated Intrusion Detection Systems that are based on artificial intelligence and advanced data analytic cannot keep pace with the rapid development of new attacks. When standard detection mechanisms fail or do not provide sufficient forensic information to investigate and mitigate attacks, targeted threat hunting performed by competent personnel is used. Unfortunately, many organization do not have enough security analysts to perform threat hunting tasks and today the level of automation of threat hunting is low. In this paper we describe a framework for agile threat hunting and forensic investigation (ATHAFI), which automates the threat hunting process at multiple levels. Adaptive targeted data collection, attack hypotheses generation, hypotheses testing, and continuous threat intelligence feeds allow to perform simple investigations in a fully automated manner. The increased level of automation will significantly boost the analyst's productivity during investigation of the harshest cases. Special Workflow Generation module adapts the threat hunting procedures either to the latest Threat Intelligence obtained from external sources (e.g. National CERT) or to the likeliest attack hypotheses generated by the Attack Hypotheses Generation module. The combination of Attack Hypotheses Generation and Workflows Generation enables intelligent adjustment of workflows, which react to emerging threats effectively.

연구 동기 및 목표

• 점점 증가하는 보안 분석가의 부족을 해결하기 위해 반복적이고 복잡한 위협 탐지 작업을 자동화함으로써 고도의 전문 역량이 요구되는 분석가에 대한 의존도를 줄이기 위해.
• 고도화된 지속적 위협(APT) 및 회피 공격 탐지에서 수동 작업을 줄이고 확장성을 높이기 위해.
• 실시간 위협 지능과 공격 가설에 따라 동적으로 탐지 절차를 정렬함으로써 지속적이고 적응형 포렌식 조사를 가능하게 하기 위해.
• SIEM, EDR, SOAR와 같은 다양한 보안 도구를 통합하여 자동화된 위협 탐지 파이프라인을 위한 통합적이고 확장 가능한 프레임워크를 제공하기 위해.
• 자동화된 가설 생성과 워크플로우 오케스트레이션을 통해 위협 탐지의 반응성과 정확성을 향상시키기 위해.

제안 방법

• 분산된 시스템 전반에서 위협 탐지 워크플로우를 조율하기 위해 중심화된 C&C 서버를 사용한다.
• 공격 지표(IoA)와 위협 지능을 기반으로 공격 패tern의 가능성을 순위 매기는 공격 가설 생성(AHG) 모듈을 활용하며, 공격 행동을 매칭하기 위해 유사도 히وري스틱을 사용한다.
• 최신 CTI 또는 상위 순위의 공격 가설에 맞게 맞춤형으로 실행 가능한 분산 워크플로우를 생성하는 워크플로우 생성(WG) 모듈을 활용한다.
• ePO 및 Splunk와의 상호작용을 격리된 API를 통해 안전하게 봉인하는 워크플로우 실행 컨테이너(WF-Container)를 활용한다. 이는 워크플로우의 안전한 실행을 보장한다.
• 상용 도구 통합: 에이gent 기반 데이터 수집 및 정책 시행을 위한 McAfee ePO, SIEM, 관련성 분석 및 경고 기능을 위한 Splunk Enterprise를 통합한다.
• 다양한 출처에서 온 CTI를 일관되게 분석하고 가설 생성에 활용하기 위해 표준화된 AttackDB 스키마를 사용하여 정규화하고 저장한다.

실험 결과

연구 질문

• RQ1 어떻게 하면 변화하는 위협에 대응하면서도 고도의 전문 분석가에 대한 의존도를 줄이고 효과성을 유지할 수 있는 위협 탐지를 자동화할 수 있는가?
• RQ2 역사적 공격 패턴과 현재의 위협 지능을 기반으로 공격 가설을 얼마나 자동으로 생성하고 순위 매길 수 있는가?
• RQ3 새로운 위협 지표가 등장할 경우 수동 재구성 없이 포렌식 조사를 위한 워크플로우를 어떻게 동적으로 적응시킬 수 있는가?
• RQ4 다양한 보안 도구를 통합하여 유기적이고 자동화된 위협 탐지 파이프라인을 구성하기 위해 필요한 아키텍처 구성 요소는 무엇인가?
• RQ5 준자동화 프레임워크가 수동 방법에 비해 고도화된 지속적 위협 탐지의 속도와 정확도를 어떻게 크게 향상시킬 수 있는가?

주요 결과

• ATHAFI는 위협 탐지 루프의 대부분을 자동화하여 수동 작업을 줄이고 포렌식 조사의 확장성을 높였다.
• 최신 위협 지능 또는 가장 가능성 높은 공격 가설에 기반한 동적 워크플로우 생성을 통해 탐지 절차의 실시간 적응이 가능해졌다.
• McAfee ePO와 Splunk 통합을 통해 기업 환경 전반에서 안전하고 확장성 있으며 확장 가능한 데이터 수집 및 분석이 달성되었다.
• 표준화된 AttackDB 스키마의 사용은 다양한 출처에서 온 CTI를 일관되게 정규화하고 활용할 수 있게 하여 가설 정확도를 향상시켰다.
• WF-Container는 ePO 및 Splunk API에 대한 직접 접근을 격리함으로써 워크플로우 실행의 안정성을 보장하여 시스템 무결성을 강화했다.
• 이 프레임워크는 CTI, 가설 생성, 자동화된 워크플로우의 조합이 고도로 회피적인 공격 탐지에서 분석가의 생산성을 크게 향상시킬 수 있음을 입증했다.