[논문 리뷰] ATTACK2VEC: Leveraging Temporal Word Embeddings to Understand the Evolution of Cyberattacks

Yun Shen, Gianluca Stringhini|arXiv (Cornell University)|2019. 05. 29.

Network Security and Intrusion Detection참고 문헌 45인용 수 10

한 줄 요약

이 논문은 공격 단계의 변화하는 맥락을 모델링하기 위해 시간적 단어 임베딩을 사용하는 attack2vec을 소개한다. 보안 경고 시퀀스를 문장으로 간주함으로써 공격 전략의 변화를 효과적으로 탐지하고, 자주 함께 발생하는 취약점을 식별함으로써 두 해 동안의 실제 IPS 데이터(주당 1억 9천만 건 이상의 경고 포함)를 바탕으로 사전 방어 및 향상된 상황 인식을 가능하게 한다.

ABSTRACT

Despite the fact that cyberattacks are constantly growing in complexity, the research community still lacks effective tools to easily monitor and understand them. In particular, there is a need for techniques that are able to not only track how prominently certain malicious actions, such as the exploitation of specific vulnerabilities, are exploited in the wild, but also (and more importantly) how these malicious actions factor in as attack steps in more complex cyberattacks. In this paper we present ATTACK2VEC, a system that uses temporal word embeddings to model how attack steps are exploited in the wild, and track how they evolve. We test ATTACK2VEC on a dataset of billions of security events collected from the customers of a commercial Intrusion Prevention System over a period of two years, and show that our approach is effective in monitoring the emergence of new attack strategies in the wild and in flagging which attack steps are often used together by attackers (e.g., vulnerabilities that are frequently exploited together). ATTACK2VEC provides a useful tool for researchers and practitioners to better understand cyberattacks and their evolution, and use this knowledge to improve situational awareness and develop proactive defenses.

연구 동기 및 목표

• 복잡한 사이버공격에서 공격 단계의 변화와 상호관계를 모니터링할 수 있는 도구의 부족을 해결하기 위해.
• 시간에 따라 변화하는 보안 이벤트(예: 공격된 취약점 등) 간의 맥락적 관계를 모델링하기 위해.
• 실제 침입 방지 시스템(IPS) 데이터를 활용해 새로운 공격 패tern이나 공격 전략의 변화를 탐지하기 위해.
• 공격 전략이 변화하거나 표준화될 때 이를 식별함으로써 사전 방어를 지원하기 위해.
• 시간적 분석을 통해 공격 단계의 동시 발생을 분석함으로써 상황 인식 향상과 공격 추적을 지원하기 위해.

제안 방법

• 공격 캠프aign에서 유도된 보안 경고 시퀀스를 '문장'으로 간주하고, 개별 경고를 '단어'로 간주한다.
• 시간적 단어 임베딩 기법(예: 음성 샘플링을 사용한 skip-gram)을 적용하여 공격 단계의 저차원 벡터 표현을 학습한다.
• 주간 스크래치를 통해 1,900만 건 이상의 보안 경고 데이터를 활용하여 임베딩 관계의 변화를 추적한다.
• 공격 단계의 맥락을 해당 단계와 동시에 발생하는 다른 단계들의 집합으로 모델링한다.
• 임베딩 공간 내에서의 벡터 유사도를 활용해 자주 함께 발생하는 공격 단계의 클러스터를 식별한다.
• 임베딩 관계의 급격한 변화를 탐지하여 새로운 공격 전략이나 변화하는 전략을 경고한다.

실험 결과

연구 질문

• RQ1 실제 환경에서 사이버공격 단계가 어떻게 변화하는 맥락에서 이용되는지를 어떻게 모델링할 수 있는가?
• RQ2 시간적 임베딩을 활용해 보안 이벤트의 시간에 따른 공격 전략 패턴의 변화는 무엇인가?
• RQ3 어떤 취약점이나 공격 단계가 자주 함께 공격당하는가? 그리고 이러한 동시 발생 패턴은 어떻게 변화하는가?
• RQ4 시간적 임베딩을 통해 실제 세계에서 새로운 통합된 공격 전략이 나타나는지를 탐지할 수 있는가?
• RQ5 임베딩 기반 분석은 빈도 기반 모니터링을 초월해 사전 방어 및 상황 인식을 어떻게 향상시킬 수 있는가?

주요 결과

• attack2vec은 공격 단계 간의 맥락적 관계 변화를 식별함으로써 공격 전략의 변화를 성공적으로 탐지한다.
• 시스템은 자주 함께 공격당하는 취약점의 클러스터를 식별하여 일반적인 공격 패턴을 드러낸다.
• 새로운 공격 전략이 등장함에 따라 이를 경고하며, 특히 이전에는 별개로 존재하던 공격이 일관된 순서로 함께 발생하기 시작할 때 특히 효과적이다.
• 실제 IPS 데이터를 두 해에 걸쳐 사용하여 공격 캠프aign의 진화를 효과적으로 모델링한다. 주당 1억 9천만 건 이상의 경고 포함.
• 특정 공격 시퀀스가 반복적으로 일관되게 사용되는 것을 관찰함으로써, 악성 코드 키트에 통합된 공격과 같은 표준화된 공격을 조기에 탐지할 수 있다.
• 단순한 경고 빈도를 초월해 확장 가능한 데이터 기반 방법을 제공함으로써 사전 방어 및 향상된 위협 인텔리전스를 지원한다.