[논문 리뷰] Cognitive Techniques for Early Detection of Cybersecurity Events

Sandeep Nair Narayanan, Ashwinkumar Ganesan외 4명|arXiv (Cornell University)|2018. 08. 01.

Information and Cyber Security참고 문헌 9인용 수 12

한 줄 요약

이 논문은 텍스트 위협 지능과 네트워크/호스트 센서에서 유입된 데이터를 융합하여, 랜섬웨어와 같은 초기 단계의 사이버 공격을 지능적으로 탐지하기 위해 의미적 추론과 기계 학습을 통합한 지식 그래프를 활용하는 인지 사이버보안 시스템(CCS)을 제안한다. 이 시스템은 분석가의 인지 부담을 줄이고, 와나크라이와 같은 공격을 조기에 탐지할 수 있도록 비완전하고 이질적인 데이터 소스에서 악성 행동을 추론한다.

ABSTRACT

The early detection of cybersecurity events such as attacks is challenging given the constantly evolving threat landscape. Even with advanced monitoring, sophisticated attackers can spend as many as 146 days in a system before being detected. This paper describes a novel, cognitive framework that assists a security analyst by exploiting the power of semantically rich knowledge representation and reasoning with machine learning techniques. Our Cognitive Cybersecurity system ingests information from textual sources, and various agents representing host and network-based sensors, and represents this information in a knowledge graph. This graph uses terms from an extended version of the Unified Cybersecurity Ontology. The system reasons over the knowledge graph to derive better actionable intelligence to security administrators, thus decreasing their cognitive load and increasing their confidence in the system. We have developed a proof of concept framework for our approach and demonstrate its capabilities using a custom-built ransomware instance that is similar to WannaCry.

연구 동기 및 목표

• APT 및 제로데이 공격과 같은 지연된 공격 탐지 문제를 해결한다. 이러한 공격은 100일 이상 지속될 수 있다.
• 다양한 출처에서 유입되는 잡음이 많고 비구조적이며 불완전한 위협 지능으로 인해 과부하가 걸린 보안 분석가의 인지 부담을 줄인다.
• 실시간 네트워크 및 호스트 모니터링 센서 데이터와 텍스트 기반 위협 보고서(예: 보안 블래터)를 통합하여 초기 단계의 사이버 공격 탐지를 가능하게 한다.
• 진화하는 사이버 위협에 대해 추론이 가능한 확장 가능한 의미론적 풍부한 지식 표현 프레임워크를 개발한다.
• 프로토타입 구현을 통해 와나크라이와 같은 고도로 발전된 공격을 탐지할 수 있는 시스템의 능력을 입증한다.

제안 방법

• 통합 사이버보안 온톨로지의 확장된 버전을 사용하여 지식 그래프를 구축함으로써 사이버 위협, 취약성, 공격 행동을 의미적으로 표현한다.
• NLP와 온톨로지 매핑을 활용하여 보안 블래터, CVE, 블로그 등의 텍스트 기반 위협 지능을 지식 그래프에 통합하고 정규화한다.
• 네트워크 센서(Snort 등)와 호스트 기반 에이전트(파일, 프로세스, 네트워크 모니터링)에서 유입된 실시간 데이터를 동일한 지식 그래프에 통합한다.
• 지식 그래프 상에서 의미적 추론을 적용하여 센서 이벤트를 알려진 공격 패tern과 연관지워 잠재적 사이버 공격을 추론한다.
• 기계 학습 기법을 활용하여 이상 행동(예: 고도의 CPU 사용률 또는 파일 수정)을 탐지하고 이를 알려진 공격 의미론과 연결한다.
• 분석가가 작동 가능한 지능 정보를 제공할 수 있도록, 인지 대시보드에 추론된 위협을 표시함으로써 가짜 경고를 줄이고 상황 인식 능력을 향상시킨다.

실험 결과

연구 질문

• RQ1 인지 시스템은 불완전하고 이질적인 텍스트 기반 위협 보고서와 실시간 센서 데이터를 효과적으로 연관지어 초기 단계의 사이버 공격을 탐지할 수 있는가?
• RQ2 통합 지식 그래프 상에서 의미적 추론을 통해, 서명이 아직 확보되지 않은 상태에서도 랜섬웨어와 같은 진화하는 위협을 어떻게 향상시켜 탐지할 수 있는가?
• RQ3 다양한 출처의 위협 지능을 통합함으로써 보안 운영에서 가짜 경고와 인지 부담이 얼마나 감소하는가?
• RQ4 행동 지표와 의미적 추론에 기반하여, 공격의 악성 단계 이전에 알려진 공격 패턴(예: 와나크라이)을 탐지할 수 있는가?
• RQ5 정상 행동과 알려진 칼체인 단계에서의 이탈을 인식함으로써, APT와 같은 다단계 공격을 얼마나 효과적으로 식별할 수 있는가?

주요 결과

• 프로토타입 테스트에서 시스템은 포트 스캔, 손상된 SMB 패킷, 그리고 이후의 악성 행동(예: 파일 수정, 고도의 CPU 사용률)을 연관지어 맞춤형 와나크라이 유사 랜섬웨어 공격을 성공적으로 탐지했다.
• 단 두 개의 텍스트 사실—'와나크라이는 랜섬웨어이다'와 '와나크라이가 손상된 SMB 패킷을 사용한다'—만으로도 시스템은 새로운 랜섬웨어 공격의 존재를 추론하여 최소한의 텍스트 입력으로도 조기 탐지 능력을 입증했다.
• Snort, 파일 모니터링, 프로세스 모니터링 에이전트에서 유입된 센서 데이터가 성공적으로 지식 그래프에 융합되었으며, 전체 암호화가 발생하기 이전에 악성 활동 탐지를 유도했다.
• 분석가의 인지 부담을 줄이기 위해, 분산된 이벤트들을 통합하고 작동 가능한 지능 정보로 변환하는 의미론적으로 풍부한 통합 대시보드를 제공함으로써 시스템이 기여했다.
• 지식 그래프를 통해 공격 의미론에 대한 추론이 가능해져, 서명이 확보되지 않은 상태에서도 알려진 공격 체인과 일치하는 행동 패턴을 인식함으로써 공격 탐지가 가능했다.
• 사이버 칼체인의 '공격 이전' 단계, 특히 정찰 및 초기 접근 단계에서 공격을 탐지할 수 있는 가능성을 입증하였다.