[논문 리뷰] Detecting cyber threats through social network analysis: short survey

Lyudmyla Kirichenko, Тамара Радівілова외 1명|arXiv (Cornell University)|2018. 05. 17.

Complex Network Analysis Techniques참고 문헌 31인용 수 7

한 줄 요약

이 논문은 사이버 위협을 탐지하기 위한 사회적 네트워크 분석(SNA) 기법을 조사하며, 그래프 이론과 데이터 마이닝 기법을 활용하여 내부자 위협, 명령 및 통제 네트워크, 그리고 공조된 공격과 같은 악성 활동을 식별하는 데 중점을 둔다. 커뮤니티 탐지, 리더 식별, 텍스트 군집화를 통해 이 접근법은 사이버 네트워크에서 조기 위협 탐지를 가능하게 하며, 실제 사례에서 효과가 입증되었다.

ABSTRACT

This article considers a short survey of basic methods of social networks analysis, which are used for detecting cyber threats. The main types of social network threats are presented. Basic methods of graph theory and data mining, that deals with social networks analysis are described. Typical security tasks of social network analysis, such as community detection in network, detection of leaders in communities, detection experts in networks, clustering text information and others are considered.

연구 동기 및 목표

• 디지털 네트워크 전반에서 사이버 위협을 식별하고 완화하는 데 사회적 네트워크 분석의 적용을 탐색하는 것.
• 그래프 이론과 데이터 마이닝이 사회적 및 통신 네트워크 내 사이버 위협 패턴을 모델링하고 분석하는 데 수행하는 역할을 검토하는 것.
• 기존의 서명 기반 탐지 방법으로는 회피하는 공조 또는 은밀한 사이버 위협을 탐지하는 데 도전하는 문제를 다루는 것.
• 커뮤니티 탐지 및 전문가 식별과 같은 SNA 기법의 효과성을 평가하여 사이버 위협 지능을 향상시키는 것.
• 복잡한 네트워크 환경에서 실시간 사이버 위협 탐지에 활용 가능한 SNA 기반 솔루션의 종합적 개요를 제공하는 것.

제안 방법

• 사이버 네트워크를 노드(엔티티)와 에지(상호작용)로 모델링하기 위해 그래프 이론을 활용하여 통신 패턴의 구조적 분석을 가능하게 한다.
• 네트워크 그래프 내 이상 현상, 커뮤니티, 영향력 있는 노드를 탐지하기 위해 데이터 마이닝 기법을 적용한다.
• 네트워크 트래픽 내 악성 활동의 은밀한 그룹 또는 클러스터를 밝혀내기 위해 커뮤니티 탐지 알고리즘을 활용한다.
• 커뮤니티 내 중심적 또는 영향력 있는 인물(예: 명령 노드 또는 핵심 위협 행위자)을 식별하기 위해 리더 및 전문가 식별 방법을 사용한다.
• 메타데이터와 통신 내용을 분석하기 위해 텍스트 군집화 기법을 통합하여 위협의 의미적 지표를 탐지한다.
• 구조적 분석과 의미적 분석을 통합하여 사이버 위협 식별의 정확도를 향상시키고, 기존의 거짓 경고율을 낮춘다.

실험 결과

연구 질문

• RQ1 사회적 네트워크 분석 기법은 대규모 디지털 네트워크에서 사이버 위협을 효과적으로 탐지하는 데 어떻게 적용될 수 있는가?
• RQ2 커뮤니티 구조와 노드 중심성은 공조된 사이버 공격을 식별하는 데 어떤 역할을 하는가?
• RQ3 네트워크 내 리더 및 전문가 식별은 숨겨진 위협 행위자 또는 명령 체계를 드러내는 데 어떤 방식으로 기여하는가?
• RQ4 텍스트 군집화를 네트워크 구조와 통합함으로써 위협 탐지 정확도는 어떻게 향상되는가?
• RQ5 기존의 서명 기반 탐지 방법에 비해 SNA 기반 접근법은 제로데이 또는 고도로 발전한 지속적 위협을 식별하는 데 어떤 한계를 지닌다?

주요 결과

• 사회적 네트워크 분석은 사이버 네트워크 내 은밀한 커뮤니티와 영향력 있는 노드를 효과적으로 식별하여 공조된 공격의 조기 탐지를 가능하게 한다.
• 커뮤니티 탐지 알고리즘은 통신 패턴과 상호작용 빈도를 분석하여 이전에 알려지지 않은 악성 그룹을 성공적으로 밝혀낸다.
• 리더 및 전문가 식별 방법은 네트워크 내 중심적 행위자를 정확히 특정하며, 일반적으로 명령 및 통제 노드 또는 핵심 내부자에 해당한다.
• 텍스트 군집화와 네트워크 구조를 통합함으로써 통신 내 의미적 위협의 식별이 향상되어 탐지 민감도가 증가한다.
• 그래프 기반 및 콘텐츠 기반 분석의 통합은 기존의 서명 기반 탐지 시스템에 비해 거짓 경고율을 낮춘다.
• 이 방법은 고도로 발전한 지속적 위협과 내부자 위협에 특히 효과적이므로 실제 사이버 위협 탐지에 강력한 적용 가능성을 보여준다.