[논문 리뷰] On Preempting Advanced Persistent Threats Using Probabilistic Graphical Models

Phuong Cao|arXiv (Cornell University)|2019. 03. 21.

Network Security and Intrusion Detection참고 문헌 97인용 수 5

한 줄 요약

PULSAR는 역사적 APT 데이터에서 공격 패턴을 학습하고 실시간 공격 진행 상황을 추론함으로써 사전에 고도화된 지속적 위협(APTs)을 탐지하고 차단하는 확률적 그래픽 모델(Factor Graph 기반) 프레임워크이다. 생산 환경에서 평균 결정 시간이 1초이며, 데이터 유출 이전에 APT를 91.7%의 정확도로 식별하고, 시스템 무결성 침해 이전에 알려지지 않은 APT의 80%를 차단한다.

ABSTRACT

This paper presents PULSAR, a framework for pre-empting Advanced Persistent Threats (APTs). PULSAR employs a probabilistic graphical model (specifically a Factor Graph) to infer the time evolution of an attack based on observed security events at runtime. PULSAR (i) learns the statistical significance of patterns of events from past attacks; (ii) composes these patterns into FGs to capture the progression of the attack; and (iii) decides on preemptive actions. PULSAR's accuracy and its performance are evaluated in three experiments at SystemX: (i) a study with a dataset containing 120 successful APTs over the past 10 years (PULSAR accurately identifies 91.7%); (ii) replaying of a set of ten unseen APTs (PULSAR stops 8 out of 10 replayed attacks before system integrity violation, and all ten before data exfiltration); and (iii) a production deployment of PULSAR (during a month-long deployment, PULSAR took an average of one second to make a decision).

연구 동기 및 목표

• 낮고 느린, 다단계 공격 패턴을 가진 고도화된 지속적 위협(APTs)이 기존 탐지 기법을 회피하는 문제를 해결하기 위해.
• 휴리스틱 또는 이상치 기반 규칙 대신 실제 APT에서 유래한 이벤트 패턴의 통계적 유의성을 활용하여 APT 탐지의 거짓 경고 비율을 감소시키기 위해.
• 최소한의 성능 오버헤드로 대규모 생산 환경에서 실시간이고 확장 가능한 추론을 가능하게 하기 위해.
• 역사적 데이터에서 조합적이고 통계적으로 유의미한 공격 패턴을 학습함으로써 알려지지 않은 APT로의 일반화를 가능하게 하기 위해.
• 시간적 및 조건부 이벤트 의존성의 확률적 모델링을 통해 공격 진행 상황에 대한 해석 가능하고 실행 가능한 통찰을 제공하기 위해.

제안 방법

• PULSAR는 보안 이벤트 시퀀스와 공격 단계 간의 조건부 의존성을 인코딩하는 Factor Graphs(FGs)를 사용하여 APT 진행 상황을 모델링한다.
• 실제 120宗의 APT에서 이벤트 패턴의 통계적 유의성을 학습하며, 99.7%의 애너테이션을 자동으로 생성하여 수동 레이블링 작업을 크게 줄였다.
• 학습된 패턴을 조합하여 시간에 따라 진화하는 공격을 포괄하는 확률적 그래픽 모델을 구성하였으며, 인과적 순서를 가정하지 않았다.
• 실시간 추론은 고속도의 이벤트 스트림(예: 일일 94,000건)을 초당 약 1,900건의 유의미한 이벤트로 필터링하여 저지연 시간 결정을 가능하게 한다.
• 모델이 중요한 단계(예: 데이터 유출 또는 루트킷 설치)로의 진행 가능성이 높다고 추론될 경우 공격 사전 차단가 발동된다.
• 모델은 10년간의 종단 간 실생산 트래픽 데이터를 기반으로 훈련되었으며, 배경 노이즈가 있는 실시간 트래픽에 주입된 알려지지 않은 APT로 검증되었다.

실험 결과

연구 질문

• RQ1 확률적 그래픽 모델이 실제 공격 데이터에서 최소한의 수동 레이블링으로 APT 진행 상황을 효과적으로 학습하고 예측할 수 있는가?
• RQ2 이러한 모델이 훈련 데이터와 공격 벡터나 패킷이 다른 알려지지 않은 APT에 대해 얼마나 잘 일반화되는가?
• RQ3 고속도, 실제 생산 환경에서의 대규모 이벤트 스트림에서 낮은 거짓 경고 비율을 유지하면서도 높은 탐지 정확도를 확보할 수 있는가?
• RQ4 배경 노이즈가 높고 대규모 실시간 이벤트 워크로드에서 모델의 추론 성능가 어떻게 스케일링되는가?
• RQ5 모델이 중요한 공격 단계(예: 데이터 유출 또는 시스템 손상)가 발생하기 이전에 사전 차단 조치를 가능하게 할 수 있는가?

주요 결과

• PULSAR는 10년간의 120개 실제 APT 데이터셋에서 기존에 알려지지 않은 60개 APT를 데이터 유출 이전에 91.7%의 정확도로 식별하였다.
• IBM 위협 지능 인덱스의 상위 기법을 기반으로 한 10개의 알려지지 않은 APT 테스트에서, PULSAR는 시스템 무결성 침해 이전에 8개를 차단했으며, 데이터 유출 이전에 모두 10개를 차단하였다.
• SystemX에서의 한 달간의 생산 환경 배포 기간 동안, PULSAR는 일일 평균 94,238건의 이벤트를 처리했으며, 평균적으로 각 이벤트에 대해 1초 이내의 결정을 내렸다.
• 프레임워크는 일일 평균 1,885건의 유의미한 이벤트로 이벤트 스트림을 압축하여 효과적인 필터링과 확장성의 가능성을 입증하였다.
• 자동 애너테이션 패턴(전체 데이터의 99.7%)을 사용함으로써 레이블링 부담을 크게 감소시켰고, 높은 탐지 성능를 유지하였다.
• 과거 공격에서 공통적으로 발생한 12~30개의 이벤트로만 APT를 성공적으로 탐지함으로써, 제한된 겹침이 있음에도 불구하고 새로운 공격 패턴으로의 강력한 일반화 능력을 입증하였다.