[논문 리뷰] Prospective Artificial Intelligence Approaches for Active Cyber Defence

Neil Dhir, Henrique Hoeltgebaum외 4명|arXiv (Cornell University)|2021. 04. 20.

Advanced Malware Detection Techniques참고 문헌 21인용 수 23

한 줄 요약

이 논문은 강화학습(RL)과 인과적 추론을 액티브 사이버 방어(ACD)에 통합하여 실시간으로 적응하고 자율적이며 강건한 AI 기반 사이버 방어 시스템을 구축하는 것을 제안한다. 사이버 위협을 인과 그래픽 모델에서의 동적이고 간섭 기반의 과정으로 모델링하고 RL을 전략적 방어 조치에 사용함으로써, 실시간 위협 탐지, 완화 및 피드백 기반 학습이 가능해져, AI 기반 공격에 대한 대응의 적응성과 내성 능력이 크게 향상된다.

ABSTRACT

Cybercriminals are rapidly developing new malicious tools that leverage artificial intelligence (AI) to enable new classes of adaptive and stealthy attacks. New defensive methods need to be developed to counter these threats. Some cybersecurity professionals are speculating AI will enable corresponding new classes of active cyber defence measures -- is this realistic, or currently mostly hype? The Alan Turing Institute, with expert guidance from the UK National Cyber Security Centre and Defence Science Technology Laboratory, published a research roadmap for AI for ACD last year. This position paper updates the roadmap for two of the most promising AI approaches -- reinforcement learning and causal inference - and describes why they could help tip the balance back towards defenders.

연구 동기 및 목표

• 반응형 사이버 방어와 점점 더 적응적으로 변화하는 AI 기반 사이버 공격 간의 증가하는 비대칭성 문제를 해결한다.
• 실시간 위협 탐지와 적응형 대응이 가능한 자율적이고 AI 강화된 사이버 방어 시스템을 개발한다.
• 강화학습과 인과적 추론을 활용하여 기업 네트워크 내에서 복잡하고 변화하는 공격 패tern을 모델링하고 완화한다.
• AI 기반 방어 전략을 훈련하고 평가하기 위해 현실적이고 추상화된 기업 네트워크 시나리오를 위한 시뮬레이션 프레임워크를 구축한다.
• 위협 탐지와 완화 간의 피드백 루프를 통합하여 지속적인 학습과 시간이 지남에 따라 향상된 탐지 정확도를 가능하게 한다.

제안 방법

• 기본적으로 추상화된 동적 사이버 위협 시나리오를 갖춘 기업 네트워크 환경을 시뮬레이션 기반 프레임워크로 모델링한다.
• 강화학습(RL)을 적용하여 시뮬레이션된 네트워크 환경과의 시험·오류 상호작용을 통해 최적의 방어 조치를 학습하는 에이전트를 훈련시킨다.
• 공격 역학을 인과 그래픽 모델(CGMs)을 사용해 간섭(예: 횡단 이동, 데이터 유출)과 그 인과적 의존성 구조를 표현한다.
• 시간 색인을 가진 동적 베이지안 네트워크를 구현하여 시간이 지남에 따라 변화하는 위협 행동과 간섭을 표현한다.
• 인과 모델 내에서 관측된 위협 징후(IOCs)를 활용해 위협 탐지를 시간적 시리즈 분류 문제로 구현한다.
• 완화 간섭이 향후 위협 탐지에 영향을 주고 향상시키는 피드백 루프를 설계하여, 폐쇄형 루프 기반의 적응형 사이버 방어를 실현한다.

실험 결과

연구 질문

• RQ1 강화학습은 어떻게 복잡하고 동적인 네트워크 환경에서 액티브 사이버 방어 전략의 자동화와 최적화에 효과적으로 적용될 수 있는가?
• RQ2 인과적 추론은 사이버 공격 행동과 관측된 징후 간의 인과적 관계를 모델링함으로써 위협 탐지 능력을 어떻게 향상시킬 수 있는가?
• RQ3 직접적 간섭, 혼동 요인, 순차적 의존성과 같은 다양한 인과적 구조는 AI 기반 사이버 방어 시스템의 설계와 성능에 어떤 영향을 미치는가?
• RQ4 위협 탐지와 완화 간의 피드백 루프는 시간이 지남에 따라 AI 기반 사이버 방어의 정확도와 적응성을 어떻게 향상시킬 수 있는가?
• RQ5 실제 사이버 위협을 보존된 핵심 역학을 유지하는 추상화된 시뮬레이션 기반 환경으로 모델링할 때의 주요 과제는 무엇인가?

주요 결과

• 강화학습은 시뮬레이션된 네트워크 환경과의 상호작용을 통해 최적의 전략을 학습하는 자율적 방어 에이전트 개발을 가능하게 하여 대응의 적응성을 향상시킨다.
• 인과적 추론 모델은 횡단 이동이나 데이터 유출 등의 사이버 공격의 인과적 구조를 핵심 간섭 지점과 의존성 관계를 식별함으로써 효과적으로 표현한다.
• 인과 모델과 시간 색인을 가진 동적 베이지안 네트워크를 통합함으로써 변화하는 공격 행동과 간섭 순서를 정확하게 모델링할 수 있다.
• 인과적 추론을 활용한 위협 탐지는 정방향 및 역방향 추론(스무딩)을 모두 활용함으로써 시간적 IOCs 기반으로 정상 활동과 악성 활동을 더 정확하게 분류할 수 있다.
• 완화 조치에서 유도된 피드백은 향후 위협 탐지 능력을 향상시켜 지속적으로 정확도와 대응 전략을 개선하는 폐쇄형 루프 시스템을 구현한다.
• 강화학습과 인과적 추론을 융합한 인과 강화학습을 통해 AI 기반의 지능적이고 적응적이며 강건한 사이버 방어 시스템을 개발할 수 있으며, 이는 AI 기반 공격에 대응하는 데 유망한 길이 된다.