[논문 리뷰] Research Directions in Cyber Threat Intelligence

Stjepan Groš|arXiv (Cornell University)|2020. 01. 18.

Advanced Malware Detection Techniques참고 문헌 11인용 수 4

한 줄 요약

이 논문은 지능 융합, 상황 인식, 지식 관리와 같이 성숙한 분야에서 유래한 기존의 방법론을 활용하여 사이버 위협 지능(Cyber Threat Intelligence, CTI) 연구를 가속화하고자 한다. 이러한 시간이 검증된 분야와 CTI 프로세스를 대응시킴으로써, 지식과 프레임워크를 교차 분야에서 재사용함으로써 더 빠르고 효과적인 위협 지능 개발을 가능하게 하는 실천 가능한 연구 방향을 규명한다.

ABSTRACT

Cyber threat intelligence is a relatively new field that has grown from two distinct fields, cyber security and intelligence. As such, it draws knowledge from and mixes the two fields. Yet, looking into current scientific research on cyber threat intelligence research, it is relatively scarce, which opens up a lot of opportunities. In this paper we define what cyber threat intelligence is, briefly review some aspects for cyber threat intelligence. Then, we analyze existing research fields that are much older that cyber threat intelligence but related to it. This opens up an opportunity to draw knowledge and methods from those older field, and in that way advance cyber threat intelligence much faster than it would by following its own path. With such an approach we effectively give a research directions for CTI.

연구 동기 및 목표

• 사이버 위협 지능(Cyber Threat Intelligence, CTI) 연구의 초기 단계에 대비하여, 이전에 잘 활용되지 않았지만 성숙한 연구 분야에서 이식 가능한 방법론을 식별하고자 한다.
• 새로운 프레임워크를 처음부터 개발하는 대신 관련 분야에서 검증된 틀을 재사용함으로써 CTI의 진전까지의 시간을 단축하고자 한다.
• 지능 융합, 지식 관리, 인지 컴퓨팅과 같은 오랜 역사를 지닌 분야와 연계함으로써 CTI에 체계적인 연구 로드맵을 제공하고자 한다.
• 상황 인식 및 불확실성 추론 원리를 통합함으로써 CTI의 의사결정 능력을 향상시키고자 한다.
• CTI 프로세스를 기존에 잘 연구된 분야와 대응시킴으로써 상호 개념적 기반을 공유하는 분야와의 교차 분야 혁신을 촉진하고자 한다.

제안 방법

• CTI의 핵심 구성요소인 데이터 수집, 정보 융합, 지식 생성, 의사결정 지원를 성숙한 연구 분야의 유사 과정과 대응시킨다.
• 다양한 출처의 사이버 위협 데이터를 통합하여 실질적인 인사이트로 이어지는 기초 틀로 지능 융합(DIF)을 분석한다.
• 실시간으로 사이버 위협의 인지, 이해, 전망을 모델링하기 위해 상황 인식(SAW) 이론을 적용한다.
• 조직 간 및 장기적으로 지속되는 지식 공유를 가능하게 하기 위해 지식 관리(KM) 원리를 통합한다.
• 불확실성 하에서의 추론을 모델링하고 위협 예측 정확도를 향상시키기 위해 인지 컴퓨팅 및 의사결정 이론을 활용한다.
• 지능 및 시스템 공학 분야의 기존 모델인 OODA 루프, 워터폴 모델, 옴니버스 모델과 비교 분석하여 CTI 프로세스를 정렬한다.

실험 결과

연구 질문

• RQ1 지능 융합 및 지식 관리와 같은 성숙한 연구 분야는 어떻게 사이버 위협 지능의 개발을 가속화하는 데 활용될 수 있는가?
• RQ2 비즈니스 인텔리전스 및 경쟁 인텔리전스와 같은 전통적 인텔리전스 분야와 사이버 위협 지능 간의 공통점은 무엇인가?
• RQ3 상황 인식 프레임워크는 어떻게 다이나믹한 환경에서 사이버 위협의 인지 및 예측을 향상시킬 수 있는가?
• RQ4 불확실성 관리 및 의사결정 이론은 CTI 출력의 신뢰성과 실행 가능성에 어떻게 기여할 수 있는가?
• RQ5 현재 CTI의 데이터 통합, 지식 표현, 운영 활용에 한계가 존재하는 바, 어떤 구체적인 방법론이 성숙한 분야에서 이식 가능하게 적용될 수 있는가?

주요 결과

• 사이버 위협 지능은 아직 초기 개발 단계에 있으며, 기초 연구가 제한되어 있어 교차 분야 지식 이관의 강력한 기회를 제공한다.
• 지능 융합(DIF)은 다양한 출처의 사이버 위협 데이터를 통합하여 일관되고 실천 가능한 지능으로 변환하는 성숙한 프레임워크를 제공하며, CTI 파이프라인에 직접 적용 가능하다.
• 상황 인식 모델은 위협 인지, 이해, 전망의 구조를 검증된 방식으로 제공하여 CTI의 위협 사전 예측 목표와 밀접하게 부합한다.
• 지식 관리 관행은 조직 간 및 장기적으로 전문가의 위협 지식를 체계적으로 캡처하고 공유함으로써 CTI의 성능을 크게 향상시킨다.
• 인지 컴퓨팅 및 불확실성 추론 기법은 모호하거나 불완전한 위협 데이터를 처리하는 데 CTI의 의사결정 지원 품질을 향상시키는 데 기여할 수 있다.
• 의사결정 이론, 온톨로지 엔지니어링, 빅데이터 분석과 같은 성숙한 분야의 통합은 CTI가 현재의 전술적·기술적 초점을 넘어선 발전을 이룰 수 있는 실현 가능한 길을 제공한다.