[논문 리뷰] Taxonomy driven indicator scoring in MISP threat intelligence platforms

Sami Mokaddem, Gérard Wagener외 2명|arXiv (Cornell University)|2019. 02. 08.

Network Security and Intrusion Detection참고 문헌 16인용 수 12

한 줄 요약

이 논문은 MISP 위협 지능 플랫폼에서 위협 지능 지표(IoC)의 신뢰성과 관련성 향상을 위해 고도로 분류된, 시간에 따라 감쇠하는 스코어링 모델을 제안한다. 소스 신뢰도, 피드백, 시간 기반 감쇠(τ=120시간, δ≈1.3)를 조합하여 동적 스코어링을 가능하게 하여 최신이고 신뢰할 수 있는 IoC를 우선순위에 올린다. 시뮬레이션을 통해 이 모델은 일시적인 피싱 URL의 60%를 정확히 걸러내는 것으로 입증되었다.

ABSTRACT

IT security community is recently facing a change of trend from closed to open working groups and from restrictive information to full information disclosure and sharing. One major feature for this trend change is the number of incidents and various Indicators of compromise (IoC) that appear on a daily base, which can only be faced and solved in a collaborative way. Sharing information is key to stay on top of the threats. To cover the needs of having a medium for information sharing, different initiatives were taken such as the Open Source Threat Intelligence and Sharing Platform called MISP. At current state, this sharing and collection platform has become far more than a malware information sharing platform. It includes all kind of IoCs, malware and vulnerabilities, but also financial threat or fraud information. Hence, the volume of information is increasing and evolving. In this paper we present implemented distributed data interaction methods for MISP followed by a generic scoring model for decaying information that is shared within MISP communities. As the MISP community members do not have the same objectives, use cases and implementations of the scoring model are discussed. A commonly encountered use case in practice is the detection of indicators of compromise in operational networks.

연구 동기 및 목표

• MISP 내 분산형 피어 투 피어 위협 지능 공유 환경에서의 신뢰성과 신선도 문제를 해결한다.
• 신뢰도와 시간 민감도 기반으로 IoC 스코어링을 통해 침입 탐지 시스템(IPS)의 의사결정을 향상시킨다.
• MISP의 데이터 상호작용 프레임워크에서 유래한 다수의 운영 파rameter를 통합하는 일반적이고 확장 가능한 스코어링 모델을 개발한다.
• IDS 규칙 세트와 같은 자원 제약 환경에서 IoC의 우선순위를 정할 수 있도록 한다.
• 공동체 기반의 위협 공유를 지원하며, 공유된 지표에 대한 정량적 신뢰도 메트릭을 제공한다.

제안 방법

• MISP의 47개가 존재하는 분류체계에서 유래한 소스 신뢰도와 분류 기반 신뢰도를 바탕으로 기본 스코어를 정의한다.
• IoC 감쇠를 거듭제곱 법칙 함수로 모델링한다: score = base_score × (1 - (t/τ)^(1/δ)), 여기서 t는 생성 후 경과 시간이다.
• 실증적 누적분포함수(CDF) 분 析를 통해 τ(반감기)를 120시간(5일)으로 추정한다.
• t=72시간(3일)에서 50%의 IoC가 더 이상 유효하지 않음을 고려해 δ(감쇠율)를 약 ≈1.3로 유도한다.
• IDS 및 인간 분석가의 피드백(예: 잘못된 경고, 만료)을 스코어링 파이프라인에 통합한다.
• 2개월 동안의 시뮬레이션 기반으로 스코어링 모델을 사용해 IDS 규칙 로딩을 시뮬레이션하여 정확도를 평가한다.

실험 결과

연구 질문

• RQ1 분산형 위협 지능 플랫폼인 MISP에서 IoC의 관련성을 정량적으로 평가할 수 있는 방법은 무엇인가?
• RQ2 피싱 URL과 같은 IoC의 실제 만료 패턴을 가장 잘 반영하는 시간 기반 감쇠 모델은 무엇인가?
• RQ3 소스의 신뢰도와 소비자로부터의 피드백을 통합하는 유일한 스코어링 메커니즘은 어떻게 설계할 수 있는가?
• RQ4 스코어링 모델이 대역폭 또는 메모리 제약이 있는 환경에서 IDS 규칙 선택에 얼마나 기여할 수 있는가?
• RQ5 공유된 IoC의 신뢰성과 신선도에 영향을 주는 주요 운영 파rameter는 무엇인가?

주요 결과

• 대부분의 IoC(≈90%)가 5일 이내에 만료되며, 이는 IoC 수명 주기를 위한 τ = 120시간의 강력한 추정치를 뒷받침한다.
• 72시간(3일)에 이르러 50%의 IoC가 더 이상 유효하지 않으며, 이에 따라 거듭제곱 법칙 모델에 최적의 감쇠율 δ ≈ 1.3을 도출할 수 있다.
• 2개월 시뮬레이션 기간 동안 스코어링 모델은 일시적인 피싱 URL의 60%를 정확히 걸러내는 것으로 입증되었으며, 오래된 규칙 로딩을 크게 줄였다.
• 약 40%의 IoC가 조기에 제거되었으며, 이는 재현율과 신선도 사이의 트레이드오프를 관리하는 데 모델이 기여하고 있음을 시사한다.
• 모델은 IDS가 고신뢰도이자 시간 민감도가 높은 IoC를 우선순위에 올려 탐지 정확도를 향상시키고 시스템 자원을 절약할 수 있도록 한다.
• MISP 운영 환경에서의 실증적 데이터는 시간 감쇠 및 피드백 기반 스코어링 접근법의 타당성을 뒷받침한다.