[논문 리뷰] Toward Intelligent Autonomous Agents for Cyber Defense: Report of the 2017 Workshop by the North Atlantic Treaty Organization (NATO) Research Group IST-152-RTG

Alexander Kott, Ryan W. Thomas외 19명|arXiv (Cornell University)|2018. 04. 20.

Network Security and Intrusion Detection참고 문헌 47인용 수 7

한 줄 요약

이 논문은 복잡한 네트워크 환경에서 고도로 자율적이고 자기학습 능력 및 적응 능력을 갖춘 지능형 자율 에이전트를 위한 종합적인 프레임워크를 제시한다. 에이전트는 실시간으로 위협을 탐지하고 대응하며 경험에서 학습하고 인간과 협력하며 엄격한 설계 원칙을 통해 해로운 행동을 방지하도록 설계되었으며, 시뮬레이션 환경에서의 운영 잠재력을 보여주는 사례 연구가 수반되어 있다.

ABSTRACT

This report summarizes the discussions and findings of the Workshop on Intelligent Autonomous Agents for Cyber Defence and Resilience organized by the NATO research group IST-152-RTG. The workshop was held in Prague, Czech Republic, on 18-20 October 2017. There is a growing recognition that future cyber defense should involve extensive use of partially autonomous agents that actively patrol the friendly network, and detect and react to hostile activities rapidly (far faster than human reaction time), before the hostile malware is able to inflict major damage, evade friendly agents, or destroy friendly agents. This requires cyber-defense agents with a significant degree of intelligence, autonomy, self-learning, and adaptability. The report focuses on the following questions: In what computing and tactical environments would such an agent operate? What data would be available for the agent to observe or ingest? What actions would the agent be able to take? How would such an agent plan a complex course of actions? Would the agent learn from its experiences, and how? How would the agent collaborate with humans? How can we ensure that the agent will not take undesirable destructive actions? Is it possible to help envision such an agent with a simple example?

연구 동기 및 목표

• 지능형 자율 사이버 방어 에이전트가 효과적으로 기능할 수 있는 운영 및 전술 환경를 정의하기 위해.
• 동적 네트워크 환경에서 에이전트의 관찰 및 의사결정에 사용 가능한 데이터 소스를 특정하기 위해.
• 사이버 위협에 대응하기 위해 이러한 에이전트가 자율적으로 수행할 수 있는 행동 범위를 규명하기 위해.
• 진화하는 사이버 위협에 대응하기 위한 복잡하고 적응형 응답 전략을 계획하기 위한 프레임워크를 개발하기 위해.
• 설계 및 검증 메커니즘을 통해 의도하지 않은 또는 파괴적인 행동을 방지하기 위해 에이전트의 안전성을 확보하기 위해.

제안 방법

• 저자들은 NATO 및 연합 기관의 전문가들을 대상으로 구조화된 워크숍을 실시하여 에이전트의 능력과 제약 조건을 탐색하였다.
• 클라우드, 엣지, 온프리미스 시스템을 포함한 이질적 컴퓨팅 환경에서의 에이전트 운영을 정의하였다.
• 에이전트는 실시간 텔레메트리, 네트워크 트래픽, 시스템 로그 및 위협 지능 피드를 수신하도록 설계되었다.
• 행동 계획은 규칙 기반 논리와 기계 학습을 융합한 적응형 의사결정 모델에 기반한다.
• 자율성과 인간의 감시를 균형 잡기 위해 협업 상호작용 프로토콜과 해석 가능한 인공지능 구성 요소를 통합하였다.
• 형식적 검증, 행동 제약 조건 및 런타임 모니터링을 통해 해로운 행동을 방지하기 위해 안전성을 확보하였다.

실험 결과

연구 질문

• RQ1 지능형 자율 사이버 방어 에이전트는 어떤 컴퓨팅 및 전술 환경에서 운영될 수 있는가?
• RQ2 실시간으로 관찰하거나 수신할 수 있는 데이터 소스는 무엇인가?
• RQ3 어떤 유형의 행동을 자율적으로 수행하여 사이버 위협에 대응할 수 있는가?
• RQ4 에이전트는 어떻게 복잡하고 적응형 응답 전략을 계획하고 실행할 수 있는가?
• RQ5 경험에서 학습하면서도 의도하지 않은 또는 파괴적인 행동을 수행하지 않도록 보장하는 방법은 무엇인가?

주요 결과

• 워크숍에서는 자율 에이전트가 광범위한 커버리지와 반응성을 확보하기 위해 클라우드, 엣지, 온프리미스 시스템을 포함한 하이브리드 환경에서 운영되어야 한다고 규명되었다.
• 정확한 상황 인식을 가능하게 하기 위해 네트워크 트래픽, 시스템 로그 및 실시간 위협 지능과 같은 다양한 데이터 스트림에 대한 액세스가 에이전트에게 필수적이다.
• 효과적인 에이전트 행동 계획을 위해서는 규칙 기반 논리와 적응형 기계 학습의 융합이 필요하며, 이는 최소한의 인간 간섭으로도 진화하는 위협에 대응할 수 있도록 해준다.
• 인간-에이전트 협업은 필수적이며, 에이전트는 실시간 인사이트와 권고를 제공하면서도 고위험 행동에 대해서는 인간의 승인을 유지하는 인간-중심의 의사결정을 수행해야 한다.
• 형식적 검증 및 런타임 모니터링을 포함한 안전 메커니즘은 에이전트가 의도하지 않은 또는 파괴적인 행동을 수행하는 것을 방지하기 위해 매우 중요하다.
• 사례 연구를 통해 단순한 자율 에이전트가 시뮬레이션된 네트워크 환경에서 악성코드 확산을 신속하게 탐지하고 대응할 수 있음을 입증하였다.