[논문 리뷰] Use of Graph Neural Networks in Aiding Defensive Cyber Operations

Shaswata Mitra, Trisha Chakraborty외 3명|arXiv (Cornell University)|2024. 01. 11.

Information and Cyber Security인용 수 4

한 줄 요약

이 논문은 락커포드 마틴 사이버 킬 체인의 각 단계를 방해함으로써 방어적 사이버 운영을 향상시키기 위해 그래프 신경망(GNNs)을 사용할 것을 제안한다. GNNs는 그래프 구조의 사이버 위협 데이터를 분석하여 패턴을 탐지하고 악성 행위를 예측하며 공격 라이프사이클 전반에서 탐지 및 대응 능력을 향상시킨다. 이는 지능형 사이버 방어를 위한 혁신적이고 종합적인 프레임워크를 제공하며, 연구의 미해결 과제와 향후 방향성을 밝히고 있다.

ABSTRACT

In an increasingly interconnected world, where information is the lifeblood of modern society, regular cyber-attacks sabotage the confidentiality, integrity, and availability of digital systems and information. Additionally, cyber-attacks differ depending on the objective and evolve rapidly to disguise defensive systems. However, a typical cyber-attack demonstrates a series of stages from attack initiation to final resolution, called an attack life cycle. These diverse characteristics and the relentless evolution of cyber attacks have led cyber defense to adopt modern approaches like Machine Learning to bolster defensive measures and break the attack life cycle. Among the adopted ML approaches, Graph Neural Networks have emerged as a promising approach for enhancing the effectiveness of defensive measures due to their ability to process and learn from heterogeneous cyber threat data. In this paper, we look into the application of GNNs in aiding to break each stage of one of the most renowned attack life cycles, the Lockheed Martin Cyber Kill Chain. We address each phase of CKC and discuss how GNNs contribute to preparing and preventing an attack from a defensive standpoint. Furthermore, We also discuss open research areas and further improvement scopes.

연구 동기 및 목표

• 기존의 서명 기반 탐지 방법으로는 회피되는 점점 더 복잡하고 진화하는 사이버 공격에 대응하기 위해.
• 복잡하고 상호연결된 사이버 위협 데이터를 모델링함으로써 방어적 운영을 향상시키기 위해 그래프 신경망(GNNs)의 잠재력을 조사하기 위해.
• 사이버 킬 체인의 모든 단계에 걸쳐 GNN 응용을 맵핑하여 체계적이고 라이프사이클 기반의 방어 프레임워크를 제공하기 위해.
• GNN 도입 시 발생하는 데이터 통합, 프라이버시, 모델 일반화 등의 문제를 특정하기 위해.
• 지식 공유와 공동 학습을 통해 GNN 기반 사이버 방어 시스템을 발전시키기 위한 향후 연구 방향을 제시하기 위해.

제안 방법

• 엔티티(예: 시스템, 사용자, IP 주소)와 그 상호작용(예: 네트워크 트래픽, 파일 액세스)을 표현하는 이질적 그래프로 사이버 위협 데이터를 모델링하기 위해.
• 메시지 전달 메커니즘을 통해 이웃 정보를 집계함으로써 노드 및 그래프 수준의 표현을 학습하기 위해 GNNs를 적용하기 위해.
• 그래프 구조나 노드 임베딩에서의 이심을 식별함으로써 악성 행동의 징후로 삼아 이상 탐지에 GNNs를 활용하기 위해.
• 다양한 데이터 소스에서 온 컨텍스트적이고 관계 기반의 통찰을 강화하기 위해 위협 지능 플랫폼에 GNNs를 통합하기 위해.
• 개인정보 보호를 유지하면서도 지식 공유를 가능하게 하기 위해 피어드 및 전이 학습 기법을 탐색하기 위해.
• 가짜 데이터 탐지 및 그래프 구조의 왜곡 방지 기법을 활용하여 공유된 위협 지능의 신뢰성 향상에 GNNs를 활용하기 위해.

Figure 1 . Illustration of GNN aggregate and update functions. The nodes $v$ of input graph $G$ is aggregates the embeddings $h_{u}^{(k)}$ over $k$ iteration from the neighbourhood $\mathcal{N}(v)$ . Then, the node embedding of node $v$ is updated which is denoted by $a_{v}$ . The final updated node

실험 결과

연구 질문

• RQ1 그래프 신경망(GNNs)은 사이버 킬 체인의 각 단계를 효과적으로 탐지하고 방해하기 위해 어떻게 적용될 수 있는가?
• RQ2 복잡한 사이버 위협 관계를 모델링할 때 기존의 머신러닝 및 규칙 기반 방법에 비해 GNNs의 핵심적 이점은 무엇인가?
• RQ3 데이터 프라이버시와 무결성을 유지하면서도 실시간으로 위협 지능을 공유하는 데 GNNs는 어떻게 기여할 수 있는가?
• RQ4 대규모 방어적 사이버 운영에 GNNs를 구현할 때 발생하는 주요 기술적 및 운영적 과제는 무엇인가?
• RQ5 GNN 기반 사이버 방어 시스템의 강건성, 일반화 능력 및 확장성을 향상시키기 위한 향후 연구 방향은 무엇인가?

주요 결과

• GNNs는 사이버 위협 데이터의 관계적이고 계층적인 성격을 효과적으로 모델링하여 기존 방법으로는 탐지하기 어려운 미세한 공격 패tern을 탐지할 수 있다.
• GNNs는 시스템 상호작용의 그래프 구조적 특성을 학습함으로써 초기 정찰부터 데이터 유출에 이르기까지 사이버 킬 체인의 모든 단계에서 탐지 능력을 향상시킨다.
• 피어드 학습과 그래프 기반 벤치마크를 통해 GNN 모델 간의 지식 공유가 가능해져 공동 위협 탐지 능력을 향상시키고 가짜 경고를 줄일 수 있다.
• 다른 한편으로는 GNNs는 NOP 삽입 및 서브루틴 재정렬과 같은 그래프 왜곡 기법을 처리하는 데 어려움을 겪으며, 이에 대응하기 위한 적응형 학습 전략이 필요하다.
• 현재 연구는 GNN 기반 사이버 방어를 위한 표준화된 오픈소스 데이터셋과 평가 벤치마크가 부족하여 재현 가능성과 진전에 제약을 받고 있다.
• GNN 기반 위협 지능 공유에서 그래프 구조 숨기기와 같은 프라이버시 보존 기법이 아직 충분히 탐색되지 않아 중요한 연구 격차로 남아 있다.

Figure 2 . Overview of our proposed taxonomy. We considered seven phases of the cyber kill chain (CKC) [Reconnaissance, Weaponization, Delivery, Exploitation, Installation, Command & Control, Actions on Objectives] with possible attacker activities. For prevention, we consider seven defensive phases