[논문 리뷰] End-To-End Anomaly Detection for Identifying Malicious Cyber Behavior through NLP-Based Log Embeddings

Andrew Golczynski, John A. Emanuello|arXiv (Cornell University)|2021. 08. 27.

Network Security and Intrusion Detection참고 문헌 17인용 수 6

한 줄 요약

이 논문은 기업 네트워크에서 이상 탐지에 사용할 수 있도록 NLP 기반 어휘 임베딩을 활용해 시스템 로그 메타데이터를 자동으로 벡터화하는 엔드 투 엔드 딥 러닝 프레임워크를 제안한다. 오토에코더와 함께 임베딩을 동시 학습시킴으로써, 모델은 의미적으로 유의미한 시스템 행동 표현을 학습하며, 수동적인 특징 공학을 최소화하면서 DARPA OpTC 데이터셋에서 레드팀 활동을 높은 정밀도로 탐지한다.

ABSTRACT

Rule-based IDS (intrusion detection systems) are being replaced by more robust neural IDS, which demonstrate great potential in the field of Cybersecurity. However, these ML approaches continue to rely on ad-hoc feature engineering techniques, which lack the capacity to vectorize inputs in ways that are fully relevant to the discovery of anomalous cyber activity. We propose a deep end-to-end framework with NLP-inspired components for identifying potentially malicious behaviors on enterprise computer networks. We also demonstrate the efficacy of this technique on the recently released DARPA OpTC data set.

연구 동기 및 목표

• 기존의 규칙 기반 및 머신러닝 기반 침입 탐지 시스템이 취약하고 수작업으로 만든 특징에 의존하는 한계를 해결하기 위해.
• 수동적인 특징 공학 없이도 관련된 벡터 표현을 자동으로 학습하는 엔드 투 엔드 프레임워크를 개발하기 위해.
• 재구성 기반 이상 점수 산정을 위해 오토에코더와 함께 로그 임베딩을 동시 학습시킴으로써 이상 탐지 성능을 향상시키기 위해.
• 최근 공개된 DARPA OpTC 데이터셋을 통해 이 접근 방식의 유효성을 입증하기 위해.
• 기업 환경에서 설명 가능하고 확장성 있으며 적응 가능한 신경 기반 침입 탐지 시스템의 기반을 마련하기 위해.

제안 방법

• 개별 로그 필드(예: IP, 파일 경로, 프로세스 이름)를 텍스트 코퍼스의 토큰으로 간주하여 NLP 스타일의 임베딩 학습이 가능하도록 한다.
• 공유된 임베딩 레이어를 갖춘 딥 오토에코더 아키텍처를 사용하여 잠재 공간에서 로그 레코드의 압축되고 의미 있는 표현을 학습한다.
• 전체 모델을 엔드 투 엔드로 학습시으며, 재구성 오차와 임베딩 품질을 동시에 최적화하여 후속 이상 탐지 성능을 향상시킨다.
• 워드2베이트 기반 기법을 적용하여 로그 요소 간의 의미적 및 문법적 관계(예: 공통 파일 유형, 프로세스 행동)를 캡처하는 벡터 표현을 학습한다.
• 프로세스 ID 또는 사용자 기반으로 로그 레코드를 시간 순으로 집계하여 행동 기반 이상 탐지가 가능하도록 한다.
• 이상 점수로 L2 재구성 오차를 사용하며, 높은 오차는 잠재적인 악성 활동을 시사한다.

실험 결과

연구 질문

• RQ1 NLP 기반 로그 임베딩 기법은 사이버 이상에 관련된 의미적 관계를 포착할 수 있도록 시스템 로그 메타데이터를 효과적으로 표현할 수 있는가?
• RQ2 학습된 임베딩과 함께 오토에코더를 엔드 투 엔드로 학습시키는 방식이 기존의 특징 공학 대비 이상 탐지 성능을 향상시키는가?
• RQ3 이 모델은 DARPA OpTC 데이터셋에서 레드팀 활동을 높은 정밀도로 탐지하고, 로그 패턴의 의미 있는 군집화를 제공하는가?
• RQ4 학습된 임베딩는 공통 파일 유형이나 프로세스 패밀리와 같은 의미적으로 일관된 시스템 행동 군집을 어떻게 반영하는가?
• RQ5 이 프레임워크는 탐지 정확도를 유지하거나 향상시키면서 수동적인 특징 공학에 대한 의존도를 어느 정도 줄일 수 있는가?

주요 결과

• 모델은 DARPA OpTC 데이터셋에서 레드팀 활동을 성공적으로 탐지하였으며, 재구성 오차 분포가 정상 행동와 비정상 행동를 명확히 구분함을 보였다.
• 학습된 임베딩는 의미적으로 유의미한 군집화를 보였으며, DLL, .tmp 파일, Microsoft Office 파일 등의 군집화를 통해 모델이 관련된 시스템 행동 패턴을 포착했음을 시사했다.
• 오토에코더의 잠재 공간은 구조적 일관성을 보였으며, 유사한 시스템 활동이 임베딩 공간에서 서로 가까이 모여 있는 경향을 보였다.
• 이 접근 방식은 이상 탐지에서 높은 정밀도를 달성하여 엔드 투 엔드 학습이 사이버 위협 탐지에 실현 가능함을 입증했다.
• t-SNE를 사용한 시각화 결과, 모델이 공통 파일 유형과 프로세스 행동 간의 의미 있는 관계를 포착했음을 확인할 수 있었다.
• 모델은 원시 로그 필드에서 직접 표현을 학습함으로써 수동적인 특징 공학에 대한 의존도를 감소시켰다.