[논문]MITRE ATT&CK 기반 사이버 공격 목표 분류 : CIA 라벨링

신찬호; 최창희

doi:10.7472/jksii.2022.23.6.15

MITRE ATT&CK 기반 사이버 공격 목표 분류 : CIA 라벨링
Cyberattack Goal Classification Based on MITRE ATT&CK: CIA Labeling 원문보기

Journal of Internet Computing and Services = 인터넷정보학회논문지, v.23 no.6, 2022년, pp.15 - 26

신찬호 (Defense Cyber Technology Center, Agency for Defense Development) , 최창희 (Defense Cyber Technology Center, Agency for Defense Development)

초록
AI-Helper

사이버 공격을 수행하는 주체와 그 목적이 점차 다양화되고 고도화되고 있다. 과거 사이버 공격은 개인 혹은 집단의 자신감 표출을 위해 수행되었지만, 최근에는 국가 단위의 후원을 받은 정치적, 경제적 목적의 공격도 활발히 이루어지고 있다. 이에 대응하고자 시그니처 기반의 악성코드 패밀리 분류, 공격 주체 분류 등이 이루어졌지만 공격 주체가 의도적으로 방어자를 속일 수 있다는 단점이 있다. 또한 공격의 주체, 방법, 목적과 목표가 다양해짐에 따라, 공격의 모든 과정을 분석하는 것은 비효율적이다. 따라서 방어자 관점에서 사이버 공격의 최종 목표를 식별해 유연하게 대응할 필요가 있다. 사이버 공격의 근본적인 목표는 대상의 정보보안을 훼손하는 것이다. 정보보안은 정보자산의 기밀성, 무결성, 가용성을 보존함으로써 달성된다. 이에 본 논문에서는 MITRE ATT&CK® 매트릭스에 기반하여 공격자의 목표를 정보보안의 3요소 관점에서 재정의하고, 이를 머신러닝 모델과 딥러닝 모델을 통해 예측하였다. 실험 결과 최대 80%의 정확도로 예측하는 것을 확인할 수 있었다.

Abstract ▼ AI-Helper

Various subjects are carrying out cyberattacks using a variety of tactics and techniques. Additionally, cyberattacks for political and economic purposes are also being carried out by groups which is sponsored by its nation. To deal with cyberattacks, researchers used to classify the malware family and the subjects of the attack based on malware signature. Unfortunately, attackers can easily masquerade as other group. Also, as the attack varies with subject, techniques, and purpose, it is more effective for defenders to identify the attacker's purpose and goal to respond appropriately. The essential goal of cyberattacks is to threaten the information security of the target assets. Information security is achieved by preserving the confidentiality, integrity, and availability of the assets. In this paper, we relabel the attacker's goal based on MITRE ATT&CK® in the point of CIA triad as well as classifying cyber security reports to verify the labeling method. Experimental results show that the model classified the proposed CIA label with at most 80% probability.

주제어

표/그림 (13)

그림 (그림 1) CIA 멀티라벨 분포 (Figure 1) CIA multi label distribution
표 (표 1) CIA 라벨링된 테크닉 (Table 1) CIA Labeled Techniques
표 (표 2) rcATT 데이터셋 CIA 라벨 분포 (Table 2) CIA label distribution of rcATT dataset
표 (표 3) rcATT 데이터셋의 연도별 CIA라벨 분포 (Table 3) Yearly CIA label distribution of rcATT dataset
표 (표 4) Bitdefender - StrongPity APT 보고서 rcATT 태깅 결과 (Table 4) rcATT tagging results of report 'Bitdefender - StrongPity APT'
그림 (그림 2) FCN 모델 구조 (Figure 2) FCN model structure
표 (표 5) 샘플링 후 데이터 분포 (Table 5) Distribution of sampled data
표 (표 6) 분류성능 평가지표 (Table 6) Metrics for classification performance
그림 (그림 3) Min5 Loss 그래프 (Figure 3) Min5 Loss Graph
그림 (그림 4) Min10 Loss 그래프 (Figure 4) Min10 Loss Graph
표 (표 7) 모델별 정확도 및 F1 점수 (Table 7) Model Accuracy and F1 score
그림 (그림 5) Min5 ROC 곡선 그래프 (Figure 5) Min5 ROC Curve Graph
그림 (그림 6) Min10 ROC 곡선 그래프 (Figure 6) Min10 ROC Curve Graph

AI 본문요약
AI-Helper

문제 정의

논문에서는 공격자의 목표를 효율적으로 파악하기 위해 새로운 라벨링 방법을 정의하고, 머신러닝 모델과 딥러닝 모델을 통해 그 유효성을 검증하였다. 실험결과에 따르면, 샘플링 과정을 거쳐 평균 70%, 최고 80% 정답율의 성능을 보였다.
따라서 본 논문에서는 과거 연구들의 단점을 보완하고 사이버 공격에 효율적인 대응을 하기 위해 공격 목표를 재정의 하고, 이를 머신러닝 및 딥러닝 모델을 통해 검증하고자 한다.
본 논문에서는 ATT&CK 매트릭스의 TTP를 기반으로 공격자의 목표를 정보보안의 3요소(CIA) 관점에서 재정의하고 이를 머신러닝 모델과 딥러닝 모델을 통해 예측하여 그 합리성을 보인다

제안 방법

그림 1은 CIA 라벨이 서로 얼마나 겹치는지 벤다이어그램으로 표현한 것이다. CIA 라벨링 예측은 멀티라벨 문제로, 이를 해결하기 위해, 제안하는 각 라벨에 대한 이진분류 문제를 수행한다.
논문에서 수집한 데이터셋의 분포가 매우 불균등하기 때문에 여러 가지 샘플링 방법을 사용하여 다양한 실험을 진행하였다. 샘플링 방법은 수집한 데이터를 모두 활용하는 경우와 일부만 선택하여 활용하는 경우로 나눌수 있다.
0을 기준으로 14개의 전술(tactic), 191개의 공격기술(technique), 386개의 하위공격기술(sub-technique)로 이루어져 있다. 논문에서는 버전 10.0을 기준으로 라벨링과 분류작업을 수행하였다.
두 번째 방법은 가지고 있는 보고서를 모두 사용하되, 연도를 기준으로 학습, 테스트 데이터로 나누는 방법이다. 논문에서는 이를 ‘standard all’ 샘플링이라고 정의한다.
특히 MITRE에서 ‘TA0040’의 공격기술들을 ‘impact type’이라는 속성을 통해 무결성, 가용성 중 어느 목적으로 사용할 수 있는지 정의해두었다. 본 논문에서는 기본적으로 이를 참고하여 무결성, 가용성 라벨을 추가하였다. 추가로 OS 부팅 메커니즘, 펌웨어, 계정, 시스템 프로세스 등 시스템에 크게 영향을 끼치는 부분을 변조하는 공격 기술도 무결성 라벨로 정의하여 실험을 진행하였다.
세 번째 방법은 수집한 보고서의 라벨 분포가 1:1이 되도록 샘플링하는 방법이다. True 라벨 데이터는 모두 사용하고 True 라벨 데이터와 같은 수가 되도록 False 라벨데이터를 샘플링한다.
본 논문에서는 기본적으로 이를 참고하여 무결성, 가용성 라벨을 추가하였다. 추가로 OS 부팅 메커니즘, 펌웨어, 계정, 시스템 프로세스 등 시스템에 크게 영향을 끼치는 부분을 변조하는 공격 기술도 무결성 라벨로 정의하여 실험을 진행하였다. 기밀성, 무결성, 가용성 3가지 요소를 기준으로 ATT&CK를 정리하면 표 1과 같이 라벨링을 새로 정의할 수 있다.

대상 데이터

‘rcATT’ 태깅 후, 표 1에서 정의한 새 라벨의 분포는 표 2, 표 3과 같다. 보고서에서 추출된 최소 TTP 개수가 5개, 10개인 경우를 정리하였으며, 일부 보고서는 본문 내용이 추출되지 않아 제외되었다. 또한 한 보고서가 여러 개의 공격 기술을 담고 있으므로, 보고서는 여러 개의 라벨을 가질 수 있다.
실험에 사용한 모델 중에서는 LogisticRegression, SVM, FCN 모델이 준수한 성능을 내었다. 특히 FCN의 경우 학습에 랜덤한 요소가 존재하기 때문에 loss가 떨어지지 않고 학습이 되지 않는 경우엔 성능이 낮았으나, 모델 초기화가 잘 되어 학습이 원활하게 수행될 경우, 가장 높은 성능을 보이기도 하였다.

데이터처리

모델의 성능은 정확도(Accuracy)와 F1 점수, ROC(Receiver Operating Characteristic) 곡선을 기준으로 평가하였다. 정확도는 일반적인 모델의 성능을 평가하는 가장 대중적인 평가지표다.

성능/효과

85로 비슷하게 나타난다. TTP 개수가 최소 10개 이상인 문서들을 튜닝 없는 간단한 모델로 세 라벨 모두 평균 70% 이상의 정답률을 보였다. 다만 ‘balanced random’ 샘플링의 경우, 샘플링에 랜덤요소가 크게 관여하기 때문에 실험결과의 편차가 큰 것을 확인할 수 있었다.
결론적으로 4가지의 샘플링 모두 각 라벨에 대해 학습이 가능하나, 일부 샘플링의 경우 모델의 초기화가 적절하게 이루어지지 않으면 학습의 진행이 되지 않는 경우를 보였다.
실험결과에 따르면, 샘플링 과정을 거쳐 평균 70%, 최고 80% 정답율의 성능을 보였다. 본 논문에서 제시된 라벨링 기법은 초기모델이므로 각 라벨에 대한 이진 분류 실험 정확도의 개선여지가 있으나, MITRE ATT&CK에 기반을 두어 CIA 관점에서 라벨링을 재정의한 첫 번째 시도임에 의의가 있다.
논문에서는 공격자의 목표를 효율적으로 파악하기 위해 새로운 라벨링 방법을 정의하고, 머신러닝 모델과 딥러닝 모델을 통해 그 유효성을 검증하였다. 실험결과에 따르면, 샘플링 과정을 거쳐 평균 70%, 최고 80% 정답율의 성능을 보였다. 본 논문에서 제시된 라벨링 기법은 초기모델이므로 각 라벨에 대한 이진 분류 실험 정확도의 개선여지가 있으나, MITRE ATT&CK에 기반을 두어 CIA 관점에서 라벨링을 재정의한 첫 번째 시도임에 의의가 있다.

후속연구

다만 논문에서는 ‘rcATT’ 도구를 이용하여 문서 라벨링을 자동화하여 실험에 사용하였기 때문에 모델의 성능이 라벨링 도구에 의존적이게 된다. 따라서 후속 연구로는 라벨링 도구 성능 향상을 통한 데이터셋 신뢰도 보장과 추가적인 데이터셋 확보를 통한 모델 성능 향상 등에 집중할 계획이다.

참고문헌 (26)

Cybersecurity and Infrastructure Security Agency(CIS A), "North Korean State-Sponsored Cyber Actors Use Maui Ransomware to Target the Healthcare and Public Health Sector", 2022. https://cisa.gov/uscert/ncas/alerts/aa22-187a
D. Kushner, "The real story of stuxnet", IEEE Spectrum, Vol.50, No.3, pp.48-53, 2013. https://doi.org/10.1109/MSPEC.2013.6471059

상세보기
N. Falliere, L. Murchu, and E. Chien, "W32.Stuxnet Dossier", 2011. https://docs.broadcom.com/doc/security-response-w32-stuxnet-dossier-11-en
Mandiant, "APT41(Double dragon): A Dual Espionage and Cyber crime Operation", 2022. https://www.mandiant.com/sites/default/files/2022-02/rt-apt41-dual-operation.pdf
Faou, M., Tartare, M., Dupuy, T., "OPERATION GHOST. The Dukes aren't back - they never left", 2019. https://welivesecurity.com/wp-content/uploads/2019/10/ESET_Operation_Ghost_Dukes.pdf
Federal Bureau of Investigation(FBI), "Update on Sony Investigation)", https://www.fbi.gov/news/press-releases/update-on-sony-investigation
C. Fan, H. Hsiao, C. Chou and Y. Tseng, "Malware Detection Systems Based on API Log Data Mining", IEEE 9th Annual Computer Software and Applications Conference, pp. 255-260, 2015. https://doi.org/10.1109/COMPSAC.2015.241
D. Uppal, R. Sinha, V. Mehra and V. Jain, "Exploring Behavioral Aspects of API Calls for Malware Identification and Categorization", International Conference on Computational Intelligence and Communications Networks, pp.824-828, 2014. https://doi.org/10.1109/CICN.2014.176
Choi, C. H., Lee, H. S., Jung, I. H., Yoo, C. G., and Yoon, H. S., "Statistical Analysis of EML Header for Cyber Attacker Tracing", Proceedings of Korea Institute of Military Science and Technology annual conference, pp.1141-1142, 2017.
Choi, C. H., Lee, H. S., Jung, I. H., Park, J. H., and Yoon, H. S.,"E-mail Clustering for Cyber Attack Attribution", Proceedings of Korea Institute of Military Science and Technology annual conference, pp.1289-1290, 2018.
N. Villeneuve, J. Bennett, "Detecting APT Activity with Network Traffic Analysis", 2012. https://documents.trendmicro.com/assets/wp/wp-detecting-apt-activity-with-network-traffic-analysis.pdf
G. Zhao, K. Xu, L. Xu and B. Wu, "Detecting APT Malware Infections Based on Malicious DNS and Traffic Analysis", IEEE Access, Vol.3, pp.1132-1142, 2015. https://doi.org/10.1109/ACCESS.2015.2458581

상세보기
MITRE ATT&CK®, https://attack.mitre.org
International Organization for Standardization(ISO), "Information technology - Security techniques - Information security management systems - Overview and vocabulary(ISO Standard No.27000:2009)", 2009. https://www.iso.org/standard/41933.html
Kaspersky, "LAZARUS UNDER THE HOOD", 2018. https://media.kasperskycontenthub.com/wp-content/uploads/sites/43/2018/03/07180244/Lazarus_Under_The_Hood_PDF_final.pdf
Securelist by Kaspersky, "OlympicDestroyer is here to trick the industry", 2018. https://securelist.com/olympicdestroyer-is-here-to-trick-the-industry/84295/
S. M. Park, J. I. Lim, "Study On Identifying cyberattack Classification Through The Analysis of cyberattack Intention", Journal of the Korea Institute of Information Security & Cryptology, Vol.27, No.1, pp.103-113, 2017. https://doi.org/10.13089/JKIISC.2017.27.1.103

원문보기 상세보기
Shin C. H., Shin S. U., Seo, S. Y., Lee, I. S., Choi, C. H., "Embedding and Training RNN for estimating the goal of cyberattack", Proceedings of Korea Institute of Military Science and Technology annual conference, pp.1055-1056, 2021.
Bitdefender, StrongPity APT - Revealing Trojanized Tools, Working hours and Infrastructure, https://bitdefender.com/files/News/CaseStudies/study/353/Bitdefender-Whitepaper-StrongPity-APT.pdf
Ahnlab Security Emergency response Center(ASEC), "Analysis Report of Kimsuky Group's APT Attacks (AppleSeed, PebbleDash)", http://download.ahnlab.com/global/brochure/Analysis%20Report%20of%20Kimsuky%20Group.pdf
C. Beek, "Operation 'Harvest': A Deep Dive into a Long-term Campaign", https://www.trellix.com/en-us/about/newsroom/stories/threa-labs/operation-harvest-a-deep-dive-into-a-long-term-campaign.html
APT&CyberCriminal Campaign Collections, https://github.com/CyberMonitor/APT_CyberCriminal_Campaign_Collections
Legoy, V., Caselli, M., Seifert, C., and Peter, A, "Automated retrieval of ATT&CK tactics and techniques for cyber threat reports.", arXiv preprint arXiv:2004.14322, 2020.
rcATT, https://github.com/vlegoy/rcATT
Pedregosa et al., "Scikit-learn: Machine Learning in Python", Journal of Machine Learning Research, Vol.12, pp. 2825-2830, 2011. https://dl.acm.org/doi/10.5555/1953048.2078195

상세보기
Chen, Tianqi and Guestrin, Carlos, "XGBoost: A Scalable Tree Boosting System", Proceedings of the 22nd ACM SIGKDD International Conference on Knowledge Discovery and Data mining, pp.785-794, 2016. https://doi.org/10.1145/2939672.2939785

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증