알림 상관관계 알고리즘 종합 조사와 분류

초록

본 논문은 이질적인 침입 탐지 시스템으로부터 발생하는 알림을 통합·분석하여 오탐을 감소하고 고수준 공격 패턴을 식별하는 알림 상관관계 알고리즘을 전반적으로 조사한다. 정확도, 기능성, 연산 효율성 등 여러 평가 지표를 기준으로 알고리즘을 분류·비교하고, 각 카테고리의 장단점을 도출한다. 최적의 상관 프레임워크는 다양한 카테고리의 강점을 조합해야 함을 제안한다.

상세 분석

본 논문은 알림 상관관계 연구의 현황을 체계적으로 정리함으로써, 기존 연구가 주로 이론적 모델링에 머물렀던 반면 실제 기업 네트워크에 적용 가능한 엔진 중심의 알고리즘에 초점을 맞추었다는 점에서 의의가 크다. 저자는 먼저 알림 상관관계의 목표를 네 가지 핵심 기능—오탐 감소, 고수준 공격 시나리오 재구성, 미래 공격 예측, 근본 원인 분석—으로 정의하고, 이를 달성하기 위한 알고리즘을 크게 다섯 가지 범주로 나눈다.

1. 유사도 기반 (Similarity‑Based) 알고리즘: 시간, 출발지·목적지 IP, 포트, 프로토콜 등 메타데이터 간의 거리 혹은 유사도를 계산해 알림을 클러스터링한다. 대표적인 방법으로 시계열 동기화, Jaccard 유사도, 코사인 유사도 등이 있다. 장점은 구현이 간단하고 실시간 처리에 유리하다는 것이며, 단점은 복잡한 공격 흐름을 포착하기 어렵고, 파라미터 설정에 민감하다는 점이다.

2. 인과관계 기반 (Causality‑Based) 알고리즘: 알림 간의 전후 관계를 모델링해 공격 단계 간 인과성을 추론한다. 그래프 기반 모델, 베이즈 네트워크, Petri Net 등이 활용된다. 이 접근법은 공격 단계의 흐름을 명확히 보여주어 포렌식에 유리하지만, 그래프 구축 비용이 높고, 대규모 네트워크에서는 확장성이 제한된다.

3. 지식 기반 (Knowledge‑Based) 알고리즘: 공격 전술·기술·절차(TTP)를 기술한 지식베이스(예: MITRE ATT&CK)와 알림을 매핑한다. 규칙 엔진이나 온톨로지를 사용해 알림을 고수준 시나리오로 변환한다. 장점은 전문가 지식을 직접 활용해 높은 정확도를 기대할 수 있다는 것이며, 단점은 지식베이스의 최신성 유지와 규칙 충돌 관리가 필요하다는 것이다.

4. 통계·머신러닝 기반 (Statistical / ML‑Based) 알고리즘: 히든 마르코프 모델, 클러스터링, 서포트 벡터 머신, 딥러닝 등 데이터‑드리븐 기법을 적용한다. 대량의 레이블링된 알림 데이터를 통해 패턴을 학습하고, 비정상적인 연관성을 자동으로 탐지한다. 높은 탐지율을 보이지만, 학습 데이터의 품질·양에 크게 의존하고, 모델 해석성이 낮아 운영자가 결과를 신뢰하기 어려울 수 있다.

5. 하이브리드 (Hybrid) 알고리즘: 위의 방법들을 조합해 다중 레이어 상관을 수행한다. 예를 들어, 초기 단계에서는 유사도 기반으로 빠르게 클러스터링하고, 이후 인과관계 그래프와 지식베이스를 연계해 상세 분석한다. 하이브리드 설계는 각 방법의 장점을 살리지만, 시스템 복잡도가 급증하고, 통합 인터페이스 설계가 핵심 과제로 남는다.

논문은 각 알고리즘 카테고리를 정확도(Precision/Recall), 실시간성(Latency), 확장성(Scalability), 구현 난이도, 운영 비용 등 다섯 가지 핵심 지표로 평가한다. 실험 결과, 유사도 기반은 낮은 지연 시간과 높은 확장성을 보였으나 정확도가 낮고, 인과관계 기반은 정확도가 우수하지만 연산 비용이 크게 증가한다. 지식 기반은 정확도와 해석 가능성에서 강점을 보이지만, 최신 공격에 대한 대응 속도가 제한적이다. 머신러닝 기반은 데이터가 충분히 확보된 환경에서 최고의 탐지 성능을 내지만, 실시간 적용에는 아직 한계가 있다.

또한, 논문은 알림 상관관계 엔진의 설계 원칙을 제시한다. 첫째, 모듈화를 통해 알고리즘 교체·업그레이드를 용이하게 해야 한다. 둘째, 다중 레벨 상관(패킷‑레벨, 세션‑레벨, 시나리오‑레벨)을 지원해 다양한 시각에서 공격을 조망해야 한다. 셋째, 피드백 루프를 구축해 운영자가 제공하는 라벨링 정보를 지속적으로 학습에 반영함으로써 모델을 진화시켜야 한다. 마지막으로, 표준 인터페이스(예: IDMEF, STIX/TAXII)를 채택해 이질적인 IDS와 원활히 연동할 필요가 있다.

결론적으로, 현재 어느 하나의 알고리즘이 모든 요구사항을 만족시키지는 못한다. 따라서 하이브리드 프레임워크가 실무에서 가장 현실적인 선택이며, 각 카테고리의 강점을 적절히 조합하고, 운영 환경에 맞는 가중치를 동적으로 조정하는 메커니즘이 향후 연구의 핵심 과제로 제시된다.