자동화된 사이버공격 에뮬레이션: 플래닝·LLM 융합 Aurora 시스템

초록

본 논문은 공격 도구를 모듈형 “공격 행동”으로 추상화하고, 전통적 심볼릭 플래닝과 대형 언어 모델(LLM)을 결합해 CTI 보고서와 목표 환경에 맞는 인과관계 보존 공격 체인을 자동 생성·실행하는 Aurora 시스템을 제안한다. 250개의 CTI 보고서에서 5,500여 개 행동을 추출해 15배 규모의 최신 공격 데이터셋을 구축했으며, 기존 방법 대비 행동의 실행 가능성·다양성·현실성을 크게 향상시켰다.

상세 분석

이 논문은 사이버공격 에뮬레이션 분야의 네 가지 핵심 요구사항(실행 가능성, 인과관계 일관성, 확장성, 맞춤형)을 동시에 만족시키는 최초의 자동화 시스템을 제시한다. 먼저 “공격 행동”(Attack Action)이라는 개념을 정의하고, 각 행동을 이름·출처·MITRE ATT&CK 매핑·실행 명령·필요 에이전트 등 메타데이터와 함께 표준화한다. 이를 통해 서로 다른 도구(Atomic Red Team, Metasploit, PowerShell 등)의 기능을 동일한 형식으로 통합한다는 점이 혁신적이다.

다음으로 제안된 “공격 행동 연결 모델”(AALM)은 각 행동의 전제조건(precondition)과 효과(effects)를 명시함으로써 인과관계를 명시적으로 모델링한다. 기존 절차형 오케스트레이션 툴은 단순 순차 실행에 머물렀지만, AALM은 플래닝 단계에서 전제조건을 만족시키는 행동만을 선택하도록 하여 실제 공격 흐름을 재현한다.

플래닝 엔진은 PDDL 기반의 심볼릭 플래너를 활용한다. 초기 상태(I)와 목표 상태(G)는 CTI 보고서에서 추출한 공격 목표(예: 관리자 권한 획득, 데이터 유출)와 테스트베드의 시스템 정보(OS 버전, 취약점 리스트)로 자동 구성된다. 플래너는 정의된 행동 집합(A)에서 최적의 행동 순서를 탐색하고, 결과로 얻은 플랜은 Python 스크립트 형태로 자동 변환돼 실행 에이전트에 전달된다.

LLM은 두 가지 역할을 수행한다. 첫째, 비정형 CTI 보고서와 도구 매뉴얼을 파싱해 공격 행동을 추출·정규화한다. 둘째, 플래너가 생성한 행동 시퀀스에 누락된 파라미터(예: 파일 경로, 포트 번호)를 보완하고, 환경에 맞는 구체적인 명령어를 생성한다. 이 과정에서 인간 전문가가 수행하던 “전술‑기술‑절차(TTP) 매핑” 작업을 자동화함으로써 규모와 속도를 크게 높였다.

실험에서는 250개의 최신 CTI 보고서를 기반으로 5,500여 개 행동을 자동 추출하고, Aurora가 생성한 2,500개 이상의 공격 체인을 기존 자동화 도구(ChainReactor 등)와 비교했다. 평가 지표는 (1) 행동의 실행 가능성(실제 명령어 제공 여부), (2) 인과관계 보존 정도(전제조건·효과 일치), (3) 다양성(다양한 ATT&CK TTP 조합), (4) 확장성(새로운 도구·기술 추가 용이성)이다. Aurora는 모든 지표에서 현저히 높은 점수를 기록했으며, 특히 인과관계 보존 비율이 92%로 기존 45%를 크게 앞섰다.

또한 구축된 대규모 데이터셋을 이용해 세 가지 최신 침입 탐지 시스템(예: DeepLog, Zeek 기반 IDS, Graph Neural IDS)을 평가했는데, 기존 오래된 데이터셋에 비해 탐지 정확도가 평균 15% 감소하였다. 이는 최신 공격 체인의 다양성과 현실성이 방어 시스템의 일반화 능력을 시험한다는 점을 시사한다.

한계점으로는 완전한 정보(시스템 구성, 취약점) 가정하에 플래닝이 이루어지므로, 정보가 불완전하거나 동적으로 변하는 환경에서는 적용이 어려울 수 있다. 또한 LLM 기반 파라미터 보완 단계에서 발생할 수 있는 오탐(예: 잘못된 파일 경로) 위험이 존재한다. 향후 연구에서는 불완전 정보 플래닝, LLM 검증 메커니즘, 실시간 적응형 플래닝을 탐색할 필요가 있다.