악성코드 이상 징후 탐지를 위한 LLM 로그 임베딩 기반 표현 학습 기법
An LLM-based Log Embedding Representation Learning Approach for Detecting Early-stage Malware Anomalies
4
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
대규모 정보 시스템과 웹 서비스 환경에서는 로그 기반 이상 탐지가 랜섬웨어 등 악성코드 침투의 초기징후를 포착하기 위한 핵심 수단이지만, 원문 로그 텍스트와 제한적인 특징 공학에 의존하는 기존 비지도 이상 탐지 구성은 불균형한 라벨 분포와 복잡한 공격 단계가 뒤섞인 실제 보안 로그에서 이상 행위를 안정적으로 구분하기 어렵다. 본 논문은 웹 접근 로그와 시스템 감사 로그 약 80만 건을 대상으로 원문 로그 표현, 사전학습 Llama 계열 언어모델 임베딩, 보안 로그 도메인 파인튜닝 임베딩으로 구성된 세 가지 로그 표현과 통계 및 심층 표현 학습 기반 이상 탐지 모델을 결합한 LLM 로그 임베딩 표현 학습 기법을 제안한다. 공통 데이터 분할과 학습 조건에서 정상·비정상 판별 성능을 비교한 결과, 원문 로그 기반 구성에서는 전반적으로F1-Score가 낮았으나 임베딩 기반 표현에서는 모델 대부분이 이진 F1-Score가 원본 로그 대비 약 2.5배, 저빈도 공격 유형에서는 약 3배 이상 향상됨을 확인하였다. 이를 통해 보안 로그 도메인에 적응된 LLM 로그임베딩이 악성코드 이상 징후를 구조적으로 구분하는 공통 입력 표현으로 활용가능함을 시사한다.
Abstract
In large-scale information systems and web services, log-based anomaly detection is a key means of capturing early signs of ransomware and other malware. However, unsupervised methods that rely on raw log text and limited feature engineering perform poorly on real security logs with imbalanced labels and multi-stage attacks. This paper proposes an LLM-based log embedding pipeline that combines three representations-raw logs, embeddings from pre-trained Llama language models, and domain-fine-tuned embeddings for security logs-with statistical and deep anomaly detection models, using about 800,000 web access and system audit log entries. Under a common data split, embedding-based representations raise the binary F1-score of most models to roughly 2.5 times the raw-log baseline and more than threefold for rare attack types, demonstrating their effectiveness as a common input representation for malware anomaly detection and early-warning systems.