LLM 친화적 보고서 기반의 RAG-LLM을 활용한 웹로그 위협분석 프레임워크
LLM-friendly Report-based RAG-LLM Web Log Threat Analysis Framework
0
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
본 연구는 대규모 웹로그 환경에서 기존 시그니처 기반 탐지 체계가 포착하지못하는 미지 위협을 식별하기 위해, 웹로그를 의미 단위로 재구조화하여 LLM 기반으로 분석하는 새로운 프레임워크를 제안한다. 제안된 모델은 SPLUNK에서추출한 2GB 규모의 침해 웹로그를 기반으로, 로그를 A~G의 7종 의미보고서(전역 요약, 패턴 희귀성, URI 의미 분석, 세션 흐름, 시맨틱 이상, 시간드리프트, 페이로드 이상)로 자동 변환하고, 이를 RAG 환경(Anything LLM)에서임베딩하여 로컬 LLM(LM Studio 기반 OpenAI-OSS 20B 모델)이 신규 로그의위협 여부를 의미적으로 추론할 수 있도록 한다. 실험 결과, 제안된 프레임워크는단일 로그 수준에서도 패턴 희귀성, URI 의미, 파라미터 변형, 시간 기반스파이크 등 다층적 정보를 조합해 정상·의심·미지 위협을 효과적으로 구분할 수있었으며, 이는 기존 룰 기반 탐지 방식이 놓치는 복합적·변형적 공격을 보완할수 있는 새로운 로그 분석 접근임을 확인하였다.
Abstract
This study proposes a novel framework for detecting unknown threats in large-scale web log environments by restructuring raw web logs into semantic units and analyzing them using an LLM-based approach. The proposed model processes 2GB of compromised web logs extracted from SPLUNK and automatically transforms them into seven types of semantic reports (global summary, pattern rarity, URI semantic analysis, session flow, semantic anomalies, temporal drift, and payload anomalies). These reports are then embedded in a RAG environment (Anything LLM), enabling a local LLM—the OpenAI-OSS 20B model running on LM Studio—to semantically reason about the threat level of newly observed logs. Experimental results show that the proposed framework effectively distinguishes normal, suspicious, and unknown threats even at the single-log level by combining multi-dimensional indicators such as pattern rarity, URI semantics, parameter manipulation, and time-based spikes. This demonstrates that the framework provides a new log analysis paradigm that complements traditional rule-based detection methods, particularly for complex, variant, or previously unseen attack behaviors.