국방 디지털 포렌식 역량 강화를 위한 LLM 기반 다단계 공격 분석 프레임워크
LLM-based Multi-stage Attack Analysis Framework for Enhancing Defense Digital Forensics Capabilities
0
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
다단계 사이버 공격은 복수의 위협 기법이 순차적으로 결합되어 수행되는고도화된 공격 유형으로, 디지털 포렌식 환경에서 침해사고 분석의 복잡성을증가시켜 시간 소모를 유발하는 주요 요인이다. 본 연구에서는 다단계 사이버공격 분석 과정의 자동화를 위해, 프롬프트 엔지니어링(Prompt Engineering)과거대 언어 모델(Large Language Model, LLM)을 통합한 다단계 공격 분석프레임워크를 제안한다. 제안된 프레임워크는 프롬프트 엔지니어링의 여러전략을 적용하여 LLM 판단에 대한 설명 가능성을 확보하도록 설계하였다. Llama 3.2, Phi-3 Mini, Deepseek-R1 등 세 가지 LLM의 성능을 비교한 결과, Deepseek R1이 공격 흐름 구성과 자동 보고서 생성 측면에서 가장 우수한성능을 보였으며, 공격 단계별 흐름을 일관성 있게 구성하고 통합하는 등 실무적용에 가장 적합한 모델로 평가되었다. 국방 분야와 같이 고신뢰성이 요구되는환경에서 LLM 기반 프레임워크는 디지털 포렌식 자동화를 위한 차세대 조사보조 기술로서 군의 디지털 포렌식 역량을 강화하는 핵심 도구로 자리매김할 수있을 것으로 기대된다.
Abstract
Multi-stage cyber attacks are sophisticated attack types executed through the sequential combination of multiple threat techniques. They are a primary factor that increases the complexity and time consumption of incident analysis in digital forensic environments. This study proposes a multi-stage attack analysis framework that integrates Prompt Engineering and Large Language Models (LLMs) to automate the analysis process. The proposed framework is designed to secure explainability for LLM judgments by applying various prompt engineering strategies. A performance comparison of three LLMs (Llama 3.2, Phi-3 Mini, and Deepseek-R1) revealed that Deepseek-R1 demonstrated superior performance in attack flow construction and automated report generation. It was evaluated as the most suitable model for practical application, noted for its ability to consistently structure the attack flow by stage and naturally integrate processes. In environments requiring high reliability, such as the national defense, this LLM-based framework is expected to be positioned as a key tool for enhancing the military's digital forensic capabilities, serving as a next-generation investigative assistance technology.