DF-LogGraph: GraphRAG 기반 설명 가능한 디지털 포렌식 로그 분석 프레임워크
DF-LogGraph: An Explainable GraphRAG-Based Framework for Digital Forensic Log Analysis
1
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
디지털 포렌식 분야에서 로그(Log)는 사건 발생 시점과 행위자의 활동을 복원하는 중요한 증거로 활용된다. 선행 연구들은 주로 이상 탐지나단일 이벤트 설명을 위해 로그 분석을 하였으며, 시간적 연속성과 의미적 맥락을 반영한 행위자 중심 타임라인 복원이나 증거능력을 확보한 설명으로확장되지 못하였다. 본 연구는 이러한 한계를 극복하기 위해 DF-LogGraph 프레임워크를 제안한다. 제안 시스템은 로그를 Actor, Action, Target, Time, Session 슬롯으로 정규화 하여, 로그-그래프(Log-Graph)로 구성하고 사건의 서사를 구조적으로 모델링한다. 질의 단계에서는 시간⋅세션 제약 기반 GraphRAG를 적용하여 관련 세션과 서브그래프를 선별하여 생성하고, 생성 단계에서는 라인 ID/세션 인용 강제, 최소충분근거(MSES), 반사실 검증을 통해 환각과 모순을 줄인다. LogHub–HDFS와 UNSW-NB15 공개 데이터 셋을 대상으로 수행한 평가에서, DF-LogGraph는 BM25(키워드 기반)와 Hybrid(BM25 ∪ TF-IDF) 대비 Evidence F1@10과 Session Accuracy@10에서 일관되게 높은 성능을 보여주었으며, 평균 응답 지연 또한 LLM(Larg Language Model)을 활용한 분석 환경에서 활용가능성을 보여주었다. 아울러 설명가능성과 신뢰성 측면에서도 증명력을 높이고 환각현상(Hallucination)을 낮추며, 가상 시나리오 검증을 통해 설명의 신뢰성을 확보하였다. 이로써 DF-LogGraph가 단순 검색 성능 향상을 넘어, 행위자 중심 타임라인 복원과 세션⋅시간 맥락 보존, 증거능력을 갖춘 설명 가능성까지 동시에 강화하는 디지털 포렌식 로그 분석 프레임워크임을 보여준다
Abstract
In digital forensics, logs serve as critical evidence for reconstructing the timing of incidents and the activities of actors. Previous studies have mainly focused on anomaly detection or single-event explanations, without extending toward actor-centric timeline reconstruction or legally admissible explainable analyses that preserve temporal continuity and session context. To address these limitations, we propose DF-LogGraph, a framework that normalizes logs into Actor, Action, Target, Time, and Session slots, and transforms them into a log-graph to enable structured narrative modeling. In the query stage, DF-LogGraph applies GraphRAG with temporal and session constraints to selectively retrieve relevant sessions and subgraphs. In the generation stage, it enforces line ID/session citations, Minimal Sufficient Evidence Sets (MSES), and counterfactual validation to mitigate hallucinations and logical contradictions. Experiments on the LogHub–HDFS and UNSW-NB15 datasets show that DF-LogGraph consistently outperforms BM25 (keyword-based) and a Hybrid baseline (BM25 ∪ TF-IDF) in terms of Evidence F1@10 and Session Accuracy@10, while maintaining practical mean latency for interactive analysis. Moreover, it improves evidence coverage, reduces hallucination rates, and ensures causal consistency through counterfactual validation. These results demonstrate that DF-LogGraph goes beyond improving retrieval accuracy: it enhances actor-centric timeline reconstruction, reinforces session and temporal coherence, and ensures explainability with legal reliability positioning itself as a next-generation framework for digital forensic log analysis.