Semantic 분석기반 Endpoint에서의 자동화된 TTP 분석기술 연구
A Study on Automated TTP Analysis Technology at the Endpoint Based on Semantic Understanding
0
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
네트워크 상의 다양한 이상 행위를 포함한 EDR(Endpoint Detectionand Response) 로그는 사이버 위협 탐지에 중요한 정보를 제공하지만, 단편적 이벤트 구조와 표현 다양성으로 인해 TTP(Tactics, Techniques, andProcedures) 수준의 자동 해석에는 한계가 존재한다. 본 연구는 로그 기반이상 행위를 의미 단위로 구조화하고, TTP 매핑 및 공격 흐름 해석을 자동화하는 통합 분석 프레임워크를 제안한다. 이를 위해, 도메인 지식 기반의 룰셋으로 로그를 자연어 디스크립션으로정형화하고 LogBERT로 이상 여부를 분류한 후, 대규모 언어모델(LLM)을통해 의미를 보강한다. 보강된 설명은 FAISS 인덱스를 통해 유사 TTP 후보를 검색하며, 이후 Chain-of-Thought(CoT) 기반 추론으로 최종 TTP를 판단한다. 마지막으로 시계열ㆍ관계 분석을 통해 공격 체인을 구성하고, 전략적 위협 시나리오 해석을 지원한다.
Abstract
EDR (Endpoint Detection and Response) logs, which include variousabnormal activities observed across the network, provide criticalinformation for cyber threat detection. However, their fragmentedevent structure and diverse representation hinder precise andconsistent automated interpretation at the TTP (Tactics, Techniques,and Procedures) level. This study proposes an integrated analysisframework that semantically structures log-based abnormal behaviorsand automates both TTP mapping and attack flow interpretation. To achieve this, raw logs are first normalized into natural languagedescriptions using a domain-specific rule set and then classified foranomalies via LogBERT. These descriptions are semantically enhancedusing a large language model (LLM), and relevant TTP candidates areretrieved through FAISS-based similarity search. Finally, the mostappropriate TTP is determined through Chain-of-Thought (CoT)reasoning, and a structured attack chain is automatically reconstructedbased on temporal and relational analysis to support the strategicunderstanding of threat scenarios.