외부 STIX 수집 정보를 이용한 내부자산과 연계한 TTP 대응 전략 자동 매핑 구조에 관한 연구
Automatic Mapping Structure of TTP Response Strategies Linked to Internal Assets Using External STIX Collection Information
2
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
본 논문은 지능형 사이버 보안을 위한 SOAR 기술을 접목하여 보안 위협을 탐지하고 관리하는 자동화 시스템을 제안한다. 연구의 목적은 외부 STIX/TAXII 기반 데이터를 분석하여 사이버 위협 인텔리전스(CTI)를 구축하고, 이를 통해 내부 자산의 위험도를 정밀하게 산출하며 효과적인 대응 전략을 수립하는 것이다. 제안하는 시스템은 크게 네 가지 컴포넌트로 구성된다: CTI 수집 및 정형화, CTI 기반 TTP 매핑, 내부 자산 CPE 식별, 위험도 산출 및 대응 전략 도출. 정보 수집 방법으로는 공개된 외부 보안 위협 정보를 수집하고, 이를 정형화하여 CTI 통합 데이터베이스에 적재하는 과정을 포함한다. 또한, 룰 기반 매핑 알고리즘을 활용하여 CVE, CPE, CVSS, TTP와 같은 주요 정보를 기반으로 위험도 및 대응 전략을 도출한다. 결과적으로, 본 논문에서 제안하는 자동화 시스템은 약 1시간 내에 약 2300개의 report를 자동으로 분석하고, 99.74%의 높은 정도로 정탐을 수행할 수 있음을 보여준다.
Abstract
This paper proposes an automated system for detecting and managing security threats by incorporating SOAR technology for intelligent cybersecurity. The objective of the study is to analyze external STIX/TAXII-based data to build Cyber Threat Intelligence (CTI), thereby accurately assessing the risk levels of internal assets and establishing effective response strategies. The proposed system consists of four main components: CTI collection and normalization, CTI-based TTP mapping, internal asset CPE identification, and risk assessment and response strategy formulation. The information collection method involves gathering publicly available external threat intelligence and normalizing it for storage in a CTI integrated database. Additionally, a rule-based mapping algorithm is utilized to derive risk levels and response strategies based on key information such as CVE, CPE, CVSS, and TTP. As a result, the automated system proposed in this paper demonstrates the capability to analyze approximately 2,300 reports within one hour and achieve a high detection accuracy of 99.74%.
참고문헌 (10)
- "Trends in the SOAR Market"[URL]
- J. Choi, "A Study on ICS Security Information Collection Method Using CTI Model", Journal of the Korean Institute of Information Security and Cryptology (JKIISC), 28(2), pp.471~484 (2018)[DOI]
- A Study on the Automatic Generation System of Playbooks for the Advancement of SOAR, "S. Choi", Korea Internet & Security Agency, ~ (2023)
- P. Kühn, "Navigating the shadows: Manual and semi-automated evaluation of the dark web for cyber threat intelligence", IEEE Access, 12, pp.118903~118922 (2024)[DOI]
- "Introduction to STIX"[URL]
- "Introduction to TAXII"[URL]
- J. Lim, "3-Step Security Vulnerability Risk Scoring Considering CVE Trends", Journal of the Korean Institute of Communications and Information Sciences, 27(1), pp.87~96 (2023)
- J. Jeong, "A Study on the Improvement and Utilization of Public N-Day Vulnerability Databases", Journal of the Korean Institute of Information Security and Cryptology(JKIISC), 34(4), pp.667~680 (2024)
- Heejung Kim, "Comparative Experiment on TTP Classification with Class Imbalance Using Oversampling from CTI Dataset", Security and Communication Networks (2022)[DOI]
- A. Lawall, "A Threat-Led Approach to Mitigating Ransomware Attacks: Insights from a Comprehensive Analysis of the Ransomware Ecosystem", Proceedings of the 2024 European Interdisciplinary Cybersecurity Conference (EICC '24), pp.210~216 (2024), Association for Computing Machinery