AutoFlow：Large Language Model을 이용한 엔터프라이즈 맞춤 Attack Flow 생성

AutoFlow: Enterprise-Tailored Attack Flow Generation UsingLarge Language Model

Abstract

본 논문에서는 위협 인텔리전스 보고서를 자동으로 분석하여 기업 맞춤형 Attack Flow를 생성하는 프레임워크 AutoFlow를 제안한다. 보안에서 신규 위협의 영향을 신속히 평가하는 것이 핵심이나, 전통적인 수작업 분석은 높은 수준의 전문성과 상당한 인적 자원을 요구하여 일관성 확보가 어렵다. 이에 따라 본 연구는 대규모 언어 모델(LLM)과 임베딩 기반 유사도 검색을 활용하여 위협 인텔리전스 분석부터 기업 자산 매핑 평가, 시각화를 자동화하는 프레임워크를 설계하였다. CISA의 Iranian APT 시나리오를 대상으로 실험한 결과, 제안 프레임워크는 공격의 주요 전술과 핵심 흐름을 정확히 재현하였으며, MITRE ATT&CK Evaluation의 Attack Flow 프로젝트를 벤치마크 평가한 결과 전체적인 공격 구조를 올바르게 파악하였다. 또한, 위협 보고서와 기업 자산 간 용어 불일치 문제를 해결하여, 조직별 명명 규칙에 구애받지 않는 유연한 적용이 가능한 자동화 프레임워크를 제시함으로써, 전문 인력 의존도를 낮추고 실시간 위협 분석과 리스크 기반 의사결정을 지원하는 실용적 접근법을 제공한다.

This paper proposes AutoFlow, a framework for automatically generating enterprise-tailored Attack Flows from threat intelligence reports. While rapid assessment of new threat impacts is critical in security operations, traditional manual analysis demands a high level of expertise and substantial human resources, making consistent execution difficult. To address this, the proposed framework leverages Large Language Models (LLM) and embedding-based similarity search to automate threat intelligence analysis, enterprise asset mapping, assessment, and visualization. Experiments using CISA's Iranian APT scenario demonstrate that the framework accurately reproduces key tactics and core attack flows. Benchmark evaluation against MITRE ATT&CK Evaluation's Attack Flow project confirms that it correctly identifies overall attack structures. The framework resolves terminology inconsistencies between threat reports and enterprise assets, enabling flexible application regardless of organization-specific naming conventions, and provides a practical approach that reduces reliance on specialized personnel while supporting real-time threat analysis and risk-based decision-making.

I. 서론

1.1 연구 배경

최근 APT(Advanced Persistent Threat) 공격과 보안 취약점을 악용한 보안 침해사고가 급증하면서, 기업들은 '이 공격이 우리 환경에서도 가능한가?'라는 질문에 직면한다. 이러한 위협에 대응하기 위해 보안 전문 기관들은 위협 인텔리전스 보고서를 지속적으로 발간하고 있다. 위협 인텔리전스 보고서는 실제 발생한 보안 침해 사고를 분석하여 공격에 사용된 취약점(Common Vulnerabilities and Exposures, CVE), 악성코드 샘플, 침해 지표(Indicators of Compromise, IoC), 공격 단계별 행위, 공격 타겟 등이 분석 보고서 형태로 기술되어 있어, 조직이 유사한 공격에 대비하는 데 중요한 참고 자료가 된다. 그러나 이러한 위협 정보를 실무에 활용하는 과정에는 상당한 어려움이 존재한다. SANS SOC Survey 2024[1]에 따르면, 현재 SOC의 가장 큰 장애 요인으로 높은 인력 소요(14.4%), 숙련된 인력 부족(14.2%)이 2,3위로 지적되었으며, 2025년 조사[2]에서는 신규 인력 채용 시 가장 부족한 핵심 역량 중 Threat Analysis가 3위(8.1%)를 차지했다. 이는 위협 인텔리전스를 분석하고 자사 환경에 적용하는 작업이 높은 전문성과 많은 인력을 요구함을 시사한다. 특히 대부분의 조직은 보안 전문가가 위협 인텔리전스 보고서를 직접 읽고 해석하여 공격 흐름을 도식화하는 수작업 방식으로 운영되고 있다. 보고서는 비정형 텍스트로 작성되어 보고서에서 언급된 소프트웨어나 시스템의 명칭과 각 기업 내부에서 관리하는 자산의 명칭 사이에 표준이 없으며, 공격 흐름이 시간 순이 아닌 발견된 증거 순서로 나열되는 경우가 많아 실제 공격의 전개 과정을 파악하기 어렵다. 또한 보안 인프라 담당자와 보안 이벤트 분석가의 업무가 분리된 경우, 도식화된 공격 시나리오가 실제 기업 환경과 관련이 있는지를 판단하기 위해 여러 팀 간의 소통과 협업이 필수적이다. 이러한 전문가 의존적 작업과 팀 간 협업 요구는 제한된 인력으로 신속하고 일관된 분석을 수행하기 어렵게 만든다. 경영진은 복잡한 기술적 내용을 직관적으로 이해할 수 있는 보고를 요구하며, 이를 위해서는 기업 인프라 정보와 위협 분석 보고서를 통합하여 공격 흐름을 자동으로 모델링하고 시각화하는 체계가 요구된다.

1.2 기존 접근법의 한계

기존의 공격 분석 방식에는 네트워크 스캔 결과와 취약점 데이터베이스를 기반으로 공격의 경로와 가능성을 평가하는 규칙 기반 추론 방식과 위협 인텔리전스 보고서를 활용하는 전문가 중심의 수작업 분석 방식이 주로 사용되었다. 하지만 이러한 접근법들은 다음의 한계를 가진다.

첫째, 규칙 기반 방식은 새로운 공격 기법 등장 시 규칙을 수동으로 갱신해야 하므로 확장성이 떨어지며, 전문가 중심의 수작업 방식은 분석가의 경험과 해석에 따라 결과가 달라져 일관성을 보장하기 어렵다. 특히 위협 분석 역량을 갖춘 전문 인력이 업계 전반에 부족한 상황에서, 이러한 수작업 의존적 방식은 조직의 대응 역량을 크게 제약한다.

둘째, 외부에서 공개되는 APT 보고서나 위협 인텔리전스를 실시간으로 기업 환경에 반영하는 과정이 자동화되지 않아 상당한 시간과 인력이 소모된다. 비정형 텍스트로 작성된 위협 보고서를 구조화된 공격 흐름으로 변환하고, 이를 기업의 실제 자산 및 보안 정책과 매핑하는 과정은 높은 수준의 전문성을 요구하며, 여러 부서 간 협업이 필수적이다. 이는 제한된 보안 인력으로 운영되는 조직에서 신속한 위협 대응을 어렵게 만든다.

셋째, 최근 대규모 언어 모델(LLM) 기반 연구들도 위협 정보에서 TTP를 추출하거나 취약점을 분석하는 데 초점을 맞추고 있지만, 추출된 정보를 기업 인프라에 자동으로 매핑하고 실행 가능성을 평가하는 통합적인 접근은 부족한 실정이다. 특히 '이 공격이 우리 환경에서 실제로 가능한가?'라는 실무적 질문에 자동으로 답할 수 있는 end-to-end 프레임워크는 여전히 필요한 상황이다.

1.3 제안 접근법

본 연구는 LLM과 임베딩 기반 텍스트 유사도 검색을 핵심 기술로 하는 Attack Flow 자동 생성 프레임워크를 제안한다.

공격 흐름은 공격자가 최종 목표를 달성하기까지 수행하는 일련의 행위를 순차적 흐름 관점에서 모델링하고 표현하는 개념이다. MITRE는 이러한 개념을 구현한 Attack Flow 프로젝트[3]를 통해 공격 행위를 시각화하는 도구와 JSON 기반의 표준 스키마를 개발하여 공개하였으며, 실제 공격 사례를 기반으로 한 예시 Flow도 함께 제공한다. 본 연구에서는 MITRE Attack Flow 프로젝트에서 제공하는 공식 예시를 벤치마크로 활용하여 프레임워크가 생성한 결과의 정확성을 평가하였다. 본 논문에서 언급하는 Attack Flow는 MITRE의 특정 도구나 스키마가 아닌, 공격자의 행위를 순차적 흐름으로 표현하는 일반적인 개념적 접근을 의미한다.

제안 프레임워크의 동작 과정은 다음과 같다. 먼저 기업의 인프라 정보는 검색과 활용이 용이하도록 데이터를 구조화하며, 자산 정보는 위협 보고서와의 자동 매핑을 위해 텍스트 임베딩을 거쳐 벡터 데이터베이스에 저장한다. 벡터 데이터베이스를 활용하면 위협 보고서와 기업 자산 간 용어가 다르더라도 의미적 유사성을 기반으로 관련 자산을 검색할 수 있어, 각 기업의 고유한 명명 규칙에 구애받지 않는다. 신규 위협 인텔리전스 보고서가 공개되면 LLM이 보고서를 자동으로 분석하여 공격 단계별 공격 전술을 추출하고 공격 시나리오를 재구성한다. 추출된 각 공격 단계에 명시된 대상 자산과 선행 조건은 LLM을 통해 추출하며, 해당 데이터를 활용해 질의문으로 사용한다. 식별된 자산의 취약점 패치 상태, 네트워크 접근 가능성 등을 종합적으로 평가하여 해당 공격 단계가 실제 기업 환경에서 실행 가능한지를 Attack Flow 형태로 시각화한다.

생성된 공격 그래프는 MITRE ATT&CK 매핑 정보를 제공해 효율적인 통제 지점 파악을 지원하며, Mermaid(웹 시각화 툴)[4] 코드 형태로 출력해 즉시 시각화할 수 있다.

II. 관련 연구

LLM의 발전으로 사이버 보안 분야에서도 관련 연구가 활발히 진행되고 있다. 본 연구는 위협 인텔리전스 보고서를 기반으로 Attack Flow를 자동 생성하고 이를 기업 환경에서 시뮬레이션하는 것을 목표로 한다. 이는 공격 경로를 모델링하고 시각화한다는 점에서 기존의 공격 그래프(attack graph)연구와 밀접한 관련이 있으나, Attack Flow는 MITRE ATT&CK 프레임워크의 전술과 기법을 중심으로 실제 위협 인텔리전스의 맥락을 반영한다는 차이가 있다. 따라서 본 논문은 (1) 벡터 기반 보안 데이터 검색과 (2) 공격 경로 자동 생성, (3) LLM 기반 위협 인텔리전스 정보 추출이라는 세 가지 주요 영역을 중심으로 기존 연구를 검토하며, 이를 바탕으로 본 연구의 차별성을 제시한다.

2.1 벡터 기반 보안 데이터 검색

벡터 임베딩을 활용한 의미 기반 검색 기법이 보안 분야에서도 활용되고 있다. Prapty[5]는 CVE의 반구조화된 정보를 벡터 임베딩 기반 유사도 검색으로 조회하여 취약점 간 관계를 분석하고 공격 그래프를 생성하였다. 이러한 벡터 기반 검색 방식은 키워드 매칭과 달리 의미적 유사성을 기반으로 관련 정보를 검색할 수 있어, 용어 불일치 문제를 효과적으로 해결할 수 있다.

또한 LLM의 발전과 함께 RAG(Retrieval-Augmented Generation) 기법이 상용화되면서 벡터 데이터베이스를 활용한 문맥 기반 정보 검색의 중요성이 부각되고 있다. RAG는 LLM이 응답을 생성하기 전에 벡터 데이터베이스에서 관련 정보를 검색하여 참조하는 방식으로, 벡터 임베딩 기반 유사도 검색이 핵심 구성 요소이다. CyKG-RAG[6]은 CVE 정보와 SIEM 이벤트를 지식 그래프로 구조화하고 RAG를 결합하여 보안 분석가의 질문에 문맥적으로 풍부한 답변을 제공한다. 본 연구는 RAG 프레임워크를 직접 사용하지는 않지만, 벡터 임베딩 기반 유사도 검색을 활용하여 위협 보고서에 언급된 자산과 기업 내부의 실제 자산을 자동으로 매핑하는데 사용한다.

2.2 공격 경로 자동 생성

2.2.1 전통적 공격 경로 생성

전통적인 공격 그래프 생성 방식은 시스템 토폴로지, 취약점 데이터베이스, 사전 정의된 지식을 기반으로 공격 경로를 도출한다.

Attack Dynamics[7]은 MITRE 사의 CAPEC(Common Attack Pattern Enumeration and Classification)[8]을 활용하여 공격 패턴을 식별하고 잠재적 공격 경로를 추론하는 자동 공격 그래프 생성 방안을 제안했다. 이 방식은 경로 추적을 위해 사전에 정의된 공격 유형 메타데이터가 필요하다는 한계가 있다. A2G2V[9]는 시스템 명세를 AADL(Architecture Analysis and Design Language)로 기술하고 모델 체커(model checker) 도구를 활용하여 보안 속성 만족 여부를 검증함으로써 모든 가능한 공격 경로를 열거한다. 완전한 모델 기반 자동화를 제공하나, 실행 시간이 길고 신규 취약점을 반영하기 어렵다는 한계가 있다.

이러한 전통적 접근법들은 새로운 공격 기법 등장 시 수동 갱신이 필요하며, 구조화된 데이터 기반으로 동작하기 때문에 비정형 텍스트 형태의 외부 위협 인텔리전스를 실시간으로 반영하기 어렵다.

2.2.2 LLM 기반 공격 경로 생성

최근 LLM의 발전으로 자연어로 기술된 위협 정보를 자동 해석하고 공격 시나리오를 생성하는 연구가 등장하고 있다.

RAG 기반 공격 그래프 생성 연구[5]는 LLM 프롬프트 엔지니어링을 활용해 취약점 간 연결 관계를 시각화했으나, 추상적 수준에 머물러 기업 환경의 실제 영향도 평가에는 한계가 있다. AUTOATTACKER[10]은 LLM 탈옥 기법으로 익스플로잇 코드를 자동 생성하는 자율형 침투 테스팅 시스템이나, 방어자 관점의 사전 위협 평가에는 제한적이다.

기존 연구들은 개별 영역에서 성과를 보였으나, 추상적 수준의 분석에 그치거나 특정 기술 요소에 국한되어 기업의 실제 인프라와 외부 위협 인텔리전스를 통합한 현실적 공격 시나리오 시뮬레이션에는 한계가 있다.

2.3 LLM 기반 위협 인텔리전스 정보 추출

비정형 텍스트 형태의 위협 인텔리전스 보고서에서 유용한 정보를 추출하는 작업에 LLM을 통해 자동화하려는 연구가 진행되고 있다. 이러한 연구들은 주로 TTP를 자동으로 추출하는데 초점을 맞추고 있다.

"Multi-Step LLM Pipeline for Enhancing TTP Extraction in Cyber Threat Intelligence" 연구[11]는 다단계 LLM 파이프라인을 제안하여 위협 인텔리전스 보고서에서 TTP를 체계적으로 추출하는 방법을 제안한다. LLM을 활용해 위협 행위를 문장 단위로 추출하고, 문장 임베딩을 통해 ATT&CK Technique 후보를 생성하며 LLM의 추론 능력을 활용하여 단순 키워드 매칭보다 높은 정확도를 보여준다.

aCTIon 도구는[12] STIX(Structured Threat Information Expression) 번들을 구성하는 고수준 정보를 자동으로 추출한다. 이 연구는 204개의 위협 인텔리전스 보고서를 수동으로 STIX형식으로 레이블링하고, 10편의 선행 연구를 재현하여 평가하였다. 평가 결과, NLP 모델의 도입 이후 추출 도구의 성능이 향상되었으나, 악성코드, 행위자, 타깃, 공격 패턴 등의 재현율과 정밀도는 여전히 낮은 정확도를 보였다. aCTIon은 이러한 한계를 극복하기 위해 입력 텍스트 전처리(LLM 입력 길이 제한 대응), 추출 및 자기 검증 프롬프트, 보안 분석가의 STIX 기반 평가 등이 특징이다.

2.4 본 논문의 기여 사항

앞서 검토한 관련 연구들은 각각의 영역에서 의미 있는 성과를 보였으나, 다음과 같은 한계가 존재한다. 공격 그래프 생성 연구는 새로운 공격 기법에 대한 실시간 대응이 어렵고, LLM 기반 위협 분석 연구는 개별 TTP 추출에 그쳐 전체 공격 흐름의 재구성과 기업 환경에서의 실행 가능성 평가까지는 다루지 못한다. 특히 선행 연구들은 분석 보고서에서 개별 공격 기법을 추출하는 데 유용하지만, 추출된 기법들 간 순서나 인과관계를 파악하여 전체 공격 시나리오를 재구성하는 단계까지는 다루지 못한다. 또한 추출된 정보를 기업의 실제 자산이나 보안 정책과 연결하여 실행 가능성을 평가하는 용도로 사용하기에도 어려움이 있다.

본 연구는 이러한 한계를 극복하기 위해 다음과 같은 차별화된 기여를 제공한다.

첫째, 비정형 위협 인텔리전스 보고서로부터 공격의 논리적 흐름을 자동으로 재구성하는 프레임워크를 제안한다. 기존 연구들이 보고서에 기술된 순서대로 TTP를 추출하는 데 그쳤다면, 본 연구는 추출된 공격 기법들 간의 인과관계를 파악하여 공격 시나리오에 맞게 재구성한다. 이를 통해 공격의 전 과정을 Attack Flow로 표현한다.

둘째, 임베딩 기반 유사도 검색을 활용하여 추출된 공격 정보를 기업의 실제 자산 및 보안 정책과 자동으로 매핑하는 기법을 제시한다. 기업의 인프라 정보를 구조화된 형식으로 모델링하고 자산 정보를 벡터 데이터베이스에 저장함으로써, 위협 보고서와 기업 자산 간 용어가 다르더라도 의미적 유사성을 기반으로 관련 자산을 검색할 수 있다. 이는 각 기업의 고유한 명명 규칙과 데이터 구조에 구애받지 않는 범용적 적용을 가능하게 한다.

셋째, 매핑된 자산 정보를 바탕으로 각 공격 단계의 실행 가능성을 Attack Flow를 통해 시각화하는 통합 프레임워크를 구현한다. LLM이 각 공격 단계의 선행 조건을 해석하여 자연어 질의문으로 변환하고, 이를 통해 기업의 관련 자산 정보, 네트워크 접근 가능성을 종합적으로 평가한다. 평가 결과는 Attack Flow 형태로 시각화되어, 보안 담당자가 공격의 전개 과정과 자사 환경에서의 위험도를 직관적으로 파악할 수 있도록 지원한다.

이러한 기여를 통해 본 연구는 단순히 보고서로부터 TTP를 추출하는 것을 넘어, 추출된 정보를 논리적 흐름에 따라 재구성하고 이를 기업 환경과 자동으로 매핑하여 실행 가능한 Attack Flow를 시각화함으로써, "이 공격이 우리 환경에서 실제로 가능한가?"라는 실무적 질문에 자동으로 답할 수 있게 된다.

III. 제안하는 방법

위협 인텔리전스 보고서는 비정형 텍스트로 내용이 구조화되어 있지 않고 사용하는 용어도 일관된 규칙이 존재하지 않는다. 이러한 특성으로 인해 보고서에 기술된 공격의 흐름을 도식화하여 표현하기 어려울 뿐만 아니라, 해당 보고서를 기업의 실제 인프라 환경에 적용하기 위해서는 상당한 수준의 전문 지식과 수작업이 요구된다. 기존 방식에서는 보안 담당자가 보고서의 내용을 직접 읽고 해석하여 자사의 자산 데이터를 조회하는 과정을 거쳐야 했으며, 이 역시 높은 수준의 전문성을 요구하는 작업이다.

본 연구에서는 이러한 과정을 자동화하기 위해 LLM과 임베딩 기반 유사도 검색 기술을 활용한 프레임워크를 제안한다. 제안 프레임워크는 두 가지 핵심 기술을 통해 기존의 문제를 해결한다.

첫째, 위협 보고서와 기업 자산 간의 명명 규칙 불일치 문제를 해결한다. 보고서에서 언급되는 소프트웨어나 시스템의 명칭(예: "VMware Horizon")과 각 기업 내부에서 관리하는 자산의 명칭(예: "VMware Horizon View Connection Server", "Horizon VDI Server") 사이에는 정해진 표준 규약이 없다. 본 프레임워크는 자연어 임베딩 기반 유사도 검색을 활용하여 이러한 표현 차이에도 불구하고 의미적으로 동일한 자산을 자동으로 매핑한다.

둘째, 비정형 위협 보고서로부터 공격 시나리오를 자동으로 구조화한다. LLM을 통해 비정형 텍스트에서 TTP를 자동 추출하고, 공격 단계 간의 논리적 흐름을 재구성하여 구조화된 데이터로 변환한다. 또한 LLM이 각 공격 단계의 선행 조건을 해석하여 자연어 쿼리를 생성함으로써, 공격에 사용된 네트워크 통신 정보를 파악하고 해당 방화벽 정책의 존재 여부를 자동으로 확인한다.

이를 통해 보안 담당자의 수작업을 최소화하면서도 위협 인텔리전스를 기업 환경에 신속하고 정확하게 적용할 수 있다.

3.1 전체 아키텍처 구성

본 연구에서 제안하는 프레임워크는 크게 네 개의 핵심 모듈로 구성된다[Fig 1]. 첫 번째는 자산 정보 지식화 모듈로, 기업의 자산 정보를 구조화하고 검색 가능한 형태로 변환한다. 두 번째는 위협 정보 분석 모듈로, 위협 인텔리전스 보고서를 분석하여 공격 시나리오를 자동으로 생성한다. 세 번째는 공격 경로 시뮬레이션 모듈로, 생성된 공격 시나리오가 실제 기업 환경에서 실행 가능한지를 평가한다. 마지막으로 시각화 모듈은 분석 결과를 직관적인 그래프 형태로 시각화한다. 이러한 모듈은 순차적으로 동작하며, 각 모듈의 출력은 표준화된 형식으로 저장되어 다음 단계의 입력으로 활용되거나 독립적으로 재사용될 수 있도록 설계되었다.

Fig. 1. AutoFlow Framework

3.1.1 자산 정보 지식화(enterprise knowledge)

이 모듈은 기업 내부의 다양한 자산 정보를 검색 가능한 형태로 변환하는 역할을 수행한다. 시스템 자산 정보, 네트워크 토폴로지, 보안 장비 구성, 시스템 취약점 정보 등은 JSON 형식으로 구조화되어 각 자산 간의 네트워크 연결성과 보안 제어 정책이 명시적으로 표현된다. 자산 정보의 모든 속성이 임베딩 과정을 거쳐 벡터 데이터베이스에 저장된다. 벡터 데이터베이스를 활용하면 위협 보고서와 기업 자산 간 용어가 다르더라도 의미적 유사성을 기반으로 관련 자산을 검색할 수 있어, 각 기업의 고유한 명명 규칙에 구애받지 않는다. 벡터 데이터베이스에 저장된 자산 정보는 이후 공격 경로 시뮬레이션 모듈에서 유사도 기반 자산 검색에 활용되어, 자연어 쿼리를 통한 의미 기반 검색을 가능하게 한다.

3.1.2 위협 정보 분석(threat intelligence analysis)

이 모듈은 위협 인텔리전스 보고서로부터 공격 시나리오를 자동으로 추출하고 구조화하는 핵심 모듈이다. LLM의 자연어 처리 능력을 활용하여 위협 분석 보고서로부터 TTP를 자동 추출하고, 이를 공격의 흐름대로 재구성한다.

위협 인텔리전스 보고서는 발견된 공격 흔적의 순서나 MITRE ATT&CK 전술 분류에 따라 작성되는 경우가 많아, 실제 공격자가 수행한 시간적 순서와는 차이가 있을 수 있다. 따라서 본 모듈은 보고서에서 공격의 전체 맥락을 파악한 후, 각 단계의 선행 조건과 대상 자산 등 주요 요소를 보강하면서 논리적인 공격 흐름대로 재구성하는 과정을 거친다. 이는 단순히 보고서에 기술된 순서를 따르는 것이 아니라, 공격자의 실제 시나리오를 복원하는 것을 목표로 한다. 추출된 각 공격 단계는 공격 기법의 명칭, MITRE ATT&CK 기법, 대상 자산의 유형, 선행 조건, 요구되는 접근 권한 등의 메타데이터를 포함하여 JSON 형태로 구조화된다. 구조화된 공격 시나리오는 다음 단계에서 기업 자산 정보와 결합되어 실행 가능성 평가에 활용된다.

3.1.3 공격 경로 시뮬레이션(attack path simulation)

이 모듈은 추출된 공격 시나리오의 각 단계가 실제 기업 환경에서 실행 가능한지를 평가한다. 위협 정보 분석 모듈에서 추출된 공격 단계의 요구사항과 자산 정보 지식화 모듈에 구축된 기업 자산 정보를 연결하여 해당 자산을 검색하고, 네트워크 접근 가능성을 평가한다. LLM이 각 공격 단계의 자연어 선행 조건을 해석하여 검색 질의문을 생성하여 보안 정책을 조회하고, 자연어 임베딩 기반 유사도 검색을 통해 의미적으로 유사한 자산을 매칭한다.

3.1.4 시각화(visualization)

이 모듈은 분석되고 평가된 공격 시나리오를 직관적인 그래프 형태로 시각화한다. LLM이 공격 경로 시뮬레이션 모듈의 결과를 읽어 Mermaid[4] 코드를 자동으로 생성하며, 각 공격 단계의 실행 가능성 여부를 시각적으로 확인할 수 있다. Mermaid는 텍스트 기반의 다이어그램 생성 언어로 웹 브라우저에서 즉시 렌더링할 수 있으며, 코드 형태로 저장되어 버전 관리와 수정이 용이하다. 이러한 시각화는 복잡한 공격 시나리오를 보다 직관적으로 이해할 수 있게 도우며, 우선적으로 대응해야 할 위협 경로를 식별하는 데 중요한 역할을 한다.

3.2 특징 및 장점

제안하는 프레임워크는 다음과 같은 특징과 장점을 가진다. 첫째, 각 모듈의 출력이 표준화된 형식으로 저장되어 모듈화와 재사용성이 보장되며, 특정 모듈만을 선택적으로 재실행하거나 다른 목적으로 재활용할 수 있다. 둘째, LLM 기반 자연어 처리와 임베딩 기반 유사도 검색을 활용하여 유연하게 적용 가능하다. 셋째, TTP 추출부터 자산 매핑, 실행 가능성 평가, 시각화까지 전 과정을 자동화하여 수작업을 최소화하여 시간과 인적 자원을 크게 절감하며 일관된 분석 품질을 유지하게 된다.

IV. 구현 및 평가

본 연구에서 제안하는 프레임워크는 Python 3.9 언어와 LangChain 라이브러리를 사용하여 개발되었으며, LLM은 OpenAI의 GPT-5.1 모델을 활용하였다. LLM의 불필요한 추론(hallucination)을 방지하고 일관된 결과를 얻기 위해 Temperature 파라미터는 0으로 고정하여 결정론적인 출력을 유도하였다. 동일한 프롬프트와 입력 조건 하에서 10회 반복 실행하여 결과의 일관성을 평가하였다. 자산 매핑을 위한 임베딩 모델로는 OpenAI의 text-embedding-ada-002 모델을 사용하였으며, 이는 8,192토큰의 컨텍스트 길이를 지원하고 1,536 차원의 벡터를 생성한다. 벡터 데이터베이스로는 PostgreSQL 16.11에서 제공하는 pgvector 0.8.1 확장 기능을 사용하였다. 유사도 측정에는 코사인 유사도(cosine similarity)를 사용하였으며, 각 분석 단계별 프롬프트는 구조화된 JSON출력을 위해 최적화되었다.

4.1 위협 시나리오 데이터

실험에 활용된 위협 시나리오는 CISA (Cybersecurity and Infrastructure Security Agency)에서 분석한 “Iranian Government-Sponsored APT Actors Compromise Federal Network, Deploy Crypto Miner, Credential Harvester [13]”를 활용하였다. 해당 공격은 VMWare Horizon 서버의 Log4Shell 취약점(CVE-2021-44228)을 악용하여 초기 침투를 시작하고, 이후 XMRig 암호 화폐 채굴 소프트웨어를 설치하고, 도메인 컨트롤러로 측면 이동(lateral movement)를 수행한다. 최종적으로 지속성(persistence) 유지를 위해 여러 호스트에 Ngrok 역방향 프록시를 설치하는 형태로 공격을 진행한다.

본 시나리오를 벤치마크로 선정한 이유는 다음과 같다. 해당 시나리오는 MITRE ATT&CK Evaluations의 Center for Threat-Informed Defense에서 Example Flows[14]로 제공되어, 생성한 시나리오의 정확성 및 올바른 구성 여부를 비교 분석할 수 있다. 또한 초기 침투부터 내부 정찰, 권한 상승, 데이터 탈취까지 광범위한 ATT&CK 전술 및 기술을 포괄적으로 사용하므로, 제안 프레임워크의 복합 시나리오 처리 능력을 평가하기에 적합하다.

4.2 모의 기업 환경 데이터

제안 프레임워크의 공격 경로 시뮬레이션 기능을 검증하기 위해 가상의 3-Tier 기반 기업 환경 데이터를 구축하였다. 본 실험은 CISA Iranian APT 시나리오를 기준으로 설계되었으며, 각 네트워크 구간은 방화벽으로 분리되어 통신 정책이 적용된 상태를 가정한다. 실험 환경은 단일 APT 사례를 기반으로 구성되었으므로, 본 연구 결과의 일반화에는 한계가 있다. 다만, 환경 구성 데이터를 구조화하고 각 단계를 모듈화함으로써, 향후 다양한 공격 시나리오에 대한 확장 실험이 가능하도록 설계하였다. 이를 통해 제안 프레임워크의 분석 결과를 다양한 조건에서 테스트가 가능하다.

Fig. 2. Network topology of the experiment environment

4.3 자산 정보 지식화

자산 정보는 앞서 공격 수행이 가능한 모의 환경 구성을 바탕으로 JSON 형식으로 준비하였다. 이후 자산의 속성 정보(Key:Value 쌍)만을 추출하여 OpenAI의 텍스트 임베딩 모델을 사용하여 벡터 표현으로 변환하였으며, 이 벡터 정보는 pgvector에 저장된다.

[{

"asset_id": "HORIZON001",

"type": "vdi_server",

"os": "Photon OS (VMware Horizon)",

"ip": "100.0.0.10",

"software" : ["VMWare Horizon Connection Server", "Apache Log4j", "Java8/11"],

"vulns": ["CVE-2021-44228"]

}, ...]

4.4 위협 정보 분석

CISA Iranian APT 보고서를 LangChain의 WebBaseLoader 모듈을 통해 수집하고, 이를 정교한 공격 시나리오로 변환하기 위해 3단계 프롬프트 프레임워크를 제안한다. (Stage 1) Map-Reduce 전략으로 공격의 뼈대인 전술, 기법 (tactic, technique)을 추출하고, (Stage 2)에서는 세부 필드를 채워 넣어 세부 정황을 결합하여 데이터의 밀도를 향상시켰다. (Stage 3)는 공격의 흐름대로 재구성하는 타임라인 재구성 단계를 적용하여 시간 순으로 정렬되지 않은 위협 정보를 실제 공격 흐름에 맞게 재배열하였다.

APT 분석 보고서는 발견된 로그의 정황이나 획득된 Technique을 MITRE ATT&CK 전술 순서대로 나열한다는 점에서 착안하여, 이를 실제 공격 흐름에 맞게 재배열하는 단계를 추가 수행하도록 했다. 이는 인과 관계 및 논리적 의존성 분석을 통해 시간 순으로 재구성된 시나리오는 공격 그래프의 정확성을 높이는데 기여한다.

Stage 1: TTP Skeleton Extraction(Map-Reduce)

[Map Prompt Template]

Role: You are an expert APT (Advanced Persistent Threat) analyst.

Instruction: Read the provided document chunk and extract all MITRE ATT&CK Tactics and Technique IDs corresponding to each attack step.

Rules:

Identify every attack step described in the text.

Map each step to the appropriate MITRE ATT&CK Tactic and Technique ID.

List steps in the order they occur in the narrative, including duplicates if the same technique is used multiple times.

Output Format: Strictly a JSON array (Fields: step, tactic, technique_id, technique).

[Reduce Prompt Template]

Role: You are an expert APT analyst.

Instruction: Merge the [Existing JSON List] and the [New JSON List] into a single, unified JSON array.

Rules:

Combine all objects from both lists.

Sort the combined list in ascending order based on the numeric value of the step field.

Output Format: Valid JSON array without any markdown formatting or explanations.

Stage2 : Detail Filling

Role: You are an expert Security Operations Center (SOC) agent.

Instruction: Generate a Final Attack Scenario JSON Object by enriching the provided [TTP Skeleton] with details from the [Original Document Content].

Rules:

Enrichment: Fill all fields (action, action_detail, network_info, etc.) using specific facts from the content and MITRE ATT&CK descriptions.

Gap Filling (Crucial): If the skeleton misses critical attack steps described in the content, you must add new steps to ensure logical connectivity.

Output Format: A single, valid JSON object following the predefined structure (including use_cve, direction, target_asset, etc.).

Stage 3: Chronological Timeline Reconstruction

Role: You are an expert CTI Analyst and APT Scenario Reconstruction Agent.

Instruction: Analyze the logical dependencies and causal relationships between actions to reorder the JSON array into a realistic chronological timeline.

Reconstruction Logic & Rules:

Initiation: 'Initial Access' must be the first step.

Foundation: Prioritize 'Defense Evasion', 'Execution', or 'C2' immediately after access to secure the foothold.

Establishment: Follow with 'Discovery' and 'Persistence' after control is secured.

Expansion: 'Credential Access' should precede or accompany 'Lateral Movement'.

Conclusion: 'Defense Evasion' for cleanup (e.g., deleting logs) must be placed at the very end.

Dependency Check: Ensure logical flow (e.g., Tool transfer [T1105] before execution[T1059]).

Constraint: Keep all original fields exactly as they are; only update the step field to reflect the new order.

Output Format: Only the reordered valid JSON array.

4.5 공격 경로 시뮬레이션

이 단계는 Asset Retriever와 Firewall Rule Finder 두 가지 구성 요소로 이루어진다. Asset Retriever는 공격 단계별 정보를 LLM에 전달하여 공격 대상 자산의 유형을 질의하고, Vector DB에서 유사도 기반 조회를 수행한다. Firewall Rule Finder는 Few-Shot 프롬프트를 활용하여 통신이 필요한 단계를 정형화된 JSON 형식으로 출력하면 해당정보를 활용해 방화벽 정책을 조회한 결과를 추가한다. Few-Shot 프롬프트는 원하는 출력 형식의 몇가지 예시를 프롬프트에 포함시켜 LLM이 패턴을 학습하고 동일한 형식으로 응답하도록 유도하는 기법이다.

Fig. 3. Firewall-rule Finder

Role: An agent specialized in understanding network attack actions and reconciling them with firewall policies.

Instruction: Analyze the transition between the previous step and the current step to generate a JSON-formatted firewall query only when a legitimate network session is identified.

Decision Criteria (Inclusion):

New Connection Attempts, Required Open Ports, Lateral Movement

Exclusion Rules (Crucial for Optimization):

Local Execution, Existing Session Persistence, Intra-Subnet Traffic

Output Format:

{{'protocol': 'TCP',

'port':3389,

'direction': 'inbound',

'source': '0.0.0.0/0',

'destination': '192.168.0.30'

}}, ...

Fig. 4. Asset Retriever

Role: You are an expert Cyber Security Analyst responsible for identifying Target Assets and Firewall Policy Subjects/Objects (FW Source/Dest). Analyze the provided JSON object according to the strict rules below.

Inferenceand Extraction Rules

1. Determine Local Execution

Criteria: Check if network_info shows port: 0 or protocol: 'n/a', or if action_detail describes local actions

.Result: Treat as NO network communication. Set source and destination to null.target_asset is the host where the action was executed.

2. Identify Victim Asset (Target Asset)

If NOT local, identify the specific asset affected. Use the Tactic/Technique to derive specific names

3. Identify FW Communication Subject/Object

Extract source/destination ONLY if clear network communication is confirmed. Even if direction is "Internal → Internal", local actions MUST return null for both fields.

4. Naming Convention:

Avoid abstract phrases; use the most specific asset names found in the JSON

Output Format:

{

"source": “1.1.1.1”,

"destination": “2.2.2.2”,

"target_asset": “Linux Server”

}

4.6 시각화

최종 JSON 파일을 LLM에 질의하여 Mermaid 코드로 변환한다. MITRE ATT&CK Evaluations의 Attack Flow V3 프로젝트를 참조하여 설계하며, LLM에게 노드의 유형별 스타일(색상, 테두리, 레이블 형식), 엣지의 연결 규칙, 실행 가능 여부에 따른 시각적 구분 방법 등을 상세히 명시한 규칙을 프롬프트로 제공한다.

Role: You are an expert Cyber Security Analyst responsible for identifying Target Assets and Firewall Policy Subjects/Objects (FW Source/Dest). Analyze the provided JSON object according to the strict rules below.

Inference and Extraction Rules:

1. Determine Local Execution (Crucial)

Criteria: If network_info shows port 0/protocol 'n/a' or action_detail describes local actions, treat it as NO network communication.

Result: Set source and destination to null. target_asset is the host where the action was executed.

2. Identify Victim Asset (Target Asset)

If NOT local, identify the specific affected asset. Derive specific names from the Tactic/Technique

3. Identify FW Communication Subject/Object

Extract source/destination ONLY if clear network communication is confirmed. Even if direction is "Internal→Internal", local actions MUST return null for both fields.

4. Naming Convention

Avoid abstract phrases; use specific asset names found in the JSON.

Output Format:

{

"source": "Source asset name (null if not applicable)",

"destination": "Destination asset name (null if not applicable)",

"target_asset": "Specific asset name affected"}

완성된 그래프는 [Appendix Fig A]로 확인할 수 있다.

4.7 평가 결과

생성된 공격 시나리오를 Attack Flow 프로젝트의 Example Flows와 비교 분석하였다. [Table 1]은 Attack Flow(Lauren Parker 작성)와 본 연구의 AutoFlow가 생성한 결과를 비교한 것이다.

Table 1. Expert analysis based on Parker, L. Attack flow methodology. Left column shows manual expert Example flow; right column shows AutoFlow.

비교 결과, 상세한 단계들의 순서와 일부 Technique 매핑에는 차이가 있지만, 공격의 전술을 논리적으로 설명하는 핵심 단계는 일치함을 확인할 수 있었다. 두 결과 모두 MITRE ATT&CK Framework의 주요 전술을 포함하고 있으며, 전체적인 공격 흐름을 재현하고 있었으나, 공격 단계의 배치와 기법 매핑에서 일부 차이가 나타났다. 이러한 차이점을 구체적으로 분석한 내용은 다음과 같다.

4.7.1 공격 순서 차이

Lauren Parker이 작성한 Attack Flow에서는 LSASS 메모리 덤프(T1003.001)를 마지막 단계에 배치하였으나, AutoFlow는 이를 측면 이동 직전에 배치하였다. AutoFlow는 보고서 내 자격 증명 관련 내용(LSASS 덤프, Mimikatz 사용 등)을 연관된 행위로 판단하고, "자격 증명 획득 → 활용 → 측면 이동"이라는 논리적 흐름을 가정하였다.

그러나 실제로는 LSASS 덤프로 얻은 자격 증명과 측면 이동에 사용된 자격 증명이 별개로 확인되었다. 이러한 오류는 여러 요인이 복합적으로 작용한 결과로 볼 수 있다. 첫째, 위협 인텔리전스 보고서 자체가 발견된 증거의 순서나 분석 편의에 따라 작성되어 실제 공격의 시간적 순서를 명시적으로 제공하지 않았다. 둘째, LLM이 보고서에 등장하는 유사한 개념(자격 증명)을 과도하게 연관시켜 논리적 인과관계를 잘못 추론하였다. 이는 비정형 보고서로부터 공격 시나리오를 자동 재구성할 때 보고서의 구조적 한계와 LLM의 추론 한계가 모두 고려되어야 함을 시사한다.

이러한 단일 보고서 기반 분석의 한계로 복수 보고서 교차 검증 방식을 통해 개선될 수 있다. 동일 공격 그룹에 대한 여러 기관의 보고서를 함께 분석함으로써, 개별 보고서에서 누락되거나 불명확한 시간 정보 및 인과관계를 상호 보완하여 공격 순서 재구성의 정확도를 높일 수 있을 것으로 기대된다.

4.7.2 Technique 매핑 차이

공격 시나리오의 구조화 과정에서 개별 행위를 독립적인 단계로 세분화할 것인지, 혹은 연관된 행위들을 통합하여 표현할 것인지는 분석가의 관점과 분석 목적에 따라 달라지는 주관적인 영역이다. 실제로 동일한 사고를 기반으로 작성된 Example Flow와 Auto Flow 간에도 단계 구성의 차이가 존재하며, MITRE ATT&CK Framework 역시 하나의 공격 행위에 대해 여러 기법을 적용할 수 있는 유연성을 제공한다.

벤치마크 Example Flow와 AutoFlow 간에 나타난 주요 차이점을 살펴보면 다음과 같다. 방어 우회(defense evasion) 단계에서 Example Flow는 PowerShell을 통한 Defender 무력화(T1059.001)와 C:\ 드라이브 전체 Defender 제외(T1562.001)를 별도 단계로 구분한 반면, AutoFlow는 이를 Windows Defender 설정 수정(T1562.001)으로 통합하여 표현하였다. 측면 이동(lateral movement) 단계에서는 기본 계정을 통한 VDI-KMS 호스트 이동에 대해 Example Flow는 별도의 Technique ID를 부여하지 않았으나, AutoFlow는 기본 사용자 계정 악용(T1078.001)과 RDP를 통한 이동(T1021.001)으로 명시적으로 매핑하였다. 또한 도구 배포 단계에서 Example Flow는 각 단계에서 개별적으로 도구를 다운로드하는 것으로 표현한 반면, AutoFlow는 초반에 주요 도구를 일괄 다운로드하고 중간에 추가 도구를 전송받는 형식으로 그룹화하였다.

4.7.3 기업 자산 검색

[Fig 5]는 Iranian APT 시나리오의 초기 침투 단계에서 VMware Horizon 서버를 대상으로 한 Log4Shell 취약점 공격이 모의 기업 환경의 실제 자산과 어떻게 매핑되었는지를 보여준다. 임베딩 기반 자산 검색 결과, 공격 대상으로 명시된 "VMware Horizon"에 대해 시스템은 자산 ID "HORIZON001", 유형 "vdi_server"를 성공적으로 식별하였다. 자산 정보에 "VMWare Horizon Connection Server Apache Log4j Java 8.11"이라는 세부 정보가 포함되어 있음에도 위협 보고서의 간략한 표현만으로 정확한 매핑이 이루어졌으며, 유사도 점수 0.881는 의미적 유사성 기반 검색의 효과를 보여준다. 이는 제안 프레임워크가 문자열 기반 매칭이 아닌 의미 기반 검색을 통해 용어 불일치 문제를 효과적으로 해결하며, 자산과 관련된 메타데이터를 통합 제공하여 실행 가능성을 종합 평가할 수 있음을 실증한다.

Fig. 5. Part of AutoFlow step

4.7.4 종합 평가

전체적으로 AutoFlow는 공격의 주요 전술과 핵심 흐름을 정확하게 재현하였다. 공격 순서 재구성에서 나타난 오류(4.7.1)는 자연어 기반 LLM 분석의 한계를 보여주지만, Technique 매핑의 차이(4.7.2)는 분석 방식의 차이로 해석할 수 있다. 기업 자산 매핑(4.7.3)에서는 임베딩 기반 유사도 검색이 용어 불일치 문제를 효과적으로 해결하였으며, 관련 메타 데이터를 통합 제공하여 실행 가능성 평가를 가능하게 하였다.

또한 동일한 입력으로 10회 반복 실험한 결과, 문장 표현에는 일부 차이가 있으나 의미적·구조적 측면에서는 일관된 결과를 보였다. 이는 위협 인텔리전스의 자동 분석 및 구조화가 실무에 적용 가능한 수준임을 시사한다.

V. 토론

본 연구는 APT 분석 보고서를 기반으로 공격 흐름을 자동으로 도식화하고, 각 공격 단계를 기업의 실제 자산 및 보안 정책과 매핑하여 해당 공격이 기업 환경에서 실행 가능한지를 평가할 수 있는 프레임워크를 제안한다. 제안 프레임워크가 실무 환경에서 제공할 수 있는 가치는 크게 두 가지로 요약할 수 있다.

첫째, 보안 운영 조직의 업무 효율성을 개선하고 위협 분석 역량의 격차를 완화할 수 있다. 1.1절에서 언급한 바와 같이, SANS SOC Survey[1,2]는 위협 분석이 높은 수준의 전문성과 상당한 인적 자원을 요구하는 작업인데 현실적으로 숙련된 분석 인력의 확보는 어려움을 보여준다. 기존 방식에서는 보안 분석 전문가가 위협 인텔리전스 보고서를 직접 읽고 해석하여 공격 흐름을 도식화해야 했으며, 보안 인프라 담당자와 보안 이벤트 분석가의 업무가 분리된 경우 도식화된 공격 시나리오가 실제 기업 환경과 관련이 있는지를 판단하기 위해 여러 팀 간의 소통과 협업이 필수적이었다. 본 프레임워크는 LLM을 활용하여 위협 보고서가 공개되면 TTP 추출, 공격 흐름 재구성, 기업 자산 매핑, 실행 가능성 평가를 자동으로 수행함으로써, 1.1절에서 제시된 전문가 의존적 작업과 팀 간 협업 부담을 크게 줄일 수 있다.

둘째, 공격 시나리오를 시각화함으로써 위협의 실행 가능성과 대응 지점을 직관적으로 파악할 수 있다. 제안 프레임워크가 생성하는 Attack Flow는 각 공격 단계마다 관련 자산 정보, 네트워크 통신 정보를 함께 표시한다. 보안 담당자는 이를 통해 "이 공격의 초기 침투는 우리 환경에서 가능하지만, 측면 이동 단계는 내부 방화벽 정책으로 차단된다." 또는 "이 공격 경로는 우리가 이미 패치한 취약점을 활용하므로 위협이 되지 않는다."와 같은 판단을 직관적으로 내릴 수 있다. 특히 경영진이나 내부 팀 간 소통 시, 복잡한 기술적 설명 없이 시각화된 그래프만으로 "이 공격은 우리 환경에서 3단계까지는 진행 가능하나 4단계에서 차단됩니다."라는 메시지를 명확하게 전달할 수 있다. 또한 공격이 실제로 실행 가능한 경로로 판단될 경우, 그래프에 표시된 각 단계의 MITRE ATT&CK 매핑 정보를 참고하여 어느 지점에 탐지 룰을 추가하거나 보안 제어를 강화해야 할지를 전략적으로 결정할 수 있다.

다만 본 연구에서 제안한 프레임워크에는 몇 가지 개선 여지가 있다. 현재 위협 정보 분석 모듈은 하나의 APT 보고서만을 입력으로 받아 TTP를 추출하고 공격 단계를 재구성한다. 4.7절의 평가 결과에서 나타난 바와 같이, 단일 보고서만으로는 공격 단계 간의 인과관계를 정확히 파악하지 못해 순서를 잘못 재구성하는 오류가 발생할 수 있다.

실무에서는 동일한 보안 사고에 대해 여러 기관에서 각자의 관점으로 작성한 보고서가 존재한다. 예를 들어 백신 업체는 악성 파일 분석에, SIEM 업체는 네트워크 패킷 특징 및 탐지 규칙에, CERT는 전체 공격 흐름과 대응 방안에 초점을 맞추는 등 보고서마다 강조하는 부분이 다르다. 이러한 특성을 활용하여 복수의 보고서를 통합 분석한다면, 단일 보고서에서 생략되었던 세부 정보를 보완하고 공격 시나리오의 완성도를 높일 수 있다.

구체적인 통합 방식으로는 두 가지 접근을 고려할 수 있다. 첫째, 동일 사고에 대한 복수 보고서를 LLM에 동시에 입력하여 "이 보고서들은 동일한 공격 캠페인을 다룬다."는 맥락을 제공하고, LLM이 각 보고서의 상호보완적 정보를 종합하여 하나의 통합된 공격 시나리오를 생성하도록 유도하는 병렬 처리 방식이다. 둘째, 첫 번째 보고서로부터 초기 공격 시나리오를 생성한 후, 추가 보고서를 순차적으로 분석하면서 새로운 공격 단계나 세부 정보가 발견되면 기존 시나리오에 통합하는 순차 보완 방식이다. 예를 들어 백신 업체 보고서에서 악성 파일 실행 이후의 상세한 행위가 누락되었다면, SIEM 업체 보고서의 네트워크 통신 정보를 참조하여 이를 보완할 수 있다. 이러한 다중 보고서 통합 전략은 각 기관의 전문 영역을 활용하여 보다 완전하고 정확한 공격 시나리오를 구성할 수 있을 것으로 기대된다.

또한 현재 프레임워크는 보안 장비 중 방화벽 정책만을 조회하도록 구현되어 있으나, 실무 환경에서는 더 다양한 보안 제어 장치의 상태를 확인해야 한다. 예를 들어 보고서에서 제공되는 악성 파일의 해시값을 백신 탐지 이력과 대조하거나, C2 서버 IP 주소에 대한 IPS 차단 이력을 조회하는 등의 기능을 추가한다면, 보안 담당자는 "이 악성코드는 이미 우리 백신에서 탐지되고 있습니다." 또는 "해당 C2 서버는 3개월 전부터 차단 목록에 포함되어 있습니다."와 같은 추가 정보를 얻을 수 있다. 이러한 확장은 모듈화된 구조 덕분에 기존 시스템의 큰 수정 없이 공격 경로 시뮬레이션 단계에 새로운 검증 로직을 추가하는 방식으로 구현할 수 있으며, 실제 보안 운영 환경에서의 활용도를 더욱 높일 수 있을 것이다.

VI. 결론

본 연구는 위협 인텔리전스 보고서를 자동으로 분석하여 공격 그래프를 생성하고, 이를 기업 인프라에 적용 가능한지 시뮬레이션하는 프레임워크를 제안하였다. 기존에는 보안 전문가가 수작업으로 수행해야 했던 보고서 분석, TTP 추출, 자산 매핑, 실행 가능성 평가, 그래프 시각화의 전 과정을 LLM을 활용하여 자동화하였다. CISA에서 공개한 Iranian APT 공격 시나리오를 대상으로 실험한 결과, 제안 프레임 워크는 공격의 주요 전술과 핵심 흐름을 정확하게 재현하였으며, MITRE ATT&CK Evaluations의 표준 벤치마크와 비교했을 때 전체적인 공격 구조를 올바르게 파악하고 있음을 확인하였다.

본 연구의 핵심 기여는 다음 세 가지로 요약할 수 있다. 첫째, 비정형 텍스트 형태의 위협 인텔리전스 보고서로부터 구조화된 공격 시나리오를 자동으로 생성하는 Two-Pass 분석 전략을 제안하였다. 이는 복잡한 보고서에서 공격의 뼈대를 먼저 파악한 후 세부 정보를 채워 넣는 방식으로, 공격 단계의 누락을 방지하면서도 시간순이 아닌 논리적 흐름으로 재구성할 수 있다. 둘째, 자연어 임베딩 기반 유사도 검색을 활용하여 위협 보고서의 용어와 기업 자산 관리 시스템의 용어가 다르더라도 의미적으로 유사한 개체를 자동으로 매칭하는 기법을 제시하였다. 또한 각 공격 단계의 선행 조건을 분석하여 공격 수행에 필요한 선후관계를 파악한 결과를 쿼리를 통해 네트워크 통신 가능성을 함께 검색하여 결과에 반영한다. 이는 각 기업의 고유한 명명 규칙이나 데이터 구조에 제약받지 않고 프레임워크를 적용할 수 있게 하며, 공격 단계별 실행 가능성을 자동으로 판단할 수 있게 한다. 셋째, 모든 분석 단계를 독립적인 모듈로 설계하고 표준화된 형식으로 데이터를 교환하도록 하여, 새로운 기능의 추가나 특정 모듈의 개선이 용이한 확장 가능한 구조를 제공하였다.

본 연구의 결과는 위협 인텔리전스를 실무에 활용하는 데 있어 중요한 진전을 의미한다. 보안 담당자는 본 프레임워크를 활용하여 새로운 위협 보고서가 공개될 때마다 자사 환경에서의 위험도를 신속하게 평가할 수 있으며, 우선적으로 대응해야 할 공격 경로를 시각적으로 파악할 수 있다. 또한 방화벽 정책이나 시스템 구성이 변경될 때마다 재분석을 수행하여 새로운 취약점이 발생하는지를 모니터링할 수 있다. 향후 연구에서는 복수의 위협 보고서를 통합 분석하여 정확도를 높이고, 백신 탐지 이력이나 IDS/IPS 로그 등 다양한 보안 제어 장치와의 연동을 통해 보다 포괄적인 위협 평가가 가능하도록 프레임워크를 확장할 계획이다. 이를 통해 위협 인텔리전스의 실무 활용도를 한층 높이고, 조직의 사이버 보안 대응 역량을 강화하는 데 기여할 수 있을 것으로 기대한다.

Appendix