금융회사에서 LLM을 활용한 CTI-to-MITRE ATT&CK 매핑 기반 위협 헌팅

A Practical Approach to LLM-Assisted CTI-to-MITRE ATT&CK Mapping for Threat Hunting in Financial Institutions

Abstract

국내 금융회사는 망분리, 로그 반출 제한 등 강한 규제로 인해 LLM 기반 보안 분석 수행에 구조적 제약을 가진다. 본 논문은 이러한 환경을 전제로 LLM을 보조 도구로 활용하여 CTI를 MITRE ATT&CK TTPs에 매핑하는 위협 헌팅의 도입 방안을 제안한다. 금융회사 규제·인프라 특성을 분석하여 제약 사항을 정리하고, CTI 수집·요약, LLM 기반 TTPs 후보 매핑, ATT&CK 지식베이스-SIEM 연계를 포함하는 수행 절차와 단계적 도입 방안을 고안하였다. 또한 GPT-5.1과 ATT&CK Enterprise v18.1을 이용하여 금융보안원 CTI 리포트 4건의 87개 문장(121개 레코드)에 대한 TTPs 매핑을 수행하고, 보안담당자 관점의 0~4점 수용도 평가를 통해 83.47%의 출력이 실무용 후보로 활용 가능함을 확인하였다. 결론적으로 망분리 등 규제에도 불구하고 금융회사에서 LLM을 보조 도구로 활용하여 위협 헌팅을 수행할 수 있음을 보인다.

Korean financial institutions face structural constraints on LLM-based security analysis due to stringent regulatory requirements, including network segregation mandates and restrictions on exporting security logs. This paper proposes an adoption approach for threat hunting that uses an LLM as an assistive tool to map cyber threat intelligence (CTI) to MITRE ATT&CK TTPs. We analyze regulatory and infrastructure constraints and design a procedure covering CTI collection and summarization, LLM-based TTP candidate mapping, and ATT&CK knowledge base-SIEM linkage. Using GPT-5.1 and MITRE ATT&CK Enterprise v18.1, we mapped TTPs for 87 sentences(121 records) from four Financial Security Institute CTI reports and evaluated the outputs on a 0-4 acceptability scale. The results show that 83.47% of the outputs were usable as operational candidates, indicating that LLM-assisted threat hunting can be applied in regulated, network-segregated environments.

I. 서론

1.1 연구 배경

국내 금융회사는 전자금융감독규정, 개인정보보호법, 신용정보법 등에 따라 엄격한 정보보호 체계 및 통제를 요구받는다. 이에 따라 물리적 망분리 및 논리적 망분리 구조가 일반화되어 있으며, 보안 로그·패킷과 같은 데이터는 외부로 반출하기 어렵다[1]. 이러한 구조는 침해사고 확산을 줄이는 데 효과적이지만, 대규모 언어모델(LLM)을 포함한 최신 AI 기반 탐지·분석 기술을 도입할 때 데이터 활용과 모델 운용에 제약 사항으로 작용한다.

한편 CTI와 MITRE ATT&CK TTPs를 활용하여 위협을 분석하는 위협 헌팅 방안이 제안되어 왔다[2]. CTI 리포트에는 공격 그룹, 표적, TTPs 체인, 사용 도구·인프라 등 정보가 풍부하게 포함되어 있다. 이를 MITRE ATT&CK TTPs에 매핑해 지식베이스로 관리하면 위협 헌팅, 탐지 규칙 설계, 모의침투·해커 에뮬레이션에 활용할 수 있다. 최근에는 CTI 텍스트로부터 MITRE ATT&CK TTPs를 자동으로 인식·분류하기 위해 LLM을 활용하는 연구가 등장하고 있으며, LLM을 위협 헌팅 워크플로우, 쿼리 생성, 플레이북 기반 자동화에 접목하려는 시도도 활발하다[5-15].

1.2 문제 제기

기존 LLM을 활용한 위협 헌팅 연구는 퍼블릭 클라우드 LLM, 공개된 CTI 뿐만 아니라 보안 로그 데이터를 활용할 수 있는 개방형 환경을 전제로 한다. 반면 국내 금융회사는 인터넷망과 내부망이 물리·논리적으로 분리되고, 개인정보·신용정보를 포함한 보안 로그 데이터를 외부 LLM 서비스로 전송 또는 반출할 수 없다. 따라서 기존 LLM 활용 위협 헌팅 연구를 금융회사에 그대로 적용하기에는 한계가 있다.

한편 LLM은 기술적 한계와 보안 리스크를 내포한다. 최근 연구는 LLM이 위협 헌팅에 활용될 때 부정확한 CTI 서술과 적대적 입력에 취약하여 오탐, 환각(hallucination) 등 성능 저하를 보일 수 있음을 지적한다[16-19]. 규제·감독 책임이 큰 금융회사에서는 이러한 리스크를 무시한 채 LLM을 완전 자동화 도구로 활용하기 어렵다.

그럼에도 불구하고 LLM을 활용하여 CTI를 MITRE ATT&CK에 매핑하는 위협 헌팅의 기대효과가 크므로 금융회사 현실에 맞는 도입 방안을 정리할 필요가 있다.

1.3 연구 목적 및 기여점

본 연구는 국내 금융회사에 LLM을 활용한 MITRE ATT&CK 기반 위협 헌팅을 수행하는 방안을 제안하는 데 목적을 두며, 기여점은 다음과 같다.

기여1: 국내 금융회사가 LLM을 활용한 위협 헌팅을 수행할 때 망분리 등 규제가 어떤 영향을 미치는지 제약 요인을 분석하고, 기술 중심 연구와 금융권 규제 현실 사이의 간극을 구조화하여 제시한다.

기여2: 제약 요인에도 불구하고 LLM을 활용한 MITRE ATT&CK 매핑 기반 위협 헌팅을 수행 가능하게 하는 실질적인 방안을 고안하고 단계적 도입 방안을 제안한다.

기여3: 공개 CTI 리포트를 MITRE ATT&CK TTPs에 매핑하는 테스트를 수행하고 결과를 분석하여, 실질적 수용 가능성을 정량적·정성적으로 제시하함으로써 금융회사에서 LLM을 위협 헌팅의 보조 도구로 활용할 수 있음을 검증한다.

II. 배경 지식 및 기존 연구

2.1 사이버 위협 인텔리전스와 위협 헌팅

사이버 위협 인텔리전스(Cyber Threat Intelligence, CTI)는 침해사고, 악성코드, 취약점, 공격 인프라 등 위협 관련 데이터를 수집·분석하여 방어 조직의 의사결정에 활용 가능한 형태로 구조화한 정보를 의미한다[2,3]. CTI는 IoC와 TTPs 정보를 함께 포함하며, 이를 기반으로 SIEM 탐지 규칙, 네트워크·애플리케이션 보안 정책, 모의침투 시나리오를 설계할 수 있다. 위협 헌팅(Threat Hunting)은 기존 시그니처·알람 기반 탐지로 포착되지 않는 공격을 찾아내기 위해 분석가가 가설을 세우고 보안 로그·이벤트 등을 능동적으로 탐색하는 활동이다. 특히 MITRE ATT&CK TTPs에 기반하여 선제적으로 위협을 분석하고 탐지하는 위협 헌팅 방법이 연구되고 있다[1,4].

2.2 MITRE ATT&CK TTPs

MITRE ATT&CK은 공격자의 공격행위를 전술(Tactic), 기술(Technique), 절차(Procedure)로 분류하고 체계화한 공개 지식베이스이며, TTPs는 Tactic, Technique, Procedure를 의미한다[5]. 기존 연구는 Technique을 기반으로 IDS/IPS에 탐지 로직을 부여하거나[6], CTI 리포트를 TTPs에 매핑해 위협 모델링, 공격 시뮬레이션을 수행하는 방법을 제안해 왔다[2,7,8]. 최근에는 ATT&CK technique 설명과 procedure example을 학습 데이터로 사용해 입력된 공격 행위 문장을 적절한 TTPs로 매핑하는 모델이 제안되고 있다[9].

2.3 LLM을 활용한 위협 분석

대규모 언어모델(LLM)의 등장 이후 침해사고 분석 보고서, 보안 블로그, SNS 등 CTI 텍스트에서 공격 행위와 대상을 추출해 MITRE ATT&CK TTPs에 매핑하는 연구가 본격화되었다.

Yu·Du는 ChatGPT로 ATT&CK procedure example을 증강하고, LLaMA2 기반 모델을 Instruction Fine-Tuning하여 소량 데이터 환경에서 625개 기술(technique) 카테고리 분류를 수행하는 방법을 제안하였고, 딥러닝 모델보다 LLM의 분류 성능이 더 뛰어남을 보였다[9].

박용현·최창희는 LLM을 활용하여 CTI로부터 MITRE ATT&CK의 공격기술을 자동으로 추출하는 방법을 제안한다. 프롬프트 엔지니어링 및 파인튜닝을 통해 최대 61.1%의 정확도로 단일 문장으로부터 공격기술을 추출할 수 있으며 LLM 고유의 대화 성능이 유지됨을 확인했다[10].

French는 LLM이 CTI와 로그 스키마를 입력받아 위협 헌팅 쿼리와 탐지 규칙 초안을 생성하도록 하고, 분석가가 이를 평가·보완하는 구조를 제안하여, LLM이 항상 완전한 쿼리를 생성하지는 못하지만 수정 가능한 초안 수준의 유용성을 갖는다는 점을 보였다[11].

Lin 등은 공개 헌팅 플레이북에서 헌팅 가설과 쿼리 템플릿을 추출하고, LLM이 실제 로그 스키마에 맞춘 쿼리를 생성해 헌팅을 수행하도록 하는 LLM 기반 위협 헌팅 프레임워크 Thelma(Threat Hunting Enhanced Language Models for Hunt Automation)를 제안하였다[12]. 이후 Chen 등은 Thelma 프레임워크를 확장한 자율형 LLM 에이전트 iThelma를 제안하여, 플레이북에서 추출한 헌팅 스크립트를 LLM으로 자동으로 생성 및 검증하는 자율형 헌팅 구조를 제시하였다[13].

Meng 등의 벤치마킹 연구는 위협 탐지·분석·대응 단계를 포함하는 블루팀 워크플로우를 정의하고 이를 기반으로 여러 LLM을 비교 평가하였다. 그 결과, 무제한 free-form LLM 대화보다 모듈화된 작업에 LLM을 배치하는 방식이 위협 탐지·분석·대응 단계에서 더 안정적인 성능을 보임을 확인하였다[14].

Purba 등은 LLM과 지식그래프를 결합한 AIThreatTrack 프레임워크를 제안하여, LLM이 생성한 헌팅 결과에 설명 가능성을 부여하려는 시도를 통해 환각률을 낮추면서 설명 가능한 LLM을 위협 헌팅의 보조도구로 사용할 수 있음을 보였다[15].

2.4 LLM의 취약성과 리스크

LLM의 취약성과 보안 리스크를 분석하는 연구도 등장하고 있다.

Ren과 Chen은 60편이 넘는 선행연구를 검토하여 LLM이 CTI 분석, 위협 헌팅, 취약점 탐지, 악성코드 분석 및 보안 의사결정 지원에 활용되는 양상을 체계적으로 정리하고 프롬프트 인젝션, 데이터 포이즈닝, 환각 현상 등 LLM 고유의 위험과 한계를 분석하였다[16].

Meng 등은 여러 CTI 벤치마크와 실제 위협 리포트를 대상으로 TTPs 식별, 대응책 제안 등 위협 헌팅의 LLM 성능을 평가하였다. 그 결과, 편향된 상관관계(spurious correlations), 상충하는 지식(contradictory knowledge), 제한된 일반화(constrained generalization)이라는 세 가지 근본 취약성이 반복적으로 나타난다는 점을 보여주었다[17].

Shafee 등은 LLM을 사용한 CTI 분류·탐지 시스템이 공격자가 생성한 악의적이고 오염된 텍스트에 매우 취약하며, evasion·flooding·poisoning 공격을 통해 오탐과 성능 저하를 유발할 수 있음을 보였다[18].

Tete는 LLM 기반 애플리케이션을 대상으로 STRIDE·DREAD 등 고전적 위협모델링 기법을 적용하여, 프롬프트 인젝션, 데이터 포이즈닝, 모델 탈옥, insecure output handling 등 새로운 공격면과 완화 전략을 정리하였다[19].

이러한 연구 결과를 고려하면, 위협 헌팅을 수행할 때 LLM은 완전 자동화 도구가 아닌 보조 도구로 제한할 필요가 있음을 시사한다.

III. 금융회사의 규제 환경 분석

3.1 금융회사 정보보호 규제 체계

국내 금융회사의 정보보호·전자금융 업무는 전자 금융거래법, 개인정보보호법, 신용정보법 등 관련 법령에 의해 강하게 규율된다. 전자금융거래의 안정성 확보와 전산센터 보호, 전자금융기반시설의 취약점 관리, 사고 보고와 재발 방지, 개인·신용정보 보호, 외주·클라우드 이용 통제 등이 주요 축이다.

전자금융거래법 및 전자금융감독규정은 전자금융 서비스를 제공하는 금융회사에 정보시스템의 이중화, 백업, 재해복구, 접근통제, 로그 관리, 암호화, 전자 금융사고 대응체계를 요구하고, 전자금융기반시설 지정과 보호조치를 의무화한다[20-22]. 개인정보보호법과 신용정보법은 고객 정보 처리의 적법성, 목적외 이용 제한, 안전성 확보 조치를 요구하며, 이를 이행하기 위한 내부 관리계획과 기술적·관리적 보호 조치를 금융회사에 의무화한다[23,24].

금융 당국 및 산하 기관은 금융회사 전산·정보보호 실태 점검과 모의해킹, 취약점 점검을 수행하고, 망분리, 클라우드 이용, 전자금융기반시설 보호, 위협 인텔리전스 공유 등에 대한 각종 가이드라인과 모범규준을 배포한다[25-29]. 검사와 자율점검, 모의 해킹 결과는 경영진 평가와 제재 리스크에 직·간접적으로 중요한 영향을 미치기 때문에, 금융회사는 규정·가이드라인의 요구사항을 충족하는 방향으로 정보 보호 체계를 설계하는 경향이 있다.

이러한 규제 체계는 취약점 존재 여부, 패치 적용률, 접근통제 이행 정도, 로그 보존 기간 등 전통적인 관점에서의 보안 수준을 평가하는 데는 효과적이지만, LLM을 활용한 위협 헌팅 성숙도를 측정하는 항목은 상대적으로 부족하다.[30]

3.2 망분리 인프라 구조

국내 금융회사는 외부로부터의 침투 확산을 차단하고 전자금융거래 안정성을 확보하기 위해 인터넷망, 내부(업무)망, DMZ(대외서비스)망을 분리하는 구조를 널리 채택하고 있다. 인터넷망은 임직원 일반 인터넷 사용과 보안업무 일부에 활용되고, 내부(업무)망은 계정계·정보계·리스크 시스템 등 내부 업무용 시스템이 위치한다. DMZ망은 인터넷 뱅킹·MTS·홈페이지 등 대고객 서비스 시스템이 위치하는 영역으로 인터넷망과 내부망 사이에 별도의 구간으로 구성되는 경우가 많다[1,20-22,31].

Fig. 1. Network Separation of Finance institutions in Korea

단말 측면에서는 인터넷 접속용 PC와 내부 업무망 접속용 PC를 분리하거나, VDI 기반 논리적 망분리를 통해 하나의 단말에서 서로 다른 데스크톱 환경을 제공하는 방식이 사용된다[20-22,31,32]. 인터넷용 VDI는 보안 소프트웨어, 파일 전송 통제, 웹다운로드 통제를 강화해 내부 업무망으로의 악성코드 유입 가능성을 줄이도록 구성된다. 내부망의 업무용 VDI나 로컬 PC는 인터넷 접속을 원칙적으로 차단하고, 일부 업무에 한해 망연계 솔루션 등 프록시 중계서버를 통한 제한적 연결만 허용하는 구조가 일반적이다[20-22,28].

원격접속은 별도의 VPN 게이트웨이와 인증 체계를 통해 제한된 인원과 단말에만 허용된다. 이때 외부 접속 단말에는 OS최신패치, 백신설치, 화면보호기 설정 등 보안 준수 사항이 적용되며, VPN 구간에서 접근 가능한 시스템과 네트워크는 최소 권한 원칙에 따라 세분화된다. 외부 망에서 내부 망으로의 파일 전송은 망연계 장비나 중계 서버를 통해 승인·검사된 경로로만 허용되며, 로그와 패킷 등 보안 데이터는 원칙적으로 내부 망에 머물도록 설계된다[20-22,33].

Fig. 2. Physical and Logical Network Segregation for terminal(PC, VDI)

Fig. 3. Remote Access by VDI(Virtual Desktop Infrastructure)

Fig. 4. Remote Access by Business terminal(PC desktop, etc.)

보안관제 인프라는 주로 내부망 또는 별도 보안망에 위치하며, 방화벽·WAF·IDS/IPS·EDR·DLP·DB보안 시스템 등에서 발생하는 이벤트와 로그를 SIEM 또는 로그 저장 장치로 수집한다. 이때 외부 클라우드 서비스로의 로그 전송은 원칙적으로 금지하거나, 개인정보 비식별·집계 후 제한적으로 허용하는 수준에 그치는 경우가 많다[20-24]. 이러한 구조는 LLM 학습·튜닝을 위한 대규모 로그·패킷 데이터의 외부 반출이나, 클라우드 기반 LLM 서비스와의 직접 연계를 어렵게 만드는 요인으로 작용한다.

3.3 LLM을 활용한 위협 헌팅 제약 요인 정리

앞서 살펴본 금융회사의 규제 환경은 LLM을 활용한 위협 헌팅 도입에 다음과 같은 제약 요인을 만든다.

첫째, 데이터 측면에서의 제약이다. 금융회사의 보안 로그와 패킷, 단말 정보에는 계정 식별자, 거래 정보, 단말 식별 정보 등이 포함되어 있어 개인정보·신용정보 규제의 적용을 받는다. 이 데이터는 외부 LLM 서비스로 전송하기 어렵고, 내부에서도 목적외 이용에 대한 우려가 크다. 또한 TTPs 라벨이 정교하게 부여된 학습용 데이터셋이 내부에 축적되어 있지 않은 경우가 많아, LLM 미세조정이나 정량 평가를 위한 데이터 기반이 부족하다. 외부 공개 CTI 리포트를 활용할 수는 있지만, 국내 금융권 특화 공격이나 내부 로그 패턴과의 직접적인 연결은 제한적일 수밖에 없다.

둘째, 인프라 측면의 제약이다. 망분리와 온프레미스 위주의 인프라 구조는 퍼블릭 클라우드 기반LLM을 활용하는 것을 어렵게 만든다. 내부에 자체 LLM을 구축하기 위해서는 GPU 자원, 모델 배포·운영 체계, 로그와 CTI 간 데이터 파이프라인이 필요하다. 그러나 아직 대부분의 금융회사에서 비용·예산, 전문 인력 부족 등으로 인해 LLM을 자체 구축하고 내재화하는데 한계가 있다. 또한 인터넷망과 내부망 사이의 연계는 망연계 장비나 중계 서버를 통해 제한적으로만 허용되기 때문에, 외부 CTI 소스를 주기적으로 수집해 내부 LLM과 연동하는 구조를 설계할 때도 많은 제약이 따른다.

결국 망분리 등 규제 환경의 금융회사에서 LLM을 활용한 위협 헌팅을 도입하기 위해서는 현실적으로 수행 가능한 영역으로 명확히 한정하고, 제약 사항을 고려한 단계적 도입 전략이 필요하다.

IV. LLM을 활용한 위협 헌팅 도입 방안

4.1 기본 가정

LLM을 활용한 위협 헌팅 도입 방안의 기본 가정은 다음과 같다. 첫째, 망분리 인프라 환경을 전제하여 퍼블릭 클라우드 LLM에 보안 로그를 반출하는 구조는 배제한다. 둘째, 기존 SIEM·SOAR·관제 프로세스는 유지하며, LLM을 CTI 요약, TTPs 후보 추천, 헌팅 쿼리·탐지 규칙 생성의 보조 도구로 추가 활용한다. 셋째, LLM이 출력한 TTPs, 탐지 규칙을 시스템에 적용할 때 분석가가 반드시 검토해야 하며 최종 책임은 분석가에게 있다. 넷째, CTI는 주요 보안 벤더, CERT, ISAC, 금융보안원 등 공신력있는 소스로 한정하여 수집한다.

Fig. 5. Workflow for Threat Hunting with LLM-Assisted CTI-to-MITRE ATT&CK Mapping

4.2 CTI 요약 및 TTPs 매핑

첫 번째 단계로 외부 CTI 문서를 정기적으로 수집하고 분석에 적합한 형식으로 정규화하는 기능을 수행한다. 금융회사가 사전 승인한 CTI 소스 목록을 관리하고, 각 문서에 대해 제목, 발행기관, 발행일, 대상 산업, 공격 그룹명 등 기본 메타데이터를 추출한다. PDF·웹 페이지 등 다양한 포맷에서 본문 텍스트를 추출한 후 문단·문장 단위로 분할하고, 광고·탐색 메뉴 등 분석과 무관한 요소를 제거하여 지식베이스 저장소에 축적한다[2,3,29]. 이 저장소는 이후 LLM 기반 요약 및 TTPs 매핑의 입력이자, 분석가가 직접 열람하는 기준 정보로 활용된다.

두 번째 단계는 CTI 문서의 핵심 내용을 요약하고, 공격 행위가 포함된 문장을 MITRE ATT&CK TTPs로 매핑하는 과정이다[9,16]. LLM에 공격 그룹 또는 캠페인 명칭, 주요 대상 산업·지역, 공격 벡터 등을 포함하는 문장을 식별하고 각 문장에 대해 TTPs를 매핑한 결과를 다음 항목과 같이 출력하도록 요구한다.

⦁ sentence: CTI 원문 문장

⦁ procedure_snippet: 주요 행위 요약

⦁ tactic: ATT&CK 전술명

⦁ technique_id / technique_name: 기술 또는 서브기술 ID·명칭

⦁ confidence: 매핑 신뢰도

⦁ rationale: 선택 근거에 대한 간단한 설명

이때 LLM에는 MITRE ATT&CK의 공식 데이터셋을 사전에 제공하여 단순 키워드 일치가 아닌 문맥 기반 매핑을 유도한다[5].

이후 분석가는 출력 결과에 공격행위 문장과 매핑된 TTPs가 적절한지 사후 검토 작업을 수행해야 한다. 이 과정을 통해 각 CTI 문서는 공격 행위 문장-전술-기술(ID·명칭)-신뢰도-근거로 구성된 TTPs 후보 목록으로 구조화된다. 이는 곧바로 운영 규칙으로 적용되는 것이 아니라 분석가 검토를 전제로 한 초안으로 활용된다.

4.3 내부 SIEM·SOAR 연계

LLM 기반 TTPs 매핑 결과는 개별 CTI 문서 수준에 머물지 않고, 내부 로그 및 알람과 연결된 위협 지식베이스로 활용되어야 가치가 있다[5,7]. 제안 지식베이스는 ① 캠페인·사건 단위 정보, ② 각 캠페인에서 관측된 TTPs 체인(전술·기술·서브기술 시퀀스), ③ 연관 인디케이터(IP, 도메인, 해시 등), ④ 대상 자산·서비스 유형, ⑤ 관련 탐지 규칙·헌팅 쿼리 등을 핵심 엔티티로 구성한다.

LLM 기반 TTPs 매핑 결과는 새로운 캠페인 엔트리를 생성하거나 기존 엔트리를 보강하는 방식으로 활용된다. 예를 들어 특정 APT 그룹이 금융권을 대상으로 새로운 초기 침투 기법을 사용한 사례가 보고 되면, 해당 TTPs와 인디케이터, 표적 시스템 정보가 지식베이스에 추가된다. 이후 SIEM·SOAR에서 발생하는 알람과 로그 이벤트에 TTPs 태그를 부여함으로써, CTI-TTPs-탐지 규칙·사고 간 연관성을 일관된 구조에서 조회할 수 있다.

4.4 헌팅 쿼리 및 탐지 규칙 생성

다음 단계로 분석가는 특정 CTI 문서 또는 위협 지식베이스에 저장된 TTPs 체인을 기준으로 어떠한 공격이 자사 환경에서 발생했을 가능성이 있는가라는 헌팅 가설을 설정한다. 이때 대상 자산 범위, 분석 기간, EDR 이벤트 등 활용 가능한 로그 유형을 명시한다[2,3,7].

다음으로 분석가는 선택된 TTPs 목록, 대상 자산 설명, 로그 필드 목록, 사용하려는 쿼리 언어 예시를 LLM에 제공하고, TTPs 별 헌팅 쿼리·탐지 규칙 초안, 해당 쿼리가 겨냥하는 TTPs 설명, 예상 오탐 요인과 간단한 튜닝 방향을 함께 출력하도록 요구한다. 출력된 쿼리는 SIEM 또는 쿼리 도구에서 수정·실행 가능한 형태로 제공된다.

분석가는 생성된 쿼리에 대해 문법과 필드명, 필터 조건을 실제 로그 스키마에 맞게 조정하고, 제한된 기간·시스템을 대상으로 시범 실행을 수행한다. 결과를 검토하여 실제 공격 징후와 명백한 오탐을 구분하고, 필요 시 조건을 조정하여 쿼리를 튜닝한다.

최종적으로 실무에 유용하다고 판단된 쿼리와 탐지 규칙은 위협 지식베이스에 저장되며, 이후 유사 TTPs에 대한 헌팅과 규칙 설계의 참조자료로 활용된다. 규칙 설명, 경보 심각도, 대응 권고 문구 등 일부 서술형 요소는 LLM이 초안을 작성할 수 있으나, 실제 적용은 분석가의 책임 하에 결정되어야 한다.

4.5 금융회사 환경을 고려한 단계적 도입 방안

마지막으로, 제안 프레임워크를 금융회사 환경에서 현실적으로 도입하기 위한 단계적 로드맵을 제시한다.

1단계에서는 CTI 리소스 수집 및 ATT&CK 태깅(LLM 업로드) 등의 사전 작업을 최소한의 수작업으로 수행하고, LLM 활용을 문서 요약 및 TTPs 후보 추천 수준으로 제한한다. 이 단계의 핵심 과제는 퍼블릭 클라우드 LLM에 대한 보안 로그 반출 없이 LLM을 활용할 수 있는 최소 운용 구조를 확립하는 것이다. LLM 활용 범위를 CTI 요약 및 TTPs 후보 추천으로 한정함으로써 망분리 환경에서도 즉시 적용 가능한 진입점을 제공하며, 별도 인프라 투자 없이 기존 분석가 워크플로우에 보조 도구로 추가할 수 있다.

2단계에서는 CTI 수집·전처리와 LLM 기반 요약·TTPs 추출을 정기 프로세스로 정착시키고, 위협 지식베이스를 구축하여 SOC가 CTI-TTP 정보를 조회·검색하며 활용하도록 한다. 이 단계의 핵심 과제는 1단계의 수작업을 반복 가능한 정규 프로세스로 전환하는 것이다. 공신력 있는 CTI 소스로 한정된 입력과 LLM 기반 구조화 출력을 결합하여 위협 지식베이스를 축적함으로써 금융회사 자체 CTI 분석 역량을 내재화할 수 있다.

3단계에서는 제한된 로그 유형과 TTPs를 대상으로 LLM 기반 헌팅 쿼리·탐지 규칙 초안을 시험적으로 도입하고, 검증된 결과를 탐지 규칙·플레이북으로 승격한다. 이 단계의 핵심 과제는 LLM이 생성한 헌팅 쿼리의 오탐 리스크를 통제하면서 실무 적용 가능성을 검증하는 것이다. 적용 대상을 제한된 로그 유형과 TTPs로 한정하고, 분석가의 문법·필드·조건 검토 및 시범 실행을 거쳐 승격하는 구조는 4.1의 기본 가정인 분석가 검토·최종 책임 원칙을 그대로 유지하면서 금융회사의 보수적 변화 수용 방식에 부합한다.

4단계에서는 내부 감사·준법 부서와 연계하여 LLM 활용 범위, 책임, 감사 로그, 검증 절차를 문서화하고, 온프레미스 LLM 인프라 확충 및 보다 정교한 TTPs 매핑·설명 기능 도입 여부를 검토한다. 이 단계의 핵심 과제는 앞선 단계에서 운용한 LLM 활용 구조를 금융보안 컴플라이언스 요건에 부합하는 형태로 제도화하는 것이다. 감사 로그·검증 절차의 문서화와 온프레미스 LLM 인프라 내재화는 망분리 환경에서의 데이터 보호 요건을 충족하면서, LLM 활용 전반을 금융회사 내부 거버넌스 체계 안에서 지속 운용 가능하도록 한다.

V. LLM을 활용한 TTPs 매핑 테스트

5.1 테스트 개요

LLM을 활용한 TTPs 매핑이 얼마나 실무적으로 활용 가능한지 검토하기 위하여 소규모 테스트를 수행한다. 본 테스트는 LLM이 먼저 TTPs를 제안하고 사람이 이를 검토하는 현실적인 업무 흐름을 모사하였다. 사람이 정답 라벨을 구축하고 LLM과 정확도를 비교하는 실험이 아니며, LLM이 출력한 결과를 평가자(금융회사 보안담당자)가 어느 수준까지 수용할 수 있는지 평가한다.

5.2 테스트 환경 설정

CTI 데이터는 금융보안원의 CTI 리포트 4건을 이용하였다[34-37]. LLM은 OpenAI GPT-5.1(Extended thinking) 웹 인터페이스를 사용하였다. LLM에 MITRE ATT&CK Enterprise v18.1 techniques[38] 데이터셋(엑셀파일)을 업로드하여 전술·기술 체계를 사전에 로딩하였고 이후 각 CTI 리포트를 개별 세션으로 입력하였다. temperature, seed 등 모델 파라미터는 사용자가 별도로 통제하지 않는 기본 설정을 사용하였다. 참고로 본 테스트에서 Procedure example 매핑은 수행하지 않았다. Procedure example 매핑에 대한 사전 테스트를 수행한 결과, CTI 내 공격문장을 Technique ID로 매핑한 후 해당 Technique에 대한 Software·Group·Campaign ID를 단순 매핑하는 저수준의 결과가 출력되었고, 유의미한 매핑 결과를 관찰하지 못했기 때문이다.

5.3 테스트 절차 및 결과

5.3.1 테스트 절차

LLM에 공격 행위가 포함된 문장을 추출하고 적절한 TTPs를 매핑한 후 다음 7개 필드로 출력하라고 지시하였다.

⦁ sentence: CTI 원문 문장

⦁ procedure_snippet: 주요 행위 요약

⦁ tactic: ATT&CK 전술명

⦁ technique_id: 기술 또는 서브기술 ID

⦁ technique_name: 기술명

⦁ confidence: LLM 자체 신뢰도

⦁ rationale: 매핑 근거

평가자는 LLM이 생성한 결과에 두 개의 필드를 추가하고 평가를 수행하였다.

⦁ reviewer_score: 0∼4점의 수용도 점수

⦁ comment: 평가 사유 및 보완 의견

평가 기준은 Table 1과 같다.

Table 1. Scoring rubric

⦁ 4점: 매핑 결과를 그대로 수용 가능하고 추가 검토 불필요해 보임

⦁ 3점: 매핑 결과는 수용 가능하나, 추가로 매핑 가능한 technique·subtechnique 있음.

⦁ 2점: 다른 subtechnique으로 정정 매핑 필요해 보임. 또는 추가로 매핑 가능한 technique·subtechnique 있음.

⦁ 1점: 다른 technique·subtechnique으로 정정 매핑 필요해 보임. 또는 추가로 매핑 가능한 technique·subtechnique 있음.

⦁ 0점: 다른 tactic·technique·subtechnique으로 정정 매핑 필요해 보임.

수용도 점수는 절대적 정답 여부가 아니라 금융회사 보안담당자의 관점에서의 수용 가능성을 나타내는 지표로 해석한다.

5.3.2 테스트 결과

LLM은 4건 리포트에서 87개의 공격 행위 문장을 식별하였고, 한 문장에 복수 TTPs를 제안한 경우가 있어 총 121개 매핑 레코드가 출력되었다. 평가 결과는 Table 2와 같다.

Table 2. Scoring results

전체의 83.47%가 3점 이상으로 평가되어, 평가자 검토를 전제로 한 보조 정보로써 양호한 품질을 보였다.

3-4점으로 평가된 레코드 중 5건(count) 이상 동일한 TTPs로 매핑된 사례는 Table 3과 같다.

Table 3. TTPs with Count ≥ 5 among Scores 3-4

3-4점 사례를 분석하면 취약점 스캐닝, 네트워크 스캐닝, DDoS, 내부 침투 도구 전송, 사설서버 사전 확보, 알려진 단어 기반 스캐닝 등 상대적으로 행위가 명확한 문장이 적절한 TTPs로 매핑되었고, procedure_snippet도 원문 행위가 적절히 요약되어 위협 헌팅의 보조 정보로써 충분히 수용 가능한 수준이었다.

1-2점 으로 평가된 레코드 중 2건(count) 이상 동일한 TTPs로 매핑된 사례는 Table 4와 같다.

Table 4. TTPs with Count ≥ 2 among Scores 1-2

1-2점 사례를 분석하면 특정 테크닉에 집중되거나 맥락을 단순화하는 경향이 일부 관찰되었다. 본 테스트의 표본 수를 고려할 때 일반화에는 신중함이 필요하나, 다음과 같은 특징적 패턴이 확인되었다.

⦁ 사용자 실행 계열 단순화 경향: 사회공학, 절차 유도, 복사·붙여넣기 유도 등 다양한 사용자 실행 맥락이 T1204.002로 수렴되는 패턴이 일부 나타났다. T1204.004(User Excution: Malicious Copy and Paste) 등 대안 Technique을 추가적으로 검토할 필요가 있었다.

⦁ Impact Tactic으로 확대 해석: DDoS 공격 가능성이나 예측의 의미를 내포하는 문장을 실제 Impact으로 해석하여 T1498로 매핑되는 사례가 관찰되었다. 이러한 패턴이 반복될 경우 탐지 규칙 설계 시 과탐으로 이어질 가능성을 배제하기 어렵다.

LLM이 출력한 confidence(높음·중간·낮음)는 연구자의 수용도 점수와의 상관 관계가 약하게 나타났다. confidence가 ‘높음’임에도 1-2점으로 평가된 사례가 8건(count) 존재하였다. confidence를 1-3으로 수치화하고 reviewer_score와의 선형 상관을 Pearson 상관계수로 분석하면 r = 0.176(n = 121, p = 0.054)인데, 통계적으로 유의하지 않고 Cohen의 효과 크기 기준(medium : r = 0.30)보다 낮은 수치로 약한 양의 상관이 관찰되었다[39]. 즉, LLM의 self confidence는 출력 결과의 품질을 판정하기 어렵고 분석가의 검증 절차가 필요하다.

정리하면 LLM은 CTI를 TTPs에 대응시키는 작업에서 높은 수준의 후보 제시 능력을 보였으나, 특정 테크닉 영역에서의 단순화 경향 및 확대 해석, 그리고 confidence와 reviewer_score 간 약한 상관 관계를 고려하면 분석가는 출력 결과를 반드시 검토하고 수용 여부를 직접 판단해야 함을 시사한다.

VI. 결론

본 논문은 국내 금융회사 망분리·규제 환경을 전제로 LLM 기반 CTI-MITRE ATT&CK TTPs 위협 헌팅 도입 방안을 제안하고, 금융보안원 CTI 리포트를 활용한 TTPs 매핑 테스트를 통해 실무적 활용 가능성과 한계를 분석하였다.

우선 금융회사 정보보호 규제, 망분리 구조, 보안 관제 조직 특성을 정리하여, 기존 LLM·위협 헌팅 연구에서 가정하는 개방형 데이터 환경과 금융권 현실 사이의 간극을 제시하였다. 이를 바탕으로 CTI 요약, ATT&CK 기반 TTPs 후보 매핑, 내부 SIEM·SOAR 연계, 헌팅 쿼리·규칙 초안 생성을 포함하는 LLM 보조형 위협 헌팅을 고안하였다. 본 연구는 LLM을 완전 자동 탐지 엔진이 아닌 분석가 지원 도구로 위치시키며 단계적 도입 방안을 함께 제시한다.

실험 측면에서 본 연구는 LLM과 사람의 정확도를 비교하는 전통적 설계와 달리, LLM이 먼저 TTPs를 매핑하고 금융회사 보안담당자가 0∼4점으로 수용 가능성을 평가하는 방식을 채택하였다. CTI 리포트 4건에서 추출된 87개 문장(121개 매핑 레코드)에 대한 평가를 수행한 결과, 전체의 83.47%가 3점 이상으로 평가되어 위협 헌팅의 보조 정보로써 양호함을 확인하였다. 이는 LLM이 CTI 문장을 ATT&CK 전술·기술 구조로 정리하는 작업에서 보조 도구로써의 잠재력과 기대효과가 상당함을 보여준다.

종합하면 본 논문의 주요 기여는 금융회사 규제 환경의 제약 요인을 분석하고, LLM 활용 위협 헌팅을 수행할 실질적 방안과 단계적 도입 방안을 제안하며, TTPs 매핑 테스트를 수행하고 그 결과를 토대로 규제 여건의 어려움에도 불구하고 금융회사에서 LLM을 활용하여 위협 헌팅을 수행할 수 있음을 실증함에 있다.

향후 다양한 공격 그룹 및 산업군을 포괄하는 충분한 모수의 CTI 리포트를 확보하여 검증이 수행된다면 실험(TTPs 매핑 테스트) 결과의 신뢰도를 높이고, 1-2점 사례에서 관찰된 단순화 경향 및 확대 해석 패턴의 일반화 가능성을 보다 엄밀하게 평가할 수 있을 것이다. 아울러 오픈소스 LLM을 금융회사 내부망에 구축하고 실제 금융회사 보안 로그를 활용하여 CTI-MITRE ATT&CK TTPs 위협 헌팅 실증 연구가 이루어진다면 망분리 환경에서의 현장 적용 가능성을 직접 검증하고 실무적 기여도를 한층 높일 수 있을 것으로 기대한다. 나아가 MITRE ATT&CK 뿐만 아니라 D3FEND, CAR, ATLAS 등을 추가·통합하는 지식베이스 설계, Agentic AI를 활용한 CTI 수집 자동화 및 위협 헌팅 적용 방안 등 후속 연구가 진행된다면 금융회사에서 규제와 책임 구조를 유지하면서도 위협 분석의 효율성과 심도를 향상하는데 기여할 수 있을 것이다.

Appendix