[Paper] Zero-Trust 아키텍처에서 지속적인 Insider Threat 탐지를 위한 Behavioral Analytics

Source: arXiv - 2601.06708v1

개요

이 논문은 Zero‑Trust Architectures (ZTA) 내에서 내부 위협을 탐지하기 위해 사용자 행동을 지속적으로 모니터링하는 머신‑러닝 프레임워크를 제시합니다. 데이터 전처리 기법(SMOTE, PCA)과 AdaBoost 앙상블을 결합함으로써, 저자들은 널리 사용되는 CERT Insider Threat Dataset에서 거의 완벽에 가까운 탐지 성능을 달성했으며, 실제 네트워크에서 “절대 신뢰하지 말고, 항상 검증하라”는 실용적인 접근 방안을 보여줍니다.

주요 기여

• 엔드‑투‑엔드 파이프라인 인사 내부 위협 탐지를 위해: 데이터 정제 → 클래스‑균형화 (SMOTE) → 차원 축소 (PCA) → 분류.
• AdaBoost‑기반 앙상블은 고전적인 베이스라인(SVM, ANN, 베이지안 네트워크)을 능가하며 정확도 98 %와 AUC 0.98을 달성.
• 포괄적인 평가는 정밀도, 재현율, F1‑점수 및 ROC 곡선을 사용하여 견고성을 검증.
• 오픈‑소스 재현성: 워크플로는 공개된 CERT Insider Threat 데이터셋을 기반으로 구축되어 다른 팀이 연구를 재현하거나 확장할 수 있도록 함.

방법론

1. 데이터셋 준비 – CERT 데이터셋(합성 내부 위협 로그)을 먼저 정제하고 정규화합니다. 내부 위협 사건은 드물기 때문에, 저자들은 SMOTE를 적용해 소수 클래스 샘플을 합성적으로 생성하여 균형 잡힌 학습 세트를 만듭니다.
2. 특징 차원 축소 – 수십 개의 원시 속성(파일 접근, 이메일 수, 로그인 시간 등)이 존재하므로, **주성분 분석 (PCA)**을 사용해 가장 정보량이 많은 구성 요소로 데이터를 압축하고, 잡음을 제거하며 학습 속도를 높입니다.
3. 모델 학습 – 비교를 위해 여러 기본 분류기(서포트 벡터 머신, 인공 신경망, 베이지안 네트워크)를 학습시킵니다. 핵심 모델은 약한 학습기(결정 스텀프)를 반복적으로 결합해 강력한 예측기를 만드는 AdaBoost 앙상블입니다.
4. 평가 – 보유된 테스트 분할에 대해 표준 분류 지표(정확도, 정밀도, 재현율, F1)와 ROC‑AUC 곡선을 계산하여 탐지 품질과 오탐률을 평가합니다.

결과 및 발견

• AdaBoost는 모든 지표에서 일관되게 베이스라인을 능가하여 정상 사용자 활동과 악의적인 내부 행동을 구분하는 뛰어난 능력을 보여줍니다.
• 높은 AUC(0.98)는 의사결정 임계값을 변화시켜도 모델이 강력한 구분력을 유지한다는 것을 의미하며, 이는 실제 운영 환경에서 거짓 양성 비율을 조정하는 데 매우 중요합니다.

실용적 함의

• 실시간 모니터링: AdaBoost에서 의사결정 스텀프 학습기의 경량 특성 덕분에 모델을 보안 정보 및 이벤트 관리 (SIEM) 파이프라인에 삽입하여 사용자 행동을 지속적으로 점수화할 수 있습니다.
• 제로 트러스트 시행: 조직은 ZTA 정책에 행동 기반 “신뢰 점수”를 추가하여 이상 징후가 급증할 때 자동으로 접근을 취소하거나 제한할 수 있으며, 정적 인증 검사에 대한 의존도를 낮춥니다.
• 다른 도메인으로 확장 가능: 동일한 전처리 (SMOTE + PCA)와 앙상블 전략을 활용해 클라우드 환경에서 사기, 이상 API 사용, 혹은 손상된 서비스 계정을 탐지할 수 있습니다.
• 경보 피로 감소: >98 % 이상의 정밀도를 달성함으로써 시스템은 오경보를 크게 줄이고, SOC 분석가가 실제 의심스러운 이벤트에 집중할 수 있게 합니다.

제한 사항 및 향후 작업

• Synthetic dataset: CERT 데이터는 표준 벤치마크이지만, 실시간 기업 로그의 전체 복잡성(예: 이기종 클라우드 서비스, 암호화된 트래픽)을 포착하지 못합니다. 실제 환경 검증이 필요합니다.
• Feature engineering scope: 연구는 사전 선택된 특징에 의존합니다; 더 풍부한 컨텍스트 신호(예: 디바이스 자세, 지리 위치, 워크로드 패턴)를 통합하면 탐지를 더욱 향상시킬 수 있습니다.
• Model interpretability: AdaBoost 앙상블은 규칙 기반 시스템보다 투명성이 낮습니다; 향후 작업에서는 설명 가능한 AI 기술을 통합하여 사용자가 왜 표시되는지 밝힐 수 있습니다.
• Adaptive adversaries: 내부 공격자는 탐지를 회피하기 위해 의도적으로 정상 행동을 모방할 수 있습니다. 적대적 강인 학습 및 온라인 학습에 대한 지속적인 연구는 모델이 진화하는 전술을 앞서 나가도록 도울 것입니다.

저자

• Gaurav Sarraf

논문 정보

• arXiv ID: 2601.06708v1
• 분류: cs.CR, cs.DC
• 출판일: 2026년 1월 10일
• PDF: PDF 다운로드