안드로이드 앱의 사이버 위협 정보 분석: DroidTTP 프레임워크의 등장

DroidTTP 프레임워크는 MITRE ATT&CK 프레임워크와 LLM, XGBoost를 활용하여 안드로이드 악성코드의 TTP를 매핑하는 혁신적인 시스템입니다. Label Powerset XGBoost 모델이 우수한 성능을 보였지만, LLM 기반 접근 방식의 잠재력도 확인되었습니다. 안드로이드 보안 강화에 기여하는 중요한 연구 결과입니다.

스마트폰의 필수품이 된 안드로이드 기기는 금융, 소통 등 민감한 작업에 널리 사용되면서 사이버 위협, 특히 지능형 지속 위협(APT)과 정교한 악성코드 공격의 주요 표적이 되었습니다. 기존의 악성코드 탐지 방식은 이진 분류에 의존하여, 공격자의 전술, 기술, 절차(TTP)에 대한 통찰력을 제공하지 못하는 한계를 지니고 있습니다. 악성코드의 행동을 이해하는 것은 사이버 보안 방어를 강화하는 데 매우 중요합니다.

이러한 문제를 해결하기 위해, Dincy R Arikkat 등 연구진은 MITRE ATT&CK 프레임워크를 기반으로 안드로이드 악성코드의 행동을 TTP에 매핑하는 DroidTTP 프레임워크를 개발했습니다. 이 프레임워크는 MITRE TTP를 안드로이드 애플리케이션에 명시적으로 연결하는 정교한 데이터셋을 활용합니다.

연구진은 문제 변환 접근 방식(PTA)과 대규모 언어 모델(LLM)을 활용하여 안드로이드 애플리케이션을 전술과 기술 모두에 매핑하는 자동화된 솔루션을 개발했습니다. 또한, 프롬프트 엔지니어링과 LLM 미세 조정을 통해 검색 증강 생성(RAG)을 적용하여 TTP 예측의 정확성을 높였습니다. 이러한 구조화된 파이프라인에는 데이터셋 생성, 하이퍼파라미터 조정, 데이터 증강, 특징 선택, 모델 개발 및 SHAP 기반 모델 해석성 등이 포함됩니다.

다양한 LLM 중에서 Llama 모델이 전술 분류에서 Jaccard 유사도 0.9583, Hamming 손실 0.0182를, 기술 분류에서 Jaccard 유사도 0.9348, Hamming 손실 0.0127을 달성하여 가장 높은 성능을 보였습니다. 그러나 Label Powerset XGBoost 모델은 LLM을 능가하는 성능을 보였습니다. 전술 분류에서 Jaccard 유사도 0.9893, Hamming 손실 0.0054, 기술 분류에서 Jaccard 유사도 0.9753, Hamming 손실 0.0050을 기록했습니다. XGBoost의 우수한 성능에도 불구하고, LLM 기반 접근 방식의 TTP 분류 가능성을 보여주는 결과입니다.

결론적으로 DroidTTP 프레임워크는 안드로이드 악성코드 분석과 사이버 위협 인텔리전스 향상에 중요한 기여를 할 것으로 기대되며, 안드로이드 보안 강화를 위한 새로운 패러다임을 제시합니다.