TraceScope: 분리된 체크리스트 판정을 통한 인터랙티브 URL 분류

요약

기존의 정적(static) URL 분류기가 놓치던, 인터랙티브한 피싱 공격에 대응하기 위해 'TraceScope'를 제안합니다. TraceScope는 샌드박스 환경에서 GUI 브라우저를 구동하는 오퍼레이터 에이전트가 페이지 행동을 기록하고, 별도의 어드저커 에이전트가 MITRE ATT&CK 체크리스트 기반으로 증거를 검증하여 보고서를 생성합니다. 이 시스템은 기존 대비 높은 재현성(reproducible)과 정확도를 보여주며, 실제 피싱 환경에서도 우수한 성능을 입증했습니다.

핵심 포인트

• TraceScope는 정적 분석의 한계를 극복하고, 상호작용형 포렌식 작업으로 URL 분류를 전환합니다.
• 샌드박스 오퍼레이터 에이전트가 GUI 브라우저를 구동하여 페이지 행동을 기록함으로써 '관찰자 효과(observer effect)'와 런타임 익스플로잇 위험을 방지합니다.
• 어드저커 에이전트는 LLM의 컨텍스트 한계를 우회하며, MITRE ATT&CK 체크리스트 기반으로 증거를 검증하고 IOCs를 추출합니다.
• 기존 시스템 대비 높은 재현성과 성능을 보여주었으며, 실제 수집된 피싱 이메일 데이터셋에서도 뛰어난 탐지 능력을 입증했습니다.