Earticle

초록

영어

Modern information systems operate within complex software and supplier ecosystems, and compromised executables, libraries, or update packages can propagate supply-chain incidents. This study proposes a policy-oriented approach for converting static malware detection scores into industrial-security decisions under NIST SP 800-161 Rev.1 C-SCRM. Four models - XGBoost (Byte n-gram), a truncated MalConv baseline, 1D CNN-GLU, and Byte-Image CNN - are evaluated using stratified five-fold cross-validation. Recall-first, cost-minimization, and FPR-constrained threshold policies are compared using Recall, FPR, normalized expected cost (Cost_norm), and false-positive workload. The results show that policy effects are conditional on model characteristics and operational constraints. For high-performing models, policy differences are limited. For 1D CNN-GLU, the FPRconstrained policy provides a useful trade-off by reducing false alarms and normalized cost, whereas for Byte-Image CNN it lowers FPR but increases Cost_norm because of recall loss. A low-prevalence operational scenario further shows that false positives can dominate the alert queue even when classification metrics are high. Thus, the FPR-constrained policy should be interpreted as a capacity-control mechanism rather than a universal cost minimizer. The proposed framework links AI-based malware detection outputs to quarantine, intake deferral, in-depth analysis, and supplier reassessment decisions in software supply-chain security.

한국어

정보체계는 소프트웨어, 펌웨어, 하드웨어 및 협력사 개발 환경이 결합된 복합 공급망 구조에서 운영되며, 공급망 오염과 탐지 지연은 보안사고 확산으로 이어질 수 있다. 특히 외부 공급자를 통해 유입되는 실행파일, 라이브러리 및 업데이트 패키지는 공급망 기반 악성코드 유입 위험을 증가시킨다. 본 연구는 공급망 환경에서 유통되는 소프트웨어 산출물에 대한 정적 악성코드 탐지 결과를 산업보안 관점의 정책 의사결정에 활용하는 방안을 제시한다. NIST SP 800-161 Rev.1의 C-SCRM 프레임워크를 기반으로 탐지 결과를 격리, 반입 보류, 정밀 분석 및 공급자 재평가와 같은 보안 통제 조치로 연결하는 정책 기반 운영 구조를 설계하였다. 실험에서는 XGBoost(Byte n-gram), MalConv(입력 길이 제한형), 1D CNN-GLU, Byte-Image CNN 등 네 모델을 stratified 5-fold 교차검증으로 평가하고, Recall 우선·비용 최소화·오탐률(FPR) 제한 정책을 적용하여 Recall, FPR, 정규화 기대비용(Cost_norm)과 경보량을 함께 비교하였다. 분석 결과, 정책 효과는 모델 특성과 운영 제약에 따라 조건부로 나타났다. 고성능 모델에서는 정책 간 차이가 제한적인 반면, 1D CNN-GLU에서는 FPR 제한 정책이 오탐률과 비용을 함께 낮추는 절충점을 제공하였다. Byte-Image CNN에서는 FPR이 감소했지만 Recall 손실로 Cost_norm이 증가하여 FPR 제약이 항상 총비용 최소화로 이어지지는 않았다. 또한 낮은 악성코드 유병률을 가정한 운영 시나리오에서는 오탐이 경보량의 대부분을 차지할 수 있음을 확인하였다. 따라서 Policy C는 비용 최소화 정책이라기보다 분석 인력·처리용량과 같은 운영상 오탐 상한을 관리하는 제약 기반 정책으로 해석할 필요가 있다. 본 연구는 AI 기반 탐지 결과를 산업보안 환경의 정책 의사결정 체계와 연계하는 운영 프레임워크를 제시한다.

목차

【 요 약 】
Ⅰ. 서론
Ⅱ. 관련연구 및 동향
Ⅲ. 제안 내용과 실험 방법
Ⅳ. 실험 결과 및 논의
Ⅴ. 결론
참고문헌
【Abstract】

키워드

저자

• 권창호 [ Kweon, Chang-Ho | 명지대학교 보안경영공학과 박사과정 ] 제1저자
• 신삼범 [ Shin, Sam-Bum | 명지대학교 보안경영공학과 교수 ] 교신저자
• 류연승 [ Ryu, Yeon-Seung | 명지대학교 보안경영공학과 교수 ] 제3저자
• 김길수 [ Kim, Gil-Su | 서울대학교 정보통신공학 석사 ] 제4저자

참고문헌

발행기관

간행물

표지보기 관심저널 등록

• 간행물명

  한국산업안보연구(구 한국산업보안연구) [Korean Journal of Industrial Security]

• 간기

  연3회

• pISSN

  3140-5576

• eISSN

  3140-5673

• 수록기간

  2009~2026

• 등재여부

  KCI 등재

• 십진분류

  KDC 325 DDC 330