Insider Threat Detection Based on Unsupervised Learning: Focused Analysis on Windows Artifacts

내부자 위협은 조직 내부자가 합법적인 권한을 악용하여 데이터를 유출하거나 시스템을 위협하는 행위로, 최근 기업․기관의 보안 사고에서 점차 그 비중이 높아지고 있다. 기존의 규칙 기반 보안 체계는 내부자의 은밀하고 정상 행위와 유사한 공격을 탐지하는 데 한계가 있으며, 이를 보완하기 위해 비지도 학습 기반의 이상행위 탐지 기법이 주목받고 있다. 본 연구에서는 Prefetch, Jumplist, Event Log와 같은 Windows 아티팩트를 기반으로 사용자 행위 로그를 수집․정제하고, 시간 단위로 정렬된 피처를 구성하여 비지도 학습 모델에 적용하였다. 주요 탐지 모델로는 One-Class SVM, Isolation Forest, Local Outlier Factor, Gaussian Mixture Model을 사용하였으며, 다수결 기반의 앙상블 방식도 함께 적용하였다. 또한, 탐지된 이상행위 중 정보 유출 가능성이 높은 징후를 추가적으로 분석하였다. 분석 결과, GMM과 One-Class SVM이 높은 F1-score를 기록하며 내부자 위협 탐지에 효과적인 성능을 보였고, 앙상블 모델 역시 안정적인 탐지 성능을 나타냈다. 본 연구는 다양한 로그 데이터를 통합하고 비지도 기반 이상 탐지 기법을 적용함으로써, 실제 환경에서 내부자 위협을 보다 정밀하게 탐지하고 유출 정황을 조기에 식별할 수 있는 가능성을 제시하였다.