An Unsupervised CTI - Autoencoder Framework for Detecting Residual Reconnaissance Traffic in Edge Security Gateways

본 연구는 엣지 보안 게이트웨이(Cloudflare 등)를 통과한 실제 웹 접근 로그를 대상으로, 사이버 위협 인텔리전스(Cyber Threat Intelligence, CTI)와 딥러닝 기반 비지도 학습(Autoencoder)을 결합한 경량 이상 탐지 기법의 실증적 적용 가능성을 평가하였다. 2022년 12월부터 2025년 10월까지 수집된 84,653건의 웹 요청 중 약 20.76%가 Expanse, zgrab, Censys, curl 등 CTI 기반 정찰·스캐닝 지표에 해당하는 것으로 나타나, Cloudflare와 같은 엣지 보안 게이트웨이의 1차 필터링 이후에도 상당량의 정찰형 트래픽이 서버까지 도달함을 확인하였다. 제안한 Autoencoder 모델은 네 가지 단순 통계 특성(hour, status, ip_req_log, ua_req_log)을 입력으로 정상 트래픽의 행동 패턴을 학습하고, 재구성 오차(Reconstruction Error)를 기반으로 이상 여부를 판단한다. 테스트 데이터 기준으로 Precision 0.093, Recall 0.457, F1-score 0.154, AUC 0.467의 성능을 기록하였으며, 이는 고정밀 이진 분류가 아닌 위협 헌팅 후보군 생성을 목적으로 하는 탐지 전략에 부합하는 결과이다. 이를 통해 CTI를 임계값 최적화 기준으로 활용하는 역할 분리 설계 기반의 경량 AI 이상 탐지 파이프라인이 룰 기반 탐지를 효과적으로 보완할 수 있음을 실증하였다.