A Scalable Game-Theoretic Approach for Selecting Security Controls from Standardized Catalogues

1. 문제 정의 (Problem Statement)

시스템의 자산을 가장 효과적으로 보호할 보안 제어 항목 (Security Controls) 의 조합을 선택하는 것은 매우 어려운 과제입니다. 기존 접근 방식의 주요 문제점은 다음과 같습니다.

• 규모와 복잡성: NIST SP 800-53, ITSG-33, ISO 27002 와 같은 표준화된 보안 제어 카탈로그는 방대하여, 모든 가능한 제어 항목을 선택하고 구현하는 것은 예산과 시간 제약으로 인해 불가능합니다.
• 의존성 (Dependencies): 다양한 제어 항목 간의 의존성 (예: 특정 제어는 다른 제어의 구현을 전제로 함) 을 고려해야 합니다.
• 인간적 요소 부재: 기존 최적화 기반 솔루션들은 비용과 효율성 등 정량적 지표는 잘 반영하지만, 공격자의 행동 양식 (Human Behaviour) 과 심리를 반영하지 못합니다. 공격은 결국 인간 (또는 인간에 의해 지시된) 이 수행하므로, 방어자와 공격자 간의 전략적 상호작용을 고려하지 않은 선택은 비효율적일 수 있습니다.
• 확장성 부족: 많은 기존 방법론들은 최적화 문제를 푸는 데 있어 브루트 포스 (Brute-force) 방식에 의존하거나, 공격 성공 확률과 같은 현실적으로 알기 어려운 확률 값을 가정해야 하므로 대규모 시스템에 적용하기 어렵습니다.

2. 제안된 방법론 (Methodology)

저자들은 보안 제어 선택 문제를 두 사람 제로섬 원샷 게임 (Two-person Zero-sum One-shot Game) 으로 모델링하는 게임 이론적 접근법을 제안합니다. 이 접근법은 보안 분석가가 수행하며, 다음과 같은 6 단계로 구성됩니다.

1. 적용 가능한 원자적 제어 항목 식별 (Identify Applicable Atomic Controls):

   • 주어진 위협 모델 (STRIDE 등) 과 자산 목록을 기반으로 표준 카탈로그 (ITSG-33 등) 에서 시스템에 적용 가능한 최소 단위 (원자적) 보안 제어 항목을 식별합니다.
   • 조직의 규정이나 표준에 따라 필수 (Mandatory) 제어 항목을 포함합니다.

2. 원자적 제어 항목의 효과성 할당 (Assign Effectiveness):

   • 각 제어 항목이 자산의 보안 목표 (기밀성, 무결성, 가용성) 를 달성하는 데 얼마나 효과적인지 0 에서 1 사이의 값으로 할당합니다.
   • 이는 게임에서의 '보상 (Payoff)'을 정의하는 과정입니다.

3. 원자적 제어 항목의 비용 할당 (Assign Cost):

   • 각 제어 항목의 구현 비용 (금전적 비용 또는 노력) 을 할당합니다. 이는 예산 제약 조건을 설정하는 데 사용됩니다.

4. 유효한 제어 조합 지정 및 생성 (Specify and Generate Valid Control Combinations):

   • 대수적 형식 (Algebraic Formalism) 활용: 제품 패밀리 대수 (Product Family Algebra) 를 기반으로 한 '보안 제어 대수 (Security Control Algebra)'를 사용하여 제어 항목 간의 의존성 (필수/선택, 의존 관계) 을 수학적으로 표현합니다.
   • 예산 규칙: 생성된 모든 가능한 조합 중 지정된 예산을 초과하지 않는 '유효한 조합'을 필터링합니다. 이 유효한 조합들이 분석가의 전략이 됩니다.

5. 게임 행렬 구성 (Construct the Game Matrix):

   • 행 (Rows): 유효한 보안 제어 조합들 (분석가의 전략).
   • 열 (Columns): 공격자가 위반할 수 있는 자산별 보안 목표들 (공격자의 전략).
   • 값 (Payoffs): 제어 조합이 특정 보안 목표를 방어하는 효과성 (공격자의 성공 확률에 반비례).

6. 게임 수행 (Play the Game):

   • 공격자 프로파일 (Attacker Profile) 설정: 분석가는 예상되는 공격자가 어떤 자산과 목표를 우선적으로 타겟팅할지 가정합니다 (예: 기밀성 > 무결성 > 가용성).
   • 최적 전략 도출: 설정된 공격자 프로파일에 대해 분석가의 전략 (제어 조합) 이 최대의 효과성을 발휘하도록 하는 조합을 찾습니다. 이는 순차적인 최적화 문제를 해결하는 과정입니다.

3. 주요 기여 (Key Contributions)

• 게임 이론 기반 제어 선택 프레임워크: 공격자의 행동과 분석가의 전략적 상호작용을 명시적으로 모델링하여, 단순한 최적화를 넘어 인간 중심의 의사결정을 지원합니다.
• 대수적 형식을 통한 의존성 처리: 제어 항목 간의 복잡한 의존성 (필수/선택, 의존 관계) 을 대수적 연산자 ($\oplus, \odot$) 와 요구 관계 (Requirement Relation) 를 사용하여 체계적으로 처리합니다.
• 확장 가능한 자동화 도구 (CSAT):
  • Control Selection Assistant Tool (CSAT) 을 개발하여 제안된 접근법을 자동화했습니다.
  • 제어 조합의 수가 기하급수적으로 증가하는 문제 (NP-Complete 문제인 0-1 배낭 문제와 유사) 를 해결하기 위해, 모든 조합을 생성하지 않고도 유효한 후보군을 효율적으로 탐색하는 알고리즘을 적용했습니다.
  • 이 도구를 통해 대규모 시스템에서도 실용적인 시간 내에 결과를 도출할 수 있음을 입증했습니다.

4. 실험 결과 (Results)

• 케이스 스터디: 캐나다 군대의 가상의 IoT 시스템 'Ravenclaw'를 대상으로 실험을 수행했습니다.
  • 규모: 7 개의 자산, ITSG-33 카탈로그에서 선별된 39 개의 선택적 제어 항목, 총 예산 95 만 달러.
  • 시나리오 1: 공격자가 센서 인터페이스, 분석가 인터페이스, 처리 시스템, 데이터베이스의 기밀성/무결성/가용성을 순차적으로 타겟팅하는 경우.
    • 결과: $940,000 비용의 단일 최적 제어 조합을 10.6 초 내에 도출.
  • 시나리오 2: 공격자가 센서, UAV, 위성 채널 등의 무결성과 가용성을 타겟팅하는 경우.
    • 결과: 제어 항목의 효과성 값에 대한 불확실성 (High vs Medium) 에 따라 두 가지 다른 최적 조합이 도출됨.
    • 계산 시간: 16 분 44 초.
• 성능: CSAT 도구는 약 50 개의 선택적 제어 항목을 처리할 수 있으며, 이 경우에도 약 1 시간 이내에 결과를 생성하여 대규모 시스템 적용 가능성을 입증했습니다.

5. 의의 및 중요성 (Significance)

• 실용성: 공격 성공 확률과 같은 불확실한 확률 값을 가정하지 않고, 공격자의 '목표 우선순위'에 기반한 가정을 사용하여 현실적인 환경에서 적용 가능합니다.
• 의사결정 지원: 보안 분석가가 예산 제약 내에서 공격자의 예상 행동에 맞춘 최적의 제어 조합을 선택할 수 있도록 지원하며, 선택의 근거를 명확히 합니다.
• 확장성: 기존 방법론들이 해결하지 못했던 제어 항목 간의 의존성과 대규모 조합 공간 문제를 대수적 형식과 자동화 도구를 통해 해결하여, 실제 대규모 시스템 보안 설계에 적용 가능한 솔루션을 제시했습니다.
• 인간 중심 보안: 기술적 최적화뿐만 아니라 공격자와 방어자 간의 심리적/전략적 역학을 고려함으로써, 보안 제어 선택의 본질적인 문제를 더 잘 반영합니다.

이 논문은 보안 제어 선택 문제를 단순한 자원 할당 문제를 넘어, 전략적 상호작용을 고려한 게임 이론적 문제로 재정의하고, 이를 대규모 시스템에 적용할 수 있는 자동화 도구를 통해 검증했다는 점에서 중요한 의의를 가집니다.