Integrating Network and Attack Graphs for Service-Centric Impact Analysis

기술 요약: 서비스 중심 영향 분석을 위한 네트워크 및 공격 그래프 통합

문제 제기
기존의 사이버 공격 분석 방법들은 종종 고립되어 작동하며, 공격 경로 (공격 그래프) 또는 네트워크 토폴로지 중 하나에만 초점을 맞추고 상호의존성을 효과적으로 포착하지 못합니다. 기존 접근법들은 상호 연결된 서비스 전반에 걸쳐 공격이 어떻게 전파되는지 정량화하거나, 취약점이 사용자 중심 기능에 미치는 누적 영향을 측정하는 데 어려움을 겪습니다. 공격 성공 확률을 추정하기 위한 확률론적 모델과 연결성을 위한 네트워크 복원력 지표가 존재하지만, 이러한 관점을 통합하여 위험에 대한 서비스 중심의 시각을 제공하는 프레임워크는 거의 없습니다. 이러한 격차는 보안 기획자가 복잡하고 다층적인 기업 환경에서 공격 결과에 크게 영향을 미치는 중요 노드와 취약점을 식별하는 능력을 제한합니다.

방법론
저자들은 공격 그래프와 통신 네트워크 토폴로지를 통합하는 새로운 확률론적 다층 모델링 프레임워크를 제안합니다. 방법론의 핵심은 다음과 같습니다:

1. 그래프 구성:

   • 공격 그래프: 노드가 공격 상태 (예: 권한 수준, 파일 수정) 를 나타내고 방향성 있는 간선이 악용 (exploit) 을 나타내는 방향 비순환 그래프 (DAG) 로 표현됩니다. 간선 가중치 ($p_E$) 는 CVSS 악용성 점수와 같은 표준 지표에서 도출된 취약점 악용 가능성을 나타냅니다.
   • 네트워크 그래프: 노드가 네트워크 장치 또는 서버이고 간선이 통신 링크를 나타내는 통신 인프라를 나타냅니다. 간선 가중치 ($w_n$) 는 노드 간 성공적인 통신 또는 공격 전파의 확률을 나타냅니다.
   • 통합: 두 그래프는 영향을 받는 공격 상태를 서비스별로 그룹화하고 이러한 그룹을 특정 네트워크 노드에 매핑하여 결합됩니다. 공격의 시작 및 종료 상태는 가중치 1.0 의 방향성 링크를 통해 관련 네트워크 노드에 연결됩니다.

2. 확률 계산:

   • 프레임워크는 네트워크 수준의 연결성 확률 ($p_N$) 과 취약점 악용성 ($p_E$) 의 곱으로 성공적인 공격 단계의 결합 확률 $p(i, j)$를 계산합니다: $p(i, j) = p_N(i, j) \times p_E(i, j)$.
   • $p_N$은 네트워크 노드 간 모든 비교차 경로를 고려하여 단순 전염 알고리즘 (Simple Contagion Algorithm) 을 사용하여 계산됩니다.
   • 특정 상태에 도달할 확률 $P(i)$는 독립적인 공격 경로를 가정하여 $P(i) = 1 - \prod_{j \in A} [1 - P(j, i)]$ 공식을 사용하여 계산되며, 여기서 $A$는 선행 상태 집합입니다.

3. 영향 지표:
   이 연구는 다양한 수준에서 위험을 평가하기 위한 몇 가지 정량적 지표를 도입합니다:

   • 기대 누적 영향 ($CE[I_i]$): 특정 상태로 이어지는 경로상의 모든 취약점에 대한 기대 영향의 합계.
   • 노드별 영향 ($CNODE$): 이전 공격 전파와 무관하게 특정 서비스/노드에 영향을 미치는 취약점에 대한 기대 영향의 합계.
   • 누적 유입 영향 ($CIN$): 공격이 서비스에 발판을 마련할 때까지 누적된 영향.
   • 누적 유출 영향 ($COUT$): 서비스가 추가 표적에 도달하거나 공격 목표를 달성하기 위한 발판으로 사용될 경우의 총 영향.

사례 연구 및 결과
이 방법론은 광섬유 기반 기업 네트워크 토폴로지와 멀티 클라우드 기업 시나리오에서 파생된 공격 그래프를 포함한 현실적인 사례 연구를 통해 검증되었습니다.

• 초기 분석: 네트워크 링크가 완전히 신뢰할 수 있다고 가정 ($w_n = 1.0$) 한 상태에서, 분석은 Node 2(VM 그룹) 가 덜 악용 가능한 취약점이 있음에도 불구하고 넓은 공격 표면으로 인해 가장 높은 노드별 영향을 가진 것으로 확인되었습니다. Node 7(관리 서버) 은 높은 유입 및 유출 영향을 보여주어 직접적인 취약점 수가 적더라도 고영향 공격을 위한 중요한 통과 지점임을 나타냈습니다.
• 취약점 완화: 개별 취약점 제거를 시뮬레이션한 결과, 진입점 취약점 (예: DIRECT-ACCESS) 과 공격 경로 초기에 나타나는 취약점 (예: CVE-2009-1535) 을 수정하는 것이 누적 영향 감소에 가장 큰 효과를 보였습니다. 영향은 크지만 악용성이 낮거나 공격 체인 후반부에 나타나는 취약점들은 전체 결과에 미치는 영향이 적었습니다.
• 노드 모니터링: 강화된 모니터링을 시뮬레이션 (악용성 80% 감소) 한 결과, 진입 노드 (Node 1, 4, 6, 8) 를 보호하는 것이 심층 네트워크 침투 확률을 크게 낮추는 것으로 나타났습니다. 그러나 Node 2 를 모니터링하는 것도 이를 통과하는 공격 경로의 수가 많기 때문에 매우 효과적이었습니다.
• 네트워크 링크 가중치 변화: 네트워크 링크 가중치 ($w_n$) 를 낮추어 더 엄격한 네트워크 모니터링이나 낮은 연결성을 시뮬레이션했을 때, 초기 단계 취약점의 중요성이 증가했습니다. 이 모델은 횡적 이동 확률이 낮은 환경에서 진입점 완화가 가장 효과적인 전략임을 보여주었으며, Node 3 과 같은 네트워크 깊숙한 곳의 취약점 중요성은 이를 도달할 확률이 떨어짐에 따라 급격히 감소함을 입증했습니다.

주요 기여 및 의의
본 논문은 다음과 같은 기여를 주장합니다:

1. 통합 프레임워크: 공격 전파 역학과 네트워크 연결성 확률을 결합하여 이러한 요인들을 고립적으로 분석하는 한계를 해결하는 통합적이고 서비스 중심의 모델링 접근법을 제공합니다.
2. 정량적 서비스 수준 지표: $CIN$, $COUT$, $CNODE$ 지표의 도입을 통해 서비스에 대한 유입 공격의 영향과 해당 서비스가 시스템 다른 부분으로 공격을 전파할 가능성을 모두 정량화할 수 있게 되었습니다.
3. 완화를 위한 실행 가능한 통찰: 이 연구는 프레임워크가 공격 그래프나 네트워크 토폴로지만으로는 즉시 명확하지 않은 중요 노드와 취약점을 식별할 수 있음을 보여줍니다. 예를 들어, Node 7 과 같이 작은 공격 표면이지만 중요한 자산과 높은 연결성을 가진 노드는 우선순위를 둔 모니터링이 필요할 수 있음을 강조합니다.
4. 시나리오 분석: 이 모델은 다양한 방어 전략 (예: 특정 취약점 패치 대 네트워크 전체 모니터링 강화) 이 위험 환경에 어떻게 변화를 주는지 효과적으로 평가하며, 최적의 완화 전략이 하부 네트워크의 신뢰성에 따라 달라짐을 보여줍니다.

저자들은 이 접근법이 서비스 의존성과 네트워크 토폴로지 간의 상호작용을 이해하는 것이 중요한 시나리오에서 특히 위험 평가 및 완화 계획에 대한 더 실행 가능한 시각을 제공함으로써 복잡한 네트워크 환경에서의 사이버 공격 분석을 발전시킨다고 결론지었습니다.