이 논문은 중요한 사회 기반 시설 (전력망, 철도, 태양광 발전소 등) 을 지키기 위한 실시간 '사고 대응 지도' 를 만드는 방법을 제안합니다.
기존의 보안 시스템이 "문제가 생기기 전에 미리 예방하는静态 (정적) 인 계획"에 의존했다면, 이 논문은 "문제가 터지는 순간, 상황을 보고 즉시 가장 현명한 결정을 내리는 똑똑한 조종사" 같은 시스템을 만들었습니다.
이 복잡한 내용을 일상적인 비유로 쉽게 설명해 드릴게요.
1. 문제: 왜 기존 시스템은 부족할까요?
상상해 보세요. 거대한 전력망이나 철도 시스템이 하나의 거대한 인간 몸이라고 합시다.
기존 방식: 의사가 환자를 볼 때, "지난해 건강검진 결과"나 "이론상 가능한 병"만 보고 처방전을 줍니다. 하지만 환자가 갑자기 "심장마비"가 오고, 약을 먹으면 "다리가 마비"될 수도 있는데, 그걸 고려하지 않고 무작정 약을 줍니다.
현실: 해커는 예측 불가능하게 움직입니다. 그리고 보안 패치 (약) 를 넣으면 시스템이 멈추거나 (가용성 저하), 오히려 더 큰 문제가 생길 수도 있습니다.
핵심 문제: "해킹될 확률", "피해 규모", "시스템 멈춤 위험" 이 세 가지를 동시에 고려해서 최선의 선택을 하는 게 너무 어렵습니다.
2. 해결책: 이 논문이 제안한 '똑똑한 조종사' 시스템
이 논문은 세 가지 핵심 기술을 섞어서 실시간 의사결정 시스템을 만들었습니다.
① Bayesian Network (베이지안 네트워크): "수술실의 3D 홀로그램"
비유: 시스템 전체를 3D 홀로그램으로 만들어서, 해커가 어디를 공격하면 어떤 부위가 어떻게 망가질지 연쇄 반응을 실시간으로 보여주는 지도입니다.
역할: 해커가 "문 (취약점)"을 뚫으면, 그 다음에 "벽 (자산)"이 무너지고, 결국 "집이 무너져 (위험)"지는 과정을 확률로 계산해 줍니다.
특징: 상황이 변하면 (예: 해커가 새로운 방법을 쓰거나, 시스템이 노후화되면) 이 홀로그램도 실시간으로 업데이트됩니다.
② Bayesian Calibration (베이지안 보정): "의사의 직관과 데이터의 결합"
비유: 어떤 병에 대한 데이터가 부족할 때, 데이터 (EPSS, KEV 등) 와 전문가의 경험 (CVSS 점수) 을 섞어서 가장 그럴듯한 확률을 구하는 방법입니다.
상황: "이 구멍이 해커에게 얼마나 위험할까?"라고 물었을 때, 데이터가 없으면 "아마 50% 정도?"라고 추측합니다. 하지만 이 시스템은 "전문가 점수"와 "실제 해킹 데이터"를 섞어서 "아니, 49.8% 정도가 더 정확할 거야"라고 정밀하게 보정해 줍니다.
효과: 정보가 부족한 낡은 시스템에서도 믿을 만한 판단을 내리게 해줍니다.
③ Multi-Objective Optimisation (다목적 최적화): "골든 밸런스 찾기"
비유:세 가지 목표를 동시에 잡으려고 하는 상황입니다.
해킹을 막아야 한다 (보안).
사람이 다치거나 큰 피해가 나면 안 된다 (안전).
하지만 시스템이 멈추면 안 된다 (가용성).
문제: 해킹을 100% 막으려면 시스템을 아예 끄는 게 가장 좋습니다. 하지만 그럼 전기가 안 나옵니다.
해결: 이 시스템은 수천 번의 시뮬레이션을 돌려서, "이 정도는 막고, 저 정도는 감수하되, 전체 시스템은 계속 돌아가게 하는 최적의 조합 (파레토 최적)"을 찾아냅니다. 마치 요리사가 "맛, 영양, 가격"을 모두 만족시키는 레시피를 찾아내는 것과 같습니다.
④ Frequency-Based Heuristics (빈도 기반 휴리스틱): "가장 자주 나오는 정답"
비유: 수천 번의 시뮬레이션을 해봤을 때, 가장 자주 등장하는 해결책이 무엇인지 찾아내는 것입니다.
효과: "어떤 구멍을 먼저 막아야 해킹이 가장 잘 막히면서 시스템도 잘 돌아가는가?"를 통계적으로 찾아내서, 시간이 없는 상황에서도 가장 확실한 우선순위를 알려줍니다.
3. 실제 테스트: 세 가지 시나리오
이 시스템은 세 가지 다른 상황에서 테스트되었습니다.
태양광 인버터 공격: 해커가 태양광 패널을 조작해 전력망을 불안정하게 만드는 시나리오.
결과: 특정 구멍 (V1~V4) 을 먼저 막는 것이 가장 효과적이었으며, 시스템이 멈추지 않으면서 해킹을 막는 방법을 찾았습니다.
우크라이나 전력망 (BlackEnergy) 공격: 실제 해킹 사례를 재현.
결과: 한두 곳만 막는다고 해결되지 않았습니다. 여러 곳을 동시에 방어해야만 전체 시스템이 살아남을 수 있다는 것을 보여줬습니다.
철도 신호 시스템 (CBTC): 기차 충돌을 막는 시스템.
결과: 해킹 확률은 낮아도, 한 번 터지면 기차 추락 같은 치명적 결과가 나옵니다. 그래서 "해킹 확률을 줄이는 것"보다 "시스템이 멈추지 않게 하는 것"에 더 무게를 두는 전략이 필요함을 발견했습니다.
4. 요약: 이 논문이 우리에게 주는 메시지
이 논문은 "완벽한 방패는 없다. 하지만 똑똑한 선택은 있다" 고 말합니다.
기존: "무조건 다 막자!" (하지만 시스템이 멈춤)
이 논문: "지금 상황에서는 어디를 얼마나 막아야, 해커는 막히면서 시스템도 계속 돌아가게 할까?"를 실시간으로 계산해 줍니다.
마치 비행기 조종사가 폭풍우 속에서 "어떤 방향으로 조금만 틀어야 추락하지 않고 목적지에 도착할까?"를 계산하는 것과 같습니다. 이 시스템은 중요한 사회 기반 시설이 해커의 공격을 받아도 무너지지 않고, 최소한의 피해로 다시 일어설 수 있도록 돕는 실시간 생존 가이드 역할을 합니다.
1. 문제 정의 (Problem)
현대 사회의 핵심 인프라 (Critical Infrastructure, CI) 는 사이버 - 물리 시스템 (CPS) 에 크게 의존하고 있으며, 이로 인해 사이버 보안 사고가 물리적 안전 및 운영 중단으로 빠르게 확대될 수 있습니다. 기존 사고 대응 및 의사결정 지원 시스템은 다음과 같은 한계로 인해 실시간 대응에 실패하고 있습니다.
정적 가정과 비적응성: 기존 모델은 사고 발생 중에도 모델 파라미터 (취약성 노출 확률, 자산 간 의존성 등) 를 실시간으로 업데이트하지 못합니다.
불완전한 데이터: 실제 환경에서는 불완전하거나 이질적인 취약성 메타데이터가 존재하며, 기존 방식은 이러한 인식적 불확실성 (Epistemic Uncertainty) 을 효과적으로 처리하지 못합니다.
단일 목적 최적화: 공격 가능성, 영향도 심각도, 시스템 가용성 (Availability) 간의 상충 관계 (Trade-off) 를 고려하지 않고 단일 목적 (예: 위험 최소화) 만을 추구하여, 운영 연속성을 해칠 수 있는 과도한 대응을 초래합니다.
실시간 제약: CPS 환경에서는 패치 적용 자체가 시스템 고장을 유발할 수 있어, 기존 IT 환경과 달리 안전성과 가용성을 동시에 고려한 신속한 의사결정이 필수적입니다.
2. 제안된 방법론 (Methodology)
저자들은 실시간 적응형 의사결정 지원 프레임워크를 제안하며, 이는 베이지안 네트워크 (BN), 신뢰도 보정 노출 추정, 그리고 다목적 최적화를 결합합니다.
A. 베이지안 네트워크 (BN) 모델링
구조: 시스템 아키텍처와 공격 시나리오를 기반으로 **베이지안 공격 그래프 (BAG)**와 **베이지안 영향 그래프 (BIG)**를 통합한 BN 모델을 구축합니다.
노드 유형: 자산 (Asset), 취약점 (Vulnerability), 위험 (Hazard) 노드를 포함하며, 각 노드는 공격 성공 확률 (노출) 과 영향 전파 확률을 가집니다.
동적 업데이트: 도메인 특화 언어 (DSL) 를 사용하여 모델을 인코딩함으로써, 사고 발생 시 구조와 파라미터를 신속하게 업데이트할 수 있습니다.
B. 신뢰도 보정 노출 확률 추정 (Confidence-Calibrated Exposure Estimation)
불완전한 데이터 하에서도 견고한 확률을 추정하기 위해 다음과 같은 하이브리드 접근법을 사용합니다.
다중 지표 통합: CVE 가 있는 경우 EPSS, LEV (Likely Exploited Vulnerability), KEV (Known Exploited Vulnerabilities) 를 통합하고, CVE 가 없는 경우 CVSS 점수를 프록시로 사용합니다.
베이지안 보정: CVSS 기반의 추정치에 베이지안 신뢰도 보정 기법을 적용하여, 인식적 불확실성을 고려한 사후 확률 (Posterior Probability) 을 도출합니다. 이는 P(E)∼N(μpost,σpost2)와 같이 정규 분포로 모델링됩니다.
공격 가능성 (AF) 수정자: 시스템 방어 태세와 공격자 능력을 반영하는 수정자 (ϕ) 를 적용하여 실제 환경을 반영합니다.
C. 다목적 최적화 (Multi-Objective Optimisation)
목표: 공격 성공 확률 최소화, 심각한 영향 발생 확률 최소화, 시스템 가용성 최대화라는 상충되는 목표를 동시에 만족하는 파레토 최적 (Pareto-optimal) 대응 포트폴리오를 탐색합니다.
변수: 각 취약점에 적용된 완화 조치의 확률 (P(M)) 을 의사결정 변수로 취급합니다.
위험 조정: 패치 적용 등으로 인한 자산 고장 위험을 고려하여, 완화 조치 적용 시 자산 고장 확률도 함께 계산합니다.
D. 빈도 기반 휴리스틱 분석 (Frequency-Based Heuristic Analysis)
다수의 최적화 실행 (Runs) 에서 도출된 파레토 최적 포트폴리오들을 분석하여, 어떤 취약점 노드가 일관되게 높은 완화 효과를 보였는지 빈도 기반 순위를 매깁니다.
이는 시간과 자원이 제한된 실시간 상황에서 가장 우선순위가 높은 대응 조치를 식별하는 데 활용됩니다.
3. 주요 기여 (Key Contributions)
실시간 적응형 BN 모델: 오프라인 분석이 아닌, 사고 발생 중 실시간으로 업데이트 가능한 CPS 특화 BN 모델링 접근법을 제시했습니다.
하이브리드 노출 확률 추정 프레임워크: CVSS, EPSS, LEV, KEV 등 상이한 취약성 점수 체계를 베이지안 보정 기법으로 통합하여, 불완전한 메타데이터 하에서도 신뢰할 수 있는 위험 평가를 가능하게 했습니다.
다목적 의사결정 지원 방법론: 보안, 안전, 운영 복원력을 균형 있게 고려한 파레토 최적 대응 포트폴리오를 생성하고, 빈도 기반 휴리스틱을 통해 실행 가능한 우선순위를 제시합니다.
다양한 사례 연구를 통한 검증: 우크라이나 전력망 (BlackEnergy), 태양광 PV 인버터, 철도 CBTC 시스템 등 3 가지 대표적인 사이버 - 물리 공격 시나리오에 대한 적용성을 입증했습니다.
오픈 소스 공개: 연구에 사용된 모델, 소스 코드, 데이터를 GitHub 를 통해 공개하여 재현성과 투명성을 확보했습니다.
4. 실험 결과 및 평가 (Results)
세 가지 사례 연구를 통해 프레임워크의 유효성을 검증했습니다.
태양광 PV 인버터 공격:
특정 취약점 (V1-V4) 이 일관되게 높은 완화 효과를 보였으며, 이는 공격 경로상의 핵심 진입점임을 확인했습니다.
일부 포트폴리오는 심각한 영향은 줄였으나 시스템 가용성 향상에는 한계가 있음을 보여주었습니다.
우크라이나 전력망 (BlackEnergy) 공격:
개별 노드의 노출을 줄이더라도 시스템 내 구조적 상호의존성으로 인해 잔여 위험이 존재할 수 있음을 발견했습니다.
단일 노드가 아닌 분산된 다중 노드 대응 전략이 필수적임을 시사했습니다.
철도 CBTC 시스템 공격:
CVSS 기반과 EPSS 기반 사전 분포를 사용했을 때 최적화 결과에 큰 차이가 없었으나, 시스템 가용성보다 공격 예방을 우선시하는 경향이 있었습니다.
성공적인 공격 시 시스템 영향이 절대적 (100%) 이므로, 공격 진입 자체를 차단하는 예방 전략의 중요성을 강조했습니다.
성능 평가:
최적화 결과의 안정성을 위해 10,000 회의 트라이얼 (Trials) 이 일관된 파레토 프론트를 생성하는 데 충분함을 확인했습니다.
병렬 처리 (concurrent.futures) 를 통해 10,000 회 최적화 실행 시간을 15 분에서 5 분으로 단축하여 실시간 운영에 적합한 성능을 확보했습니다.
5. 의의 및 결론 (Significance)
이 연구는 중요 인프라의 사이버 - 물리 사고 대응에 있어 다음과 같은 중요한 의의를 가집니다.
실시간 의사결정 지원: 정적인 위험 분석을 넘어, 사고 발생 중 변화하는 위협과 시스템 상태에 맞춰 동적으로 대응 전략을 조정할 수 있는 체계를 제공합니다.
불확실성 관리: 다양한 취약성 점수 체계와 불완전한 데이터를 통합하여, 인식적 불확실성 하에서도 신뢰할 수 있는 확률적 추정을 가능하게 합니다.
균형 잡힌 대응: 보안 강화와 운영 연속성 (가용성) 사이의 상충 관계를 정량화하고, 운영자가 현실적인 제약 조건 하에서 최선의 타협점 (Trade-off) 을 선택할 수 있도록 돕습니다.
실용적 가이드: 빈도 기반 휴리스틱을 통해 복잡한 모델의 출력을 운영자가 즉시 실행 가능한 우선순위 목록으로 변환하여, 제한된 자원으로 가장 효과적인 대응을 가능하게 합니다.
결론적으로, 이 프레임워크는 복잡하고 동적인 사이버 - 물리 위협 환경에서 중요 인프라의 운영 복원력 (Operational Resilience) 을 강화하는 강력한 도구로 평가됩니다.