A Transfer Learning Approach to Unveil the Role of Windows Common Configuration Enumerations in IEC 62443 Compliance

논문 요약: IEC 62443 준수를 위한 Windows CCE 의 역할 규명을 위한 전이 학습 접근법

1. 문제 정의 (Problem Statement)

• 배경: 산업 제어 시스템 (ICS) 은 리눅스, 독점 실시간 OS, Windows 가 공존하는 이질적인 환경에서 운영됩니다. IEC 62443-3-3 표준은 이러한 시스템을 보호하기 위한 포괄적인 프레임워크를 제공하지만, 추상적인 보안 요구사항을 구체적인 구성 검사 (Configuration Checks) 로 변환하는 과정은 여전히 어렵습니다.
• 현황: 리눅스 시스템에 대해서는 IEC 62443 요구사항과 매핑된 데이터셋과 연구가 존재하지만, Windows 환경에서는 체계적인 매핑 및 검증 접근법이 부족합니다.
• 핵심 문제: Windows 환경에서 IEC 62443-3-3 시스템 보안 요구사항 (SR) 을 자동으로 평가하고 준수 여부를 검증할 수 있는 데이터와 방법론의 부재.

2. 방법론 (Methodology)

저자들은 전이 학습 (Transfer Learning) 기법을 활용하여 리눅스 (SUSE) 데이터셋의 레이블을 Windows 환경으로 확장하는 새로운 파이프라인을 제안합니다.

• 데이터 소스:
  • 소스 도메인: IEC 62443-3-3 요구사항과 매핑된 SUSE Linux 의 Common Configuration Enumerations (CCE).
  • 타겟 도메인: IEC 62443 태그가 없는 Windows CCE.
• 기술적 프로세스:
  1. 임베딩 (Vectorization): 각 CCE 의 텍스트 설명 (JSON 형식) 을 all-mpnet-base-v2 (Sentence Transformers 기반) 모델을 사용하여 768 차원의 벡터로 변환합니다.
  2. 거리 기반 가중치 부여: Windows CCE 와 SUSE CCE 간의 유클리드 거리 (또는 코사인 거리) 를 계산합니다. 거리가 가까울수록 (유사할수록) 가중치가 높아지도록 설계합니다.
     • 가중치 공식: $w_{ij} = \frac{1}{d_{ij} + \epsilon}$
  3. 지식 전이 및 점수 산출: SUSE 의 이진 요구사항 벡터 ($r_j$) 를 Windows CCE 로 전이하여 가중 합산합니다.
     • 정규화된 점수 벡터: $s_i = \tilde{s}_i / \|\tilde{s}_i\|_\infty$
  4. 변동성 향상 (Power Transformation): 매핑의 다양성을 높이기 위해 거리 가중치를 지수 $p$만큼 승산합니다 ($w^{(p)}_{ij} = w^p_{ij}$). 이를 통해 반복되는 요구사항의 지배력을 줄이고 다양한 요구사항의 매핑을 유도합니다.
  5. 선정 규칙: 각 Windows CCE 에 대해 점수 임계값 ($\tau$) 이상이고 순위가 상위 $K$개 (Top-K) 인 요구사항만 최종 매핑으로 선정합니다.
  6. 수동 검증 (Manual Verification): ML 모델이 생성한 매핑을 인간 전문가가 검증하여 'Yes/No/Maybe' 라벨을 부여하고 오류를 수정합니다.

3. 주요 기여 (Key Contributions)

1. CCE 데이터셋 라벨링 방법론 제안: 리눅스 데이터셋을 기반으로 Windows CCE 에 IEC 62443 요구사항을 전이하는 전이 학습 프레임워크를 구축했습니다.
2. 레이블된 데이터셋 생성: 612 개의 Windows 구성에 대해 3,020 개의 CCE-SR 관계를 분석하고, 그중 937 개를 'Yes'로 확정하여 검증된 데이터셋을 공개했습니다.
3. 요구사항 분포 및 군집 분석: Linux 와 Windows 간의 요구사항 빈도, 공존 패턴 (Co-occurrence), 그리고 의미론적 군집 (Access Control, Integrity 등) 을 비교 분석했습니다.
4. 자동화 및 추적성 강화: 추상적인 표준과 구체적인 구성 간의 간극을 해소하여 Windows 환경에서의 자동화된 준수 검증 가능성을 입증했습니다.

4. 결과 및 통찰 (Results & Insights)

• 데이터 품질:
  • 초기 3,060 개 관계 중 3,020 개를 분석 가능하게 필터링했습니다.
  • 인간 검증 결과: 31% (937 개) 승인, 7% (222 개) 불확실, 61% (1,861 개) 기각.
  • LLM 검증: Gemini 2.5 Flash 와의 비교에서 전체 95.6% 일치율을 보였으며, 특히 'No' (98.9%) 와 'Yes' (94.1%) 라벨에서 높은 일관성을 보였습니다.
• 주요 발견 (Windows CCE 기반):
  • 우세한 요구사항: 승인된 매핑 중 가장 빈번한 요구사항은 SR 7.6 (보안 매개변수 시행) 과 SR 5.2 (네트워크 경계 보호) 였습니다. 이어 SR 6.2 (지속적 모니터링) 와 SR 6.1 (감사 로그 생성) 이 높게 나타났습니다.
  • 언어적 특징: Windows CCE 설명은 'configured', 'enabled', 'disabled', 'policy', 'enforced'와 같은 지시적이고 기술적인 어휘가 우세한 반면, 리눅스는 'package', 'service' 등 절차적 어휘가 많았습니다. 이는 Windows 가 정책 기반의 기술적 통제를 강조함을 시사합니다.
  • 군집 구조: 리눅스에서도 관찰된 것과 유사하게, 접근 제어 (SR 1.1-1.3) 와 시스템 무결성/패치 관리 (SR 2.4-2.6) 관련 요구사항들이 군집을 이루는 패턴이 확인되었습니다.
• 한계점: 물리적 보호나 조직적 정책과 같은 SR 은 Windows 구성 데이터에서 거의 매핑되지 않았으며, 이는 데이터셋이 기술적 구성에 치중되어 있음을 보여줍니다.

5. 의의 및 결론 (Significance & Conclusion)

• 표준과 실무의 간극 해소: IEC 62443-3-3 의 추상적인 요구사항을 Windows 의 구체적인 구성 (레지스트리, 그룹 정책 등) 과 연결하여, 준수 검증의 자동화와 추적성을 크게 향상시켰습니다.
• 실무적 가치: 이 연구는 산업 제어 시스템의 이질적인 환경 (Windows 포함) 에서 보안 준수를 효율적으로 관리할 수 있는 기반을 마련했습니다.
• 미래 전망: 생성된 데이터셋과 방법론은 NIST 800-82, ISO/IEC 27001 등 다른 보안 프레임워크와의 정렬 (Alignment) 및 지속적인 준수 파이프라인 (Continuous Compliance Pipelines) 구축에 활용될 수 있습니다.

이 논문은 데이터 부족으로 인해 어려움을 겪던 Windows 환경의 IEC 62443 준수 평가를 전이 학습과 인간 - AI 협업 검증을 통해 성공적으로 해결한 선구적인 연구로 평가됩니다.