How segmented is my network?

이 논문은 네트워크의 분할 정도를 정량화하는 최초의 통계적으로 엄밀한 척도인 '분할성 (segmentedness)'을 정의하고, 무작위 표본 추출을 통해 이를 신뢰구간과 함께 추정할 수 있는 방법론을 제시하며 다양한 네트워크 모델과 실제 데이터셋을 통해 그 유효성을 입증합니다.

핵심

🏠 비유: 거대한 오픈 플랜 사무실 vs. 방이 많은 호텔

네트워크를 거대한 건물이라고 상상해 보세요.

1. 분리가 안 된 네트워크 (Flat Network):

   • 마치 벽이 없는 거대한 오픈 플랜 사무실 같습니다.
   • 누군가 한 구석에서 도둑질 (해킹) 을 하면, 경비원 (방화벽) 이 없기 때문에 그 도둑은 건물 구석구석 (서버, 직원 PC 등) 을 자유롭게 돌아다니며 모든 것을 훔쳐갈 수 있습니다.
   • 이 상태는 분리도가 0에 가깝습니다.

2. 잘 분리된 네트워크 (Segmented Network):

   • 이제 이 건물을 호텔로 바꿉시다. 각 객실 (서버/PC) 은 단단한 문과 자물쇠 (보안 정책) 로 막혀 있습니다.
   • 도둑이 101 호에 침입해도, 102 호로 넘어가려면 별도의 열쇠가 필요합니다. 대부분의 문은 잠겨 있습니다.
   • 이 상태는 분리도가 높습니다.

📏 문제: "얼마나 잘 잠겨 있어?"를 어떻게 재나요?

지금까지 보안 담당자들은 "우리는 방을 나눴어요", "화장실 문도 잠갔어요"라고 말 (직관) 로만 설명했습니다. 하지만 "정말 몇 퍼센트의 문이 잠겨 있는 걸까?"를 숫자로 증명할 방법이 없었습니다.

이 논문은 **"전체 가능한 문 (연결) 중, 실제로 잠겨 있는 문 (차단된 연결) 의 비율"**을 계산하는 방법을 제안합니다.

🎯 핵심 아이디어: '무작위 추첨'으로 전체를 알다

전체 네트워크에 있는 수천, 수만 개의 컴퓨터 쌍 (문) 을 하나하나 열어보며 잠겨 있는지 확인하는 것은 불가능합니다. 너무 시간이 걸리니까요.

이 논문은 통계학의 마법을 사용합니다.

• 비유: 거대한 사탕 통에서 사탕의 색깔 비율을 알고 싶을 때, 사탕을 모두 꺼낼 필요 없이 무작위로 100 개만 뽑아 확인하면 전체 비율을 거의 정확히 알 수 있는 것과 같습니다.
• 논문이 말해주는 놀라운 사실: 네트워크 크기가 1,000 개든 10 만 개든 상관없이, 단순히 무작위로 97 개의 컴퓨터 쌍만 테스트하면, 전체 네트워크의 분리도를 95% 확신으로 ±10% 오차 범위 내에서 알 수 있습니다.

💡 핵심 메시지: "네트워크가 아무리 커도, 97 번만 테스트하면 '내 네트워크가 얼마나 안전한지'에 대한 신뢰할 수 있는 점수를 받을 수 있다."

📊 이 점수 (Segmentedness) 가 주는 의미

이 점수는 0 에서 1 사이의 숫자로 나옵니다.

• 0 점: 모든 문이 열려 있는 상태 (완전 위험).
• 1 점: 모든 문이 잠겨 있는 상태 (완전 안전, 하지만 실제 운영은 불가).
• 실제 점수: 예를 들어 0.6 점이라면, "우리의 네트워크에서 두 컴퓨터가 서로 통신할 수 있는 기회 중 60% 는 보안 정책으로 막혀 있다"는 뜻입니다.

🚀 이 방법이 왜 유용한가요? (실생활 적용)

이 점수를 사용하면 다음과 같은 일을 할 수 있습니다.

1. 진행 상황 추적: "올해는 0.3 점이었지만, 내년에는 0.5 점으로 올랐어요!"라고 말하며 보안 강화가 실제로 효과가 있음을 증명할 수 있습니다.
2. 합병 시 안전 확인: 두 회사가 합쳐질 때, 서로의 네트워크를 연결하면 보안이 얼마나 떨어지는지 (점수가 얼마나 줄어드는지) 미리 계산할 수 있습니다.
3. 제로 트러스트 (Zero Trust) 검증: "우리는 제로 트러스트를 도입했다"고 주장할 때, "점수가 0.2 에서 0.6 으로 올랐습니다"라고 숫자로 보여줄 수 있습니다.

⚠️ 주의할 점 (한계)

이 방법은 **'문 (연결) 이 열려 있는지, 잠겨 있는지'**만 봅니다.

• 문이 열려 있더라도, 그 문이 아주 좁은 통로 (특정 포트) 로만 열려 있는지는 고려하지 않습니다.
• 또한, 문이 잠겨 있어도 열쇠를 훔친 도둑이 창문을 통해 들어올 수 있는지는 이 점수만으로는 알 수 없습니다. (하지만 기본적인 '문'의 안전성을 재는 데는 가장 효율적인 방법입니다.)

🏁 결론

이 논문은 보안 전문가들이 **"내 네트워크가 얼마나 안전한가?"**라는 질문에 대해, 복잡한 이론 없이 **간단한 숫자 (점수)**로 답할 수 있는 첫 번째 과학적인 방법을 제시했습니다.

"네트워크를 100 점 만점에 몇 점으로 평가할 수 있을까?"
이제 우리는 97 번의 간단한 테스트로 그 답을 얻을 수 있게 되었습니다. 이는 보안 투자와 정책 변경이 실제로 효과를 보고 있는지 확인하는 강력한 나침반이 될 것입니다.

기술 요약

1. 문제 정의 (Problem)

• 정성적 평가의 한계: 네트워크 분할은 '좌우 이동 (Lateral Movement)'을 제한하고 침해 사고의 영향을 줄이기 위한 핵심 보안 관행이지만, 현재 실무에서는 아키텍처 다이어그램 검토, 정책 문서 분석, 전문가의 주관적 판단 등 **정성적 (Qualitative)**인 방법에만 의존하고 있습니다.
• 측정 지표의 부재: 조직이 분할 수준을 객관적으로 비교하거나, 아키텍처 변경이 보안 격리에 미친 영향을 검증할 수 있는 단일 스칼라 (Scalar) 지표가 존재하지 않았습니다.
• 필요성: 2025 년 국립학술원 (National Academies) 의 보고서에서도 지적했듯, 신뢰할 수 있고 정량화 가능하며 반복 가능한 보안 지표의 부재가 큰 과제로 남아있습니다.

2. 방법론 (Methodology)

A. 개념 정의: 분할성 (Segmentedness)

• 그래프 모델링: 네트워크를 노드 (엔드 시스템) 와 엣지 (정책상 허용된 통신) 로 구성된 무방향 단순 그래프 $G=(V, E)$로 모델링합니다.
• 평탄도 (Flatness, $F(G)$): 가능한 모든 노드 쌍 중 통신이 허용된 비율 (전체 엣지 수 / 가능한 최대 엧지 수) 로 정의합니다.
  • $F(G) = \frac{|E|}{\binom{n}{2}}$
• 분할성 (Segmentedness, $S(G)$): 평탄도의 여집합으로 정의됩니다. 즉, 정책상 통신이 금지된 노드 쌍의 비율입니다.
  • $S(G) = 1 - F(G)$
• 특징: 이 지표는 네트워크의 구조적 배치 (모듈성 등) 가 아닌, **허용된 통신 관계의 전체적인 허용 정도 (Permissiveness)**를 측정합니다.

B. 추정 방법론 (Empirical Estimation)

전체 네트워크의 엣지 수를 모두 파악하는 것은 대규모 기업 환경에서 비현실적이므로, 무작위 샘플링을 기반으로 한 통계적 추정을 제안합니다.

1. 샘플링: $n$개의 노드 중 $M$개의 노드 쌍을 무작위로 추출합니다.
2. 연결성 테스트: 각 샘플 쌍에 대해 ICMP, TCP, UDP 등 다양한 프로토콜로 통신 가능 여부를 확인 (Bernoulli trial) 합니다.
3. 추정: 허용된 통신 비율 ($\hat{F}$) 을 계산하고, 분할성 추정치 $\hat{S} = 1 - \hat{F}$를 도출합니다.
4. 신뢰 구간 (Confidence Interval): Wald 근사법을 사용하여 추정치의 불확실성을 신뢰 구간으로 표현합니다.

C. 표본 크기 계산

• 핵심 발견: 네트워크의 총 노드 수 ($n$) 와 무관하게, 95% 신뢰구간에서 오차 범위 (Margin of Error) $\pm 0.1$을 달성하기 위해 필요한 최소 샘플 수는 $M=97$개입니다.
• 이는 매우 적은 샘플로도 대규모 네트워크의 분할성을 통계적으로 유의미하게 추정할 수 있음을 의미합니다.

D. 고분할 네트워크 처리 (Bayesian Inference)

• 샘플링 결과 허용된 연결이 0 인 경우 (완벽한 분할처럼 보일 때), 빈 빈도수 기반의 신뢰구간이 0 이 되어 오해를 불러일으킬 수 있습니다.
• 이를 해결하기 위해 베이지안 Beta-Binomial 모델을 도입하여, 사전 지식 (실제 기업 네트워크는 최소한의 운영 연결이 존재함) 을 반영한 신뢰구간을 계산합니다.

3. 주요 기여 (Key Contributions)

1. 최초의 정량적 지표: 네트워크 분할성을 측정하는 첫 번째 통계적으로 엄밀한 단일 스칼라 지표를 제안했습니다.
2. 네트워크 규모 독립성: 네트워크 크기에 상관없이 약 100 개의 샘플로 정확한 추정이 가능함을 수학적으로 증명했습니다.
3. 실용적인 추정 도구: 복잡한 머신러닝이나 특수 인프라 없이도 표준 네트워크 유틸리티와 기본 통계 지식으로 구현 가능한 경량 방법론을 제시했습니다.
4. 검증: Erdős-Rényi 모델, 확률적 블록 모델 (SBM), 그리고 Cisco Secure Workload 의 실제 기업 네트워크 데이터를 활용한 몬테카를로 시뮬레이션을 통해 추정기의 편향 없음 (Unbiasedness) 과 신뢰구간의 정확성을 입증했습니다.

4. 실험 결과 (Results)

• 정확성: 무작위 네트워크 (Erdős-Rényi) 와 군집 구조가 있는 네트워크 (SBM) 에서 추정치 $\hat{S}$는 실제 값에 매우 근접하며, 95% 신뢰구간이 이론적 커버리지 (0.95) 를 잘 유지함을 확인했습니다.
• 실제 데이터 적용: Cisco 의 실제 기업 네트워크 데이터셋 (가장 밀도가 높은 5 개 그래프) 에서도 추정치가 실제 엣지 밀도와 일치하며 신뢰구간 내에 포함됨을 확인했습니다.
• 표본 효율성: 1,000 개 노드든 100,000 개 노드든 95% 신뢰구간 ($\pm 0.1$) 을 위해 필요한 샘플 수는 모두 97 개로 동일했습니다.

5. 의의 및 활용 (Significance & Use Cases)

이 지표는 보안 실무자에게 다음과 같은 실질적인 가치를 제공합니다:

• 기선 측정 및 추이 추적: 분할 정책의 변경이 네트워크 격리 수준에 미치는 영향을 정량적으로 추적 (예: 분할성 점수 감소 = 정책 드리프트 또는 격리 약화).
• 제로 트러스트 (Zero Trust) 평가: 점진적인 마이크로 세그멘테이션 도입이 네트워크 평탄도를 얼마나 낮추는지 (분할성을 높이는지) 객관적으로 증명.
• 인수합병 (M&A) 및 통합: 서로 다른 네트워크를 통합할 때 보안 격리가 어떻게 변화하는지 측정하여 과도한 평탄화 (Over-flattening) 방지.
• 벤치마킹: 산업별 또는 조직별 분할성 기준치 설정 및 비교 가능.

6. 결론

이 논문은 네트워크 분할을 "있음/없음"의 이분법적 개념이나 정성적 판단에서 벗어나, 통계적으로 신뢰할 수 있는 정량적 지표로 전환하는 데 기여합니다. 특히 네트워크 규모에 구애받지 않는 효율적인 샘플링 기법은 실무자가 분할 상태를 지속적으로 모니터링하고 데이터 기반의 보안 의사결정을 내리는 데 필수적인 도구가 될 것입니다.