Bridging Safety and Security in Complex Systems: A Model-Based Approach with SAFT-GT Toolchain

1. 문제 정의 (Problem)

현대 소프트웨어 공학, 특히 자율 적응 시스템 (Self-Adaptive Systems, SASs) 의 복잡성이 증가함에 따라 시스템의 안전성 (Safety) 과 보안성 (Security) 을 통합적으로 관리하는 것이 필수적이지만 매우 어렵습니다.

• 안전성과 보안성의 분리: 기존에는 안전성 (고장, 우발적 사고) 과 보안성 (악의적 공격) 을 별개로 분석하는 경향이 있었습니다. 그러나 두 요소는 서로 밀접하게 연관되어 있으며, 보안 공격이 시스템 고장으로 이어져 안전 사고를 유발할 수 있습니다.
• 동적 환경의 한계: SAS 는 환경 변화에 따라 시스템 구성을 동적으로 재구성합니다. 이러한 동적 변화에 따라 새로운 취약점이 발생할 수 있으나, 기존의 수동 분석 방식은 실시간 대응이 어렵고 오류 가능성이 높습니다.
• 수동 분석의 비효율성: 현실적인 시스템에 대한 공격 - 고장 트리 (Attack-Fault Tree, AFT) 를 수동으로 생성하는 것은 시간 소모가 크고 실수하기 쉽습니다.

2. 방법론 (Methodology)

저자들은 SAFT-GT (SafeSec Attack-Fault Tree Generation Toolchain) 라는 반자동 툴체인을 개발하여 이러한 문제를 해결했습니다. 이 접근법은 MAPE-K (Monitor, Analyze, Plan, Execute - Knowledge) 피드백 루프에 통합되어 실시간으로 작동합니다.

핵심 프로세스 및 모델

1. 데이터 흐름 및 배포 모델 생성 (Dataflow & Deployment Modeling):
   • 실행 중인 ROS2 (Robot Operating System) 시스템에서 노드 간의 데이터 흐름과 컴포넌트 의존성을 자동으로 추출합니다.
   • 실행 중인 프로세스의 라이브러리 및 패키지 정보를 기반으로 배포 모델을 생성하고, 이를 통해 시스템의 현재 상태를 파악합니다.
2. 취약점 마이닝 및 공격 트리 (AT) 생성:
   • 생성된 배포 모델의 컴포넌트 정보를 기반으로 공개된 보안 데이터베이스 (NVD, CVE, CPE, CWE, CAPEC) 를 마이닝합니다.
   • 식별된 취약점 (CVE) 에 대해 자동으로 공격 트리 (Attack Tree) 를 생성합니다. 이때 EPSS (Exploit Prediction Scoring System) 점수를 활용하여 공격 성공 확률을 추정합니다.
3. AFT 조각 (Fragment) 을 통한 모델 결합:
   • 안전성 전문가가 수동으로 작성한 고장 트리 (Fault Tree, FT) 와 자동 생성된 공격 트리 (AT) 를 결합합니다.
   • 추상화 수준 차이 (FT 는 고수준, AT 는 저수준) 를 해결하기 위해 AFT 조각 (AFT Fragments) 을 사용합니다. 이는 MITRE ATT&CK 프레임워크 기반의 중간 단계 공격 시나리오를 정의하여 FT 의 '공격 이벤트 (Attack Event)'와 AT 를 연결하는 다리 역할을 합니다.
4. 동적 고장 트리 (DFT) 변환 및 확률적 모델 검증:
   • 생성된 AFT 를 Storm 모델 체커가 처리할 수 있는 동적 고장 트리 (Dynamic Fault Tree, DFT) 로 변환합니다.
   • 확률적 모델 체킹을 통해 시스템의 평균 고장 시간 (MTTF, Mean Time To Failure) 을 계산합니다.
5. 피드백 루프 통합:
   • 계산된 MTTF 값은 MAPE-K 루프의 '지식 (Knowledge)' 베이스에 저장됩니다.
   • '계획 (Plan)' 컴포넌트는 이 위험 값을 기반으로 시스템의 재구성 (Adaptation) 결정을 내립니다 (예: 위험이 높으면 안전 모드로 전환).

3. 주요 기여 (Key Contributions)

• SAFT-GT 툴체인 개발: 안전성과 보안성을 통합 분석하기 위한 반자동 AFT 생성 파이프라인을 구축했습니다.
• 확장된 프로세스: 기존 SAFT-GT 에 확률적 모델 체커 (Storm) 를 통합하여 AFT 를 DFT 로 변환하고 정량적 위험 지표 (MTTF) 를 산출하도록 확장했습니다.
• 자율 적응 시스템 (SAS) 통합: ROS2 기반의 드론 (Quadcopter) 시나리오를 통해 SAFT-GT 를 SAS 의 MAPE-K 루프에 성공적으로 통합하고, 실시간 재구성 의사결정에 활용하는 것을 시연했습니다.
• 사용자 연구 및 성능 평가: 도메인 전문가 7 명을 대상으로 워크숍 및 설문을 진행하여 접근법의 실용성을 검증했습니다. 또한, 툴체인의 실행 시간을 측정하여 실시간 적용 가능성을 입증했습니다.
• 오픈 소스 공개: 전체 툴체인, 모델, 예제 소스를 GitHub 를 통해 공개하여 연구 재현성과 협력을 장려했습니다.

4. 결과 (Results)

• 사용자 연구 결과:
  • 적용성 (Applicability): 전문가들은 제안된 CVE 마이닝 및 공격 트리 생성 접근법을 '적용 가능' 또는 '매우 적용 가능'으로 평가했습니다 (전체 응답의 약 71% 가 적용 가능 이상).
  • 관련성 (Relevance): 데이터/배포 모델과 AFT 결합의 실용성에 대해 높은 관련성을 인정받았습니다 (약 85% 이상이 '관련성 있음' 이상).
  • 전문가 의견: 런타임 (Runtime) 분석의 필요성, 개방형 시스템에서의 네트워크 공격 표면 확대에 대한 대응, 모듈화를 통한 AFT 조각 공유의 이점 등을 긍정적으로 평가했습니다. 다만, 자동화된 확률 계산에 대한 신뢰도 문제와 기계적 공격 (Mechanical attacks) 등 비전통적 공격에 대한 고려 필요성이 지적되었습니다.
• 성능 평가:
  • ROS2 드론 시나리오 (21 개 노드, 43 개 토픽) 에서 툴체인 전체 실행 시간은 약 15 분 (약 860 초) 소요되었습니다.
  • 가장 시간이 많이 소요된 단계는 데이터베이스 전체 텍스트 검색 (약 10 분) 과 패키지 의존성 추출 (약 5 분) 이었습니다.
  • 생성된 AFT 는 최대 1,845 개의 노드와 814 개의 게이트를 가지며, 이를 Storm 모델 체커로 분석하는 데는 상대적으로 짧은 시간이 소요되어 실시간 적용에 무리가 없음을 보였습니다.

5. 의의 및 결론 (Significance & Conclusion)

• 안전과 보안의 통합: 이 연구는 안전성과 보안성을 분리된 영역이 아닌 상호 연관된 요소로 통합하여 분석하는 체계적인 프레임워크를 제공합니다.
• 실시간 대응 능력: 시스템의 동적 변화 (재구성) 에 따라 실시간으로 위험을 평가하고 적응적 결정을 내릴 수 있게 함으로써, 복잡한 사이버 - 물리 시스템 (CPS) 의 회복탄력성을 높입니다.
• 자동화의 중요성: 수동 분석의 한계를 극복하고, 대규모 시스템에서도 확장 가능한 자동화된 분석 파이프라인을 제시했습니다.
• 향후 과제: 연구는 현재 공개된 취약점 데이터베이스에 의존하고 있으며, 제로데이 공격이나 기계적 공격 등을 포함하기 위해 NLP 및 LLM 기술의 활용, 설계 단계 (Design-time) 와 런타임 단계의 전략 결합, 그리고 공격자 프로파일링의 정량화 등을 향후 연구 방향으로 제시했습니다.

요약하자면, 이 논문은 SAFT-GT 툴체인을 통해 복잡한 자율 시스템에서 안전성과 보안성을 통합적으로 분석하고, 이를 실시간 피드백 루프에 적용하여 시스템의 위험을 동적으로 관리하는 새로운 패러다임을 제시한 중요한 연구입니다.