Organizational Security Resource Estimation via Vulnerability Queueing

이 논문은 정적 스냅샷이 아닌 취약점 타임스탬프를 기반으로 한 비정상 대기행렬 프레임워크를 통해 조직의 사이버 보안 자원 (인력과 처리 속도) 을 91~96% 의 높은 정확도로 추정하고, 이를 통해 병목 현상을 식별하며 예측적 인력 계획과 사전 대응형 사이버 리스크 관리의 기반을 마련합니다.

핵심

이 논문은 **"해커들이 공격을 하고, 우리가 그걸 막는 과정"**을 수학적으로 분석하여, 어떤 조직이 실제로 얼마나 많은 인력과 자원을 가지고 있는지를 추측해내는 새로운 방법을 소개합니다.

기존의 보안 분석은 "현재 열려 있는 구멍이 몇 개냐"는 정적인 숫자만 봤다면, 이 논문은 **"구멍이 얼마나 빠르게 생기고, 얼마나 빠르게 막히는지"**라는 시간의 흐름과 속도를 봅니다.

이 복잡한 내용을 일상적인 비유로 쉽게 설명해 드릴게요.

---

🏥 비유: 병원 응급실과 환자 대기열

이 논문의 핵심 아이디어를 이해하기 위해 대형 병원 응급실을 상상해 보세요.

1. 환자 (Vulnerability/취약점):
   • 해커가 발견한 보안 구멍은 갑자기 찾아오는 응급 환자들입니다.
   • 어떤 날은 환자가 거의 오지 않지만, 어떤 날은 대량으로 몰려옵니다 (이걸 '버스트'라고 합니다).
2. 의사 (Resource/자원):
   • 병원을 지키는 보안 요원들은 의사들입니다.
   • 의사는 환자를 치료 (패치/수정) 하고 퇴원시켜야 합니다.
3. 대기열 (Queue/대기열):
   • 치료받지 못하고 기다리는 환자 수가 바로 **공격 표면 (Attack Surface)**의 크기입니다.
   • 대기열이 길어질수록 병원은 위험에 노출된 상태입니다.

❓ 기존 방식의 문제점: "스냅샷"의 함정

기존의 보안 분석은 마치 카메라로 한 번 찍은 사진을 보는 것과 같습니다.

• "오늘 환자 50 명 대기 중이네. 의사 10 명 있네."
• 하지만 이 사진은 어제 환자가 100 명 몰려와서 의사가 죽어라 일했는지, 내일 환자가 폭주할지 알려주지 않습니다.
• 또한, 의사가 하루에 몇 명을 치료할 수 있는지 (처리 능력) 나, 환자가 얼마나 오래 기다리는지 (대기 시간) 같은 동적인 흐름을 무시합니다.

💡 이 논문의 해결책: "흐름을 보는 큐잉 이론"

이 논문은 정적인 사진 대신 실시간 CCTV를 켜고, 대기열의 흐름을 분석합니다.

1. "시간을 쪼개서 보기" (Segmentation)

병원 상황은 하루 종일 똑같지 않습니다. 아침에는 조용하다가 점심때 급증하고, 밤에는 다시 조용해질 수 있습니다.

• 이 논문은 긴 시간을 **작은 조각 (세그먼트)**으로 나눕니다.
• 각 조각마다 "지금 이 시간대는 환자가 얼마나 몰리는지", "의사들이 얼마나 빠르게 치료하는지"를 따로 분석합니다.

2. "의사 수와 처리 능력 추측하기" (Resource Estimation)

가장 놀라운 점은 의사 수 (인력) 를 직접 세지 않고도 추측할 수 있다는 것입니다.

• 논리의 핵심: "환자가 얼마나 빨리 들어오고, 얼마나 빨리 나가는지"만 알면, **"의사가 몇 명이고, 하루에 몇 명을 치료할 수 있는지"**를 수학적으로 역산할 수 있습니다.
• 마치 식당을 예로 들면, "손님이 몇 분 간격으로 들어오고, 요리가 몇 분 걸려서 나가는지"만 보면, "주방장이 몇 명이고, 주방이 얼마나 바쁜지"를 알 수 있는 것과 같습니다.

3. "수학적인 마법" (Gaussian Mixture & KL Divergence)

저자들은 복잡한 수학 공식 (가우시안 혼합 모델 등) 을 써서, 실제 관찰된 환자 흐름과 수학적으로 시뮬레이션한 흐름을 비교합니다.

• "우리가 가정한 의사 수 (예: 100 명) 로 시뮬레이션을 돌렸을 때, 실제 병원 상황과 얼마나 비슷할까?"
• 두 흐름이 가장 비슷해지는 지점을 찾아내면, 그것이 **실제 조직이 가진 자원 (인력, 처리 능력)**입니다.

---

📊 실제 성과: 얼마나 정확할까?

저자들은 두 가지 실제 데이터를 이 방법으로 분석했습니다.

1. 소프트웨어 공급망 (오픈소스 프로젝트):
   • 전 세계 개발자들이 만든 프로그램의 버그 기록을 분석했습니다.
   • 결과: 버그가 얼마나 자주 발견되고, 얼마나 오래 방치되는지 패턴을 정확히 찾아냈습니다.
2. 대형 물류 기업 (실제 기업 데이터):
   • 실제 기업의 보안 티켓 (문제 신고) 데이터를 분석했습니다.
   • 놀라운 결과: 이 방법으로 추정한 실제 직원 수와 업무량이, 기업이 직접 기록한 실제 숫자와 91~96% 수준으로 일치했습니다.
   • 즉, "누가, 언제, 얼마나 일했는지"를 몰라도, 문제 해결 기록만 보면 조직의 실력을 완벽하게 알아낼 수 있다는 뜻입니다.

---

🚀 왜 이 연구가 중요한가요? (일상적인 의미)

이 연구는 조직에게 다음과 같은 도움을 줍니다.

• 인력 계획의 혁명: "다음 달에 해커들이 더 공격할 것 같으니, 인력을 20% 늘려야겠다"라고 미리 예측할 수 있습니다.
• 병목 현상 찾기: "의사 수는 충분한데, 치료 도구가 부족해서 환자가 밀리는구나" 혹은 "의사 수가 부족해서 병원이 붕괴 직전이다"라는 것을 정확히 파악할 수 있습니다.
• 예측 가능한 보안: 단순히 "지금 위험하다"가 아니라, "앞으로 3 개월 뒤에는 이 정도 인력이 필요할 것이다"라고 미래를 설계할 수 있게 해줍니다.

📝 한 줄 요약

"정적인 숫자만 보는 게 아니라, 해커와 보안팀의 '경쟁 게임'을 실시간 흐름으로 분석하여, 조직이 실제로 얼마나 많은 인력과 자원을 가지고 있는지 수학적으로 추측해내는 새로운 방법입니다."

이 논문은 보안이 단순히 '방화벽'을 쌓는 문제가 아니라, 인력과 자원을 어떻게 효율적으로 배치하느냐는 운영의 문제임을 수학적으로 증명했습니다.

기술 요약

1. 문제 정의 (Problem Statement)

기존의 사이버 보안 위험 평가 및 취약점 관리 지표들은 주로 정적 스냅샷 (static snapshots) 에 기반하여 장기 평균 위험을 계산하는 데 그칩니다. 그러나 실제 정보 시스템의 공격 표면 (attack surface) 은 다음과 같은 역동적인 특성을 가집니다.

• 비정상성 (Non-stationarity): 취약점 발견 패턴과 패치 능력은 시간, 인력 배분, 자동화 도구의 변화에 따라 급격히 변합니다.
• 버스트성 및 두꺼운 꼬리 (Bursty & Heavy-tailed): 취약점 발견과 패치 과정은 불규칙한 폭발적 발생과 긴 대기 시간을 보입니다.
• 자원 제약: 패치 능력은 제한된 인력과 예산에 의해 제약받으며, 이로 인해 취약점 백로그가 누적됩니다.

기존의 정적 지표는 이러한 시간적 변동성과 자원 제약으로 인한 백로그의 역학을 포착하지 못하여, 인력 계획 및 위험 평가에 한계가 있습니다. 따라서 비정상적인 동적 시스템으로서의 공격 표면을 모델링하고, 이벤트 로그 (발견 및 패치 시간) 만으로부터 잠재된 조직의 자원 (인력 수, 처리량) 을 추정할 수 있는 새로운 프레임워크가 필요합니다.

2. 방법론 (Methodology)

저자들은 취약점을 '도착 (arrival)', 패치를 '서비스 (service)', 미패치 취약점의 수를 '대기열 길이 (queue length)'로 간주하는 동적 대기열 (Queueing) 프레임워크를 제안합니다.

A. 시스템 모델: G/G/m-b

• G/G/m-b 모델: 일반적인 도착 분포와 서비스 시간 분포를 가지며, $m$개의 병렬 서버 (유효 인력) 와 총 서비스 용량 제약 $b$를 가진 모델입니다.
  • $m$: 동시에 취약점을 해결하는 유효 인력 수 (예: 개발자 또는 IT 지원 인력).
  • $b$: 단위 시간당 조직이 처리할 수 있는 총 패치/처리량.
  • $b/m$: 인력당 평균 생산성 (효율성).
• 비정상성 처리: 전역적으로 정상성을 가정할 수 없으므로, 데이터를 준정상 (quasi-stationary) 구간으로 분할하여 각 구간별로 파라미터를 추정합니다.

B. 4 단계 분할 및 추정 알고리즘

1. 실증적 대기열 길이 분포 (QLD) 구축: 취약점 발견 및 패치 타임스탬프를 기반으로 시간별 대기열 크기 $N(t)$를 재구성하고, 이를 시간 평균한 QLD($\hat{P}(n)$) 를 생성합니다.
2. 가우시안 혼합 모델 (GMM) 피팅: QLD 의 다중 모드 (multi-modal) 특성을 파악하기 위해 GMM 을 적용합니다. KL 발산 (Kullback-Leibler Divergence) 을 최소화하는 혼합 구성 요소 수를 결정하여 준정상 구간의 수를 식별합니다.
3. 구간 분할 및 파라미터 추정:
   • GMM 구성 요소를 시간 축의 연속된 구간 (Segment) 에 매핑합니다.
   • 각 구간별로 시뮬레이션 기반 최적화를 수행하여, 시뮬레이션 QLD 와 실증 QLD 간의 KL 발산을 최소화하는 파라미터 집합 $\theta^* = \{m, b, F_{IA}, F_{ST}\}$를 찾습니다.
   • 여기서 $F_{IA}$와 $F_{ST}$는 각각 도착 간격과 서비스 시간의 분포 (로그정규분포, 파레토 분포 등) 입니다.
4. 검증: 추정된 파라미터로 생성된 QLD 가 실증 데이터와 얼마나 일치하는지 평가하고, 추정된 인력 ($m$) 과 처리량 ($b$) 이 실제 조직 데이터와 일치하는지 확인합니다.

3. 주요 기여 (Key Contributions)

1. 공격 표면의 동적 대기열 모델링: 취약점의 시간 - 공간적 진화를 모델링하기 위해 정적 스냅샷이 아닌 동적 대기열 프레임워크를 처음 도입했습니다.
2. 비정상 공격 표면의 분할 모델링: 실증 QLD 와 GMM, 그리고 표적 시뮬레이션 최적화를 결합하여 이벤트 로그로부터 잠재된 조직 자원 (유효 인력 수, 총 처리량) 을 재구성하는 새로운 방법을 제시했습니다.
3. 이중 데이터셋 검증: 오픈소스 소프트웨어 공급망 데이터 (ARVO) 와 글로벌 물류 기업의 비공개 티켓 시스템 데이터를 사용하여 모델의 정확성을 입증했습니다.
4. 데이터 기반 조직 자원 추론: 명시적인 인력 데이터 없이도, 버그 리포트 및 패치 타임스탬프만으로 인력 규모와 작업 부하를 91-96% 의 정확도로 추정할 수 있음을 증명했습니다.

4. 결과 (Results)

연구는 두 가지 데이터셋에서 다음과 같은 결과를 도출했습니다.

• 소프트웨어 공급망 (ARVO 데이터):

  • 2017~2024 년 데이터를 분석하여 10 개의 준정상 구간을 식별했습니다.
  • 분할된 G/G/m-b 모델은 실증 QLD 를 매우 정확하게 재현했습니다 (KL 발산 0.109).
  • 유효 인력 수 ($m$) 는 221250 명으로 비교적 안정적이었으나, 총 처리량 ($b$) 은 30.9272.9 사이로 크게 변동하여 패치 강도의 시간적 변화를 잘 포착했습니다.

• 물류 기업 (비공개 데이터):

  • 2019~2025 년 데이터를 분석하여 3 개의 주요 구간을 식별했습니다 (코로나19 이전/이후, 새로운 감지 시스템 도입 등).
  • 자원 추정 정확도: 추정된 인력 수 ($m$) 와 실제 관측된 인력 수 간의 오차는 1% 미만 (구간 1) 에서 5% 이내였습니다.
  • 처리량 추정: 추정된 처리량 ($b$) 과 실제 평균 처리량 간의 상대 오차는 약 **9%**였습니다.
  • 이 결과는 이벤트 로그만으로 조직의 실제 인력 규모와 생산성을 매우 정밀하게 역추적할 수 있음을 보여줍니다.

5. 의의 및 중요성 (Significance)

• 예측적 인력 계획 (Predictive Workforce Planning): 과거 및 현재 취약점 흐름을 분석하여 미래의 공격 강도에 필요한 인력과 자원을 정량적으로 예측할 수 있는 기반을 마련했습니다.
• 리소스 병목 현상 식별: 패치 속도 저하의 원인이 인력 부족 ($m$ 감소) 인지, 개별 인력의 효율성 저하 ($b/m$ 감소) 인지 구분하여 대응 전략을 수립할 수 있습니다.
• 적극적인 사이버 위험 관리: 정적 위험 지표를 넘어, 시간에 따라 변하는 공격 표면의 역학을 이해함으로써 조직이 변화하는 위협 환경에 선제적으로 대응할 수 있게 합니다.
• 실용적 적용 가능성: 민감한 내부 인력 데이터가 공개되지 않은 상황에서도, 공개된 버그 리포트나 티켓 시스템 로그만으로 조직의 보안 대응 능력을 평가할 수 있는 새로운 도구를 제공합니다.

이 논문은 사이버 보안 관리에 있어 대기열 이론 (Queueing Theory) 을 적용하여 정적 분석의 한계를 극복하고, 데이터 기반의 동적 자원 최적화 및 위험 관리 체계를 구축할 수 있음을 입증했습니다.