Modeling Sparse and Bursty Vulnerability Sightings: Forecasting Under Data Constraints

1. 문제 정의 (Problem Statement)

현대 사이버 위협 인텔리전스 (CTI) 에서 가장 큰 과제 중 하나는 취약점 관련 활동의 진화를 이해하고 예측하는 것입니다. 특히 취약점 관측 (Vulnerability Sightings) 은 해당 취약점이 실제 환경에서 논의되거나, 악용 증명 (PoC) 코드가 공개되거나, 스캐너에 탐지되는 등 구체적인 활동을 의미합니다.

이러한 데이터를 기반으로 한 예측은 패치 우선순위 결정과 위험 평가에 필수적이지만, 다음과 같은 데이터 특성의 한계로 인해 기존 통계 모델 적용이 어렵습니다:

• 희소성 (Sparsity): 대부분의 날짜에는 관측 데이터가 0 이며, 드물게만 소수의 이벤트가 발생합니다.
• 폭발성 (Burstiness): 특정 시점에 갑작스러운 관측 급증 (스파이크) 이 발생하고 그 후 급격히 감소하는 패턴을 보입니다.
• 짧은 시계열: 개별 CVE(공유 취약점 식별자) 에 대해 수집 가능한 데이터의 기간이 매우 짧아 (보통 10~30 일) 전통적인 시계열 분석에 필요한 충분한 관측치가 부족합니다.

2. 방법론 (Methodology)

저자들은 다양한 통계 및 확률론적 접근법을 비교 분석하여 단기 관측 데이터 예측의 타당성을 검증했습니다.

2.1. VLAI 모델의 통합

이 연구는 저자들의 이전 작업인 VLAI (Transformer 기반 모델) 를 활용합니다. VLAI 는 취약점의 텍스트 설명에서 CVSS 와 유사한 심각도 점수를 자동으로 예측합니다. 이 연구에서는 이 VLAI 심각도 점수를 외생 변수 (Exogenous Variable) 로 활용하여, 심각도가 관측 빈도에 미치는 영향을 분석했습니다.

2.2. 모델 비교 및 평가

다음 세 가지 주요 접근법을 실험했습니다:

1. SARIMAX (계절성 자동회귀 이동평균 모델):

   • 로그 변환 (Log-transform) 과 VLAI 심각도 점수를 외생 변수로 포함하여 적용했습니다.
   • 한계: 데이터가 희소하고 폭발적이기 때문에 모델이 과적합되거나, 신뢰구간이 비현실적으로 넓어지며, 때로는 음수 (Negative) 예측값을 생성하는 등 신뢰할 수 없는 결과를 보였습니다.

2. 포아송 회귀 (Poisson Regression):

   • 이산형 (Discrete) 및 비음수 (Non-negative) 인 관측 데이터의 특성을 반영하기 위해 도입했습니다.
   • 장점: 선형 모델과 달리 예측값이 0 미만이 될 수 없으며, 과분산 (Overdispersion) 을 처리하기 위해 음이항 (Negative Binomial) 변형을 사용할 수 있습니다.
   • 적용: 주간 (Weekly) 단위로 데이터를 집계했을 때 가장 안정적인 결과를 보였습니다.

3. 지수 감쇠 (Exponential Decay) 및 로지스틱 성장 (Logistic Growth) 모델:

   • 지수 감쇠: 이미 정점을 지났거나 활동이 감소하는 취약점에 적합합니다. ($y(t) = a \cdot e^{-bt} + c$)
   • 로지스틱 성장: 발표 직후 급증하여 정점에 도달한 후 서서히 감소하는 '폭발 - 소멸' 패턴을 가진 신규 취약점에 적합합니다. ($y(t) = \frac{L}{1 + e^{-k(t-t_0)}}$)
   • 적응형 전략: 최근 관측 데이터의 추세 (기울기) 를 분석하여 상승세일 때는 로지스틱 모델을, 하향세일 때는 지수 감쇠 모델을 선택하는 하이브리드 방식을 제안했습니다.

3. 주요 결과 (Key Results)

• SARIMAX 의 부적합성: 짧은 시계열 (30 일 미만) 과 희소 데이터 환경에서 SARIMAX 는 신뢰할 수 없었습니다. 신뢰구간이 너무 넓어 실용성이 떨어졌으며, 음수 예측이 발생하는 등 물리적으로 불가능한 결과를 낳았습니다.
• 포아송 및 계수 기반 모델의 우위: 포아송 회귀는 데이터의 이산적 특성을 잘 반영하여 더 안정적이고 해석 가능한 예측을 제공했습니다. 특히 데이터를 주간 단위로 집계할 때 성능이 향상되었습니다.
• 모델 선택의 중요성: 모든 취약점에 하나의 모델을 적용하는 것은 비효율적입니다.
  • 신규/급증 추세: 로지스틱 성장 모델이 관측치 증가 추세를 잘 포착했습니다.
  • 감소 추세: 지수 감쇠 모델이 활동 감소세를 더 정확히 예측했습니다.
  • 사례 연구 (CVE-2025-61932, CVE-2025-59287 등): SARIMAX 는 넓은 신뢰구간을 보인 반면, 적응형 로지스틱/지수 모델은 실제 관측치와 더 부합하는 예측을 제공했습니다.
• VLAI 점수의 역할: 심각도 점수는 이론적으로 관측 빈도와 연관성이 있지만, 발표 직후에는 점수가 거의 일정하게 유지되어 단기 예측 모델의 설명 변수로서는 제한적인 변동성을 제공했습니다.

4. 기여 및 의의 (Contributions & Significance)

• 실무적 통찰: 사이버 보안 분야에서 희소하고 폭발적인 이벤트 (취약점 관측) 를 예측할 때 전통적인 시계열 모델 (ARIMA/SARIMAX) 이 가지는 한계를 명확히 지적하고, 이를 대체할 수 있는 실용적인 대안을 제시했습니다.
• 방법론적 제안: 데이터의 상태 (상승/하락/안정) 에 따라 모델을 동적으로 선택하는 적응형 예측 프레임워크를 제안했습니다.
• 작업 흐름 통합: 예측 분석을 취약점 인텔리전스 워크플로우에 통합하기 위한 구체적인 가이드라인 (데이터 품질 관리, 단순 모델 우선 적용, 음수 예측 방지 등) 을 제시했습니다.
• VLAI 모델 확장: 텍스트 기반 심각도 예측 모델 (VLAI) 을 시계열 예측의 설명 변수로 활용하는 새로운 가능성을 탐구했습니다.

5. 결론 및 향후 과제

이 연구는 개별 취약점의 관측 데이터를 예측하는 것이 데이터의 희소성과 불규칙성으로 인해 매우 어렵지만, 포아송 회귀, 지수 감쇠, 로지스틱 성장 모델과 같은 적절한 통계적 도구를 선택함으로써 실용적인 예측이 가능함을 증명했습니다.

향후 연구 방향으로는 다음과 같은 사항들이 제안됩니다:

• 실시간 업데이트: 새로운 관측 데이터가 들어옴에 따라 예측을 매일 갱신하는 시스템 구축.
• 데이터 정제: 누락된 날짜나 중복 보고, 극단적인 스파이크를 감지하여 모델 선택에 반영.
• 세분화된 데이터: 관측 유형 (관측됨, 확인됨, 악용됨 등) 과 VLAI 심각도 점수를 결합하여 실제 악용 가능성과의 연관성을 더 깊이 분석.

이 논문은 사이버 상황 인식 (Cyber Situational Awareness) 과 예측 분석의 교차점에서, 데이터 제약 하에서도 효과적인 의사결정을 지원할 수 있는 방법론적 기반을 마련했다는 점에서 의의가 있습니다.