기술 요약: ACTING – 사이버 레인지 연계를 위한 플랫폼

문제 제기

사이버 방어 (CD) 훈련은 점점 더 상호 연결된 민간 및 군사 인프라에 걸친 복잡하고 다중 도메인 사건을 시뮬레이션할 수 있는 환경을 요구합니다. 기존의 사이버 레인지 (CR) 는 일반적으로 단일 도메인이나 특정 사이버 보안 측면을 대상으로 하여 고립되어 운영됩니다. 그러나 현대의 사이버 사건은 이질적인 시스템 전반에 걸쳐 연쇄적인 영향을 미치므로, **연계된 CR(Federated CRs)**으로의 전환이 필요합니다.

이전 연구에서 CR 을 상호 연결하는 것의 타당성이 입증되었으나, 분산 인프라 전반에 걸쳐 진정한 상호 운용성, 확장성, 그리고 조화로운 운영을 달성하는 데에는 여전히 중요한 과제가 남아 있습니다. 기존 솔루션들은 시나리오 모델링, 리소스 관리, 또는 스크립트 구문 분석과 같은 특정 실리 (silo) 를 다루는 경우가 많으며, 연계 메커니즘을 상황 인식 (SA), 성과 평가 (PE), 그리고 현실적인 시뮬레이션과 통합하는 일관된 아키텍처 프레임워크를 제공하지는 못합니다. furthermore, 시나리오를 설명하는 공통적이고 형식화된 언어의 부재는 다양한 CR 제공업체 간에 훈련의 이식성과 자동화된 배포를 저해합니다.

방법론 및 시스템 아키텍처

본 논문은 분산된 사이버 보안 훈련 서비스를 집계, 조정, 관리하도록 설계된 오케스트레이션 레이어인 **ACTING 플랫폼 (AP)**을 제시합니다. ACTING 은 자체적으로 CR 인프라나 학습 관리 시스템 (LMS) 으로 작동하기보다는, 독립적인 서비스 제공자와 고객을 연결하는 마켓플레이스 및 조정 환경으로 기능합니다.

이 플랫폼은 다음 여덟 가지 핵심 구성 요소 위에 구축되었습니다:

1. 서비스 카탈로그 (SC) 및 서비스 요청 관리자 (SRM): SC 는 NICE 및 SFIA 와 같은 메타데이터 프레임워크를 활용하여 서비스 (예: CR 시나리오, 탁상 훈련) 를 게시하고 발견할 수 있는 중앙 저장소 역할을 합니다. SRM 은 서비스 요청의 수명 주기를 관리하며, 요청자와 제공자 간의 협상, 승인, 계약 체결을 처리합니다.
2. 서비스 디자이너 (SD): "유닛 (Units)"(콘텐츠 기반 훈련, CR 시나리오, 탁상 훈련) 을 사용하여 서비스를 정의할 수 있는 시각적 드래그 앤 드롭 인터페이스입니다. 이는 복잡한 복합 서비스의 생성을 지원하며, 다중 사이트 배포를 추상화하여 인프라 코드를 작성하지 않고도 연계된 시나리오를 설계할 수 있게 합니다.
3. 서비스 개발 언어 번역기 (SDL-T): 이 구성 요소는 **연습 설명 언어 – 1 세대 (EDL-FG)**를 사용하여 고수준 서비스 명세를 실행 가능한 CR 시나리오로 변환합니다. 의미론적 번역을 수행하여 추상적 정의를 배포 가능한 운영 구성에 매핑합니다.
4. 서비스 추천 엔진 (SRE): **용량 - 역량 지도 (CCM)**와 **서비스 브로커 (SB)**로 구성되며, SRE 는 리소스 할당을 관리합니다. 요청된 역량이 존재하는지 확인하고, 연계 실행에 적합한 CR 을 식별하며, 리소스가 부족할 경우 순위가 매겨진 대안을 제안합니다.
5. 연계 인식 엔진 (FAE): 이 구성 요소는 연계된 훈련으로부터 데이터를 수집, 상관관계 분석, 분석하여 상황 인식 (Situational Awareness) 을 제공합니다. 시간 정렬 지표를 사용하여 팀의 성과와 의사 결정 수준을 평가합니다.
6. 연계 성과 평가 (FPE): 각 참여 CR 의 로컬 PE 모듈에서 데이터를 집계하는 자동화된 평가 프레임워크입니다. (시간, 양, 순서, 작업) 지표를 계층적으로 집계하여 점수를 계산하고 구조화된 피드백을 제공합니다.
7. 학습 관리 시스템 (LMS): 훈련 활동, 참여자 역할, 그리고 시뮬레이션된 사용자 행동 (청색, 적색, 회색 사용자) 을 관리하며, 모니터링 및 상호작용을 위해 다른 ACTING 구성 요소와 통합됩니다.
8. 서비스 관리자 (SM): 사전 실행, 실행, 사후 실행 단계를 거쳐 협상된 서비스의 수명 주기를 담당하는 중앙 오케스트레이션 구성 요소입니다. 이는 연계 환경 전반에 걸쳐 접근 제어, 구성, 동기화를 조정합니다.

주요 기여

1. 연습 설명 언어 – 1 세대 (EDL-FG)

본 논문은 CR 훈련 서비스를 형식적으로 설명하기 위한 구조화된 YAML 기반 언어인 EDL-FG 를 소개합니다. 이는 두 가지 중요한 차원을 포착합니다:

• 기술 인프라: ICT/OT 환경을 모방하는 데 필요한 컴퓨팅 및 네트워크 리소스.
• 시나리오 논리: 스토리라인, 사건, 주입 (injects), 그리고 참여자 상호작용.

EDL-FG 는 MITRE ATT&CK/DEFEND, CDEM, CWE, TOSCA, NIST NICE와 같은 기존 프레임워크의 개념을 재사용하고 확장하는 통합 의미 계층으로 작용합니다. 이는 공격 기법, 취약점, 방어 조치, 그리고 역할을 연결하기 위한 명시적인 교차 참조 및 유효성 검사 규칙을 도입합니다. 이를 통해 연계된 CR 전반에 걸쳐 자동화된 배포, 오케스트레이션, 그리고 상호 운용성이 가능해집니다.

2. 자동화된 성과 평가 (PE) 및 채점

ACTING 플랫폼은 분산된 CR 전반에 걸쳐 훈련생의 행동을 평가하기 위한 자동화된 메커니즘을 도입합니다. FPE 프레임워크는 네 가지 지표 유형을 지원합니다:

• 시간: 활동의 지속 시간.
• 양: 올바르게 수행된 행동의 수.
• 순서: 명령의 순서 (퍼지 매칭 사용).
• 작업: 특정 목표의 달성.

에세이 기반 평가의 경우, 시스템은 유사도 (SimS), 철자 (SpellS), 그리고 **명확성 (ClarS)**을 기반으로 최종 점수를 계산하기 위해 자연어 처리 (NLP) 를 활용합니다. 명확성 점수는 가우시안 분포를 통해 가중치가 부여된 여러 언어학적 지표 (예: 플레시 읽기 용이성, 잠재 의미 분석) 를 통합합니다.

3. 다중 도메인 사이버 훈련 시나리오

이 플랫폼은 민간 및 군사 운영 맥락을 결합한 시나리오의 실행을 가능하게 합니다. 논문은 세 가지 대표적인 시나리오를 통해 이를 입증합니다:

• 시나리오 1: 사회 공학, 멀웨어 지속성, 그리고 데이터 위조를 포함하는 합동 본부, 육군, 해군 CIS 시스템에 대한 결합된 사이버 공격.
• 시나리오 2: 우주 (GNSS 신호 조작) 및 해상 부문을 연결하는 사이버 - 물리적 공격으로, 연쇄적인 운영 효과를 입증합니다.
• 시나리오 3: 측면 이동 탐지, 이상 징후 식별, 그리고 표준 운영 절차 (SOP) 준수를 중점적으로 다루는 군사 기지 기밀 정보 도난 시나리오.

결과 및 시연

본 논문은 위에서 설명한 세 가지 시나리오의 구현을 통해 플랫폼의 능력을 검증합니다. 이러한 시연은 다음을 보여줍니다:

• 상호 운용성: EDL-FG 와 SDL-T 를 사용하여 연계된 CR 전반에 걸쳐 훈련을 성공적으로 오케스트레이션함.
• 확장성: 구상부터 실행까지 복잡한 다수 파트너 훈련 활동을 관리할 수 있는 능력.
• 현실성: ICT/OT 시스템에 대한 적대적 전술 및 시간적 중요성이 높은 의사 결정을 포함한 현실적인 위협 조건의 시뮬레이션.
• 자동화된 피드백: 훈련생과 강사를 위한 거의 실시간 지표 및 점수 생성으로, AP UI 를 통해 시각화됨.

중요성 및 주장

저자들은 ACTING 이 이질적인 CR 을 상호 연결하는 아키텍처적 복잡성을 해결함으로써 연계된 사이버 훈련을 발전시킨다고 주장합니다. 이 작업의 중요성은 다음과 같습니다:

• 표준화: 기술 인프라와 시나리오 논리를 연결하고 이해관계자 간의 모호성을 줄이는 공통적이고 상호 운용 가능한 표현 (EDL-FG) 제공.
• 자동화: 확장 가능하고 현실적인 CD 훈련에 필수적인 자동화된 시나리오 배포, 데이터 수집, 그리고 성과 평가 가능.
• 통합적 통합: 고립된 솔루션을 넘어 연계 메커니즘을 상황 인식 및 성과 평가와 통합하여 통합된 환경으로 이동.

본 논문은 플랫폼이 타당성과 운영적 관련성을 입증하고 있음을 결론지으며, 향후 작업은 정량적 기준을 통한 체계적인 경험적 평가와 EDL-FG 를 사이버 훈련을 위한 성숙하고 표준화된 언어로 진화시키는 데 초점을 맞출 것이라고 명시합니다.