기술 요약: CLOUDBURST – 통합 실시간 감시 및 위협 귀속을 위한 비콘을 활용한 클라우드 레이어 관측

1. 문제 제기

현대적인 클라우드 네이티브 환경 (AWS, GCP, Azure, OCI) 은 전통적인 파일 기반 시나리오와 근본적으로 다른 유출 위협 표면 (threat surface) 을 제시합니다. 공격자들은 더 이상 단순히 파일을 탈취하지 않으며, S3 서명된 URL, 컨테이너 이미지, 쿠버네티스 시크릿, 테라폼 상태 모듈, IAM 역할 토큰과 같은 일시적인 아티팩트를 탈취합니다. 기존 학술 문헌과 허니토큰 프레임워크 (예: Passive hack-back, Canarytokens) 는 주로 파일 기반 또는 모바일 시나리오에 초점을 맞추고 있어, 다음과 같은 고유한 클라우드 네이티브 속성을 다루지 못합니다:

• 인프라의 일시성 (Ephemerality): 컨테이너화 환경 (예: 쿠버네티스) 에서 비콘 콜백을 유발하는 인프라는 귀속 분석이 시작되기 전에 소멸할 수 있어, "비콘을 발사한 머신이 여전히 실행 중이다"라는 가정을 무효화합니다.
• IAM 복잡성: 클라우드 API 호출은 풍부한 신원 컨텍스트 (예: 가정한 역할 ARN, 서비스 계정 이메일) 를 포함하며, 이는 우수한 텔레메트리를 제공하지만 역할 가정 체인과 활성화된 감사 로그 (CloudTrail/Audit Log) 의 복잡한 해석을 요구합니다.
• 다중 공급자 정규화: 공격자들은 종종 도난당한 자격 증명을 서로 다른 클라우드 공급자를 통해 라우팅하므로, 귀속 시스템은 이질적인 형식 간에 텔레메트리를 정규화해야 합니다.

현재 도구들은 클라우드 네이티브 비콘에 대한 공식적인 분류 체계와 시간이 지남에 따라 인프라의 변동성이 귀속 품질을 어떻게 저하시키는지를 정량화하는 지표를 결여하고 있습니다.

2. 방법론

본 논문은 클라우드 네이티브 수동 비콘을 평가하기 위해 설계된 공식적인 분류 체계 및 측정 프레임워크인 CLOUDBURST를 소개합니다.

2.1 공식 프레임워크: 클라우드 귀속 점수 (CAS)

핵심 기여는 다음과 같이 정의된 통합 지표인 **클라우드 귀속 점수 (CAS)**입니다:
$$CAS(c) = w_1C_f(1 - E_p) + w_2I_c + w_3(1 - E_p)I_c + w_4M_b$$
여기서:

• $C_f$: 콜백 충실도 (콜백당 정보의 질).
• $E_p$: 일시성 페널티, 인프라 변동 (팟 재시작, 자동 확장) 으로 인한 귀속 품질 손실을 모델링합니다.
• $I_c$: IAM 커버리지 (포착된 신원 컨텍스트의 비율).
• $M_b$: 멀티 클라우드 보너스 (공급자 간 증거 상관관계로 인한 이득).
• $w_i$: 합계가 1 이 되는 가중치.

이 프레임워크는 **일시성 감쇠 (Ephemeral Decay)**를 명시적으로 모델링하여, 페널티 $E_p$가 시간, 팟 재시작, 확장 이벤트의 함수로서 증가함을 보여줌으로써 컨테이너화 환경에서 귀속 품질이 어떻게 저하되는지를 수학적으로 증명합니다.

2.2 비콘 벡터 분류 체계

CLOUDBURST 는 고유한 위협 속성과 공급자 지원을 가진 6 가지 명확한 비콘 벡터 클래스를 정의합니다:

1. S3 서명된 URL: 도난된 데이터에 포함된 시간 제한이 있는 서명된 URL.
2. 워터마크가 포함된 컨테이너 이미지: 임베디드 헬스체크 레이어가 있는 OCI 이미지.
3. 캐나리 IAM 역할: 합법적인 호출 경로가 없는 휴면 상태의 역할/서비스 계정.
4. 중독된 테라폼 모듈: 임베디드 HTTP 데이터 소스가 있는 모듈.
5. 쿠버네티스 시크릿 비콘: 승인 웹훅 또는 감사 로그를 통해 콜백을 유발하는 시크릿.
6. 서버리스 함수 트리거: 호출 시 발동되는 "죽은 코드" 함수.

2.3 실험 설정

평가에는 다음이 포함되었습니다:

• 배포: 4 개 클라우드 공급자 (AWS, GCP, Azure, OCI) 에 걸쳐 21 개의 비콘 인스턴스.
• 공격자 시뮬레이션: 라우팅 (TOR/VPN), 인프라 회전, 체류 시간을 다양화한 3 가지 숙련도 수준 (Naive, Advanced, APT).
• 스캐너 모델: 탐지 저항성 (DR) 을 측정하기 위한 3 가지 탐지 모델 (AWS Macie/GCP DLP, Checkov/tfsec, Prisma Cloud/Wiz).
• 지표: CAS, 탐지 저항성 (DR), 탐지까지의 콜백 수 (CTD), 48 시간 동안의 일시성 감쇠 역학.

3. 주요 결과

3.1 벡터 성능

• IAM 캐나리 역할은 가장 높은 평균 CAS(0.450) 와 높은 탐지 저항성 (DR = 0.873) 을 달성하여 가장 배포 가능한 벡터가 되었습니다. 이들은 가장 풍부한 텔레메트리 (전체 주체 ARN) 를 제공하며 일시성 위험이 가장 낮습니다.
• S3 서명된 URL은 URL 형식과 접근 패턴이 합법적인 데이터 검색과 유사하여 모든 3 가지 스캐너 모델을 생존하며 가장 높은 탐지 저항성 (DR = 0.890) 을 달성했습니다.
• 서버리스 함수 트리거는 CNAPP 스캐너에 의해 탐지 가능한 명시적인 아웃바운드 HTTP 콜백 패턴으로 인해 가장 낮은 탐지 저항성 (DR = 0.611) 을 보였습니다.
• 쿠버네티스 시크릿은 높은 팟 변동성으로 인해 가장 빠른 CAS 감쇠를 보였습니다.

3.2 일시성 감쇠

중요한 발견은 귀속 품질의 급격한 감쇠입니다. 모든 벡터에 걸쳐 CAS 는 배포 시 약 0.79 에서 48 시간 이내에 0.18–0.22 로 감쇠되었습니다 ($p < 0.001$). 이는 귀속 감쇠에 대한 정량적 모델을 수립하여, 콜백을 유발하는 인프라가 종종 분석 전에 소멸하므로 클라우드 네이티브 비콘은 신속한 발사나 지속성을 위해 설계되어야 함을 증명합니다.

3.3 공급자 무관성

통계적 분석 (크루스칼 - 월리스 검정, $H=1.99, p=0.57$) 은 클라우드 공급자 간 CAS 에 유의미한 차이가 없음을 확인했습니다. 이는 CLOUDBURST 의 효과가 공급자에 무관함을 나타내며, 멀티 클라우드 환경에서 균일한 배포 전략을 가능하게 합니다.

3.4 귀속 신뢰도 격차

특정 벡터에 대해 높은 CAS 값을 달성했음에도 불구하고, 어떤 구성도 고신뢰도 귀속 사후 확률 ($P(H|E) \ge 0.85$) 을 달성하지 못했습니다. 관찰된 최대 사후 확률은 약 0.52 (IAM 캐나리 대 APT) 였습니다. 논문은 이를 "정직한 영구 결과 (honest null result)"로 규정하며, 현재 비콘 능력과 운영상 귀속 신뢰도 사이의 격차를 정량화합니다.

4. 기여

1. 최초의 공식 분류 체계: 정량화된 위협 속성을 가진 6 가지 클라우드 네이티브 비콘 벡터 클래스의 분류.
2. 클라우드 귀속 점수 (CAS): 일시성 페널티, IAM 커버리지 깊이, 멀티 클라우드 상관관계를 명시적으로 모델링한 지표.
3. 일시성 감쇠 모델: 컨테이너화 인프라 변동성이 귀속 품질을 어떻게 저하시키는지 보여주는 정량적 모델.
4. 실증적 평가: 4 개 공급자와 3 가지 공격자 숙련도 수준에 걸친 포괄적 연구로, 실제 세계 스캐너 모델을 기준으로 벤치마킹.
5. 배포 프레임워크: CAS 와 DR 트레이드오프에 기반한 계층적 권장 전략.

5. 중요성과 주장

본 논문은 CLOUDBURST 를 기존 비콘 배포 (Passive hack-back), 토큰 생성 (PHANTOM), 장기적 축적 (ARCANE) 에 대한 작업과 보완하는 완전한 유출 후 귀속 스택의 기반 레이어로 위치시킵니다.

• 운영적 현실: 주요 중요성은 일시성 감쇠 문제를 측정 가능한 엔지니어링 과제로 확립한 것입니다. 귀속 품질이 48 시간 이내에 실행 가능한 임계값 아래로 떨어지는 발견은 설계 원칙의 전환을 요구합니다: "축적 기반" 귀속에서 "첫 번째 콜백" 귀속으로 이동하거나 IAM 역할과 같은 지속적 앵커를 사용하는 것입니다.
• 전략적 지침: 이 연구는 높은 CAS, 낮은 일시성 위험, 공급자 무관성의 균형을 이루는 IAM 캐나리 역할을 우월한 주요 벡터로 식별하는 동시에, 가장 우회 저항성이 높은 S3 서명된 URL을 강조합니다.
• 한계 및 향후 작업: 저자들은 겸손하게 현재 비콘 벡터만으로는 고신뢰도 귀속 ($P \ge 0.85$) 에 불충분하다고 주장합니다. 이 격차를 해소하려면 클라우드 인프라 그래프, 피해자 산업 표적화, 시간적 클러스터링과 같은 보조 신호가 필요하다고 제안합니다. 본 논문은 귀속을 완전히 해결한다고 주장하지는 않지만, 클라우드 네이티브 비콘을 더 넓은 귀속 파이프라인에 통합하기 위해 필요한 측정 프레임워크와 분류 체계를 제공합니다.