기술 요약: TRACE – 분산형, 클라우드 우선 및 탈중앙화 조직을 위한 위협 모델링 방법론

1. 문제 정의

기존의 위협 모델링 방법론(예: STRIDE, PASTA, Trike, OCTAVE, LINDDUN, MITRE ATT&CK)은 다음 세 가지 핵심 가설로 정의되는 시대에 맞춰 설계되었습니다:

1. 경계(Perimeter): 신뢰할 수 있는 내부 구역과 신뢰할 수 없는 외부 공격자 사이의 명확한 구분.
2. 단일 소유권(Single Ownership): 단일 조직이 자산, 인프라 및 운영자를 소유하며, 이를 통해 리스크를 "시스템" 대 "회사"로 깔끔하게 분해할 수 있음.
3. 권한 부여가 곧 안전함(Authorisation Equals Safety): 권한 확인(permission check)을 통과하면 해당 동작은 안전하며, 주요 위협은 비인가된 행위자임.

클라우드 우선 아키텍처, SaaS 의존성, 분산된 권한(창립자, 계약자, 벤더, 멀티시그 서명자, 위원회) 및 제로 트러스트 원칙을 특징으로 하는 현대적 운영 환경은 이 세 가지 가설을 모두 위반합니다. 이러한 환경에서 지배적인 실패 모드는 더 이상 비인가 접근이 아니라 다음과 같습니다:

• 인가되었으나 악의적인 행위자(Authorised-but-malicious actors): 권한을 가진 역할이 해를 끼치기 위해 자신의 공식적인 권한 범위 내에서 행동함.
• 공모(Collusion): 명목상 독립적인 당사자들 간의 조정된 실패 (예: 멀티시그 서명자, 거버넌스 위원회).
• 컨트롤 플레인 및 공급망 침해(Control-plane and Supply-chain compromise): 실행 중인 애플리케이션이 아닌 CI/CD 파이프라인, 빌드 시스템 및 ID 제공업체를 표적으로 하는 공격.
• 운영 미숙(Operational mishandling): 승인 절차나 복구 경로에서의 인적 오류.

기존 방법론들은 이러한 범주를 구조적으로 누락하거나 이를 범위 외의 배경 소음으로 취급하며, 이는 분산형, 클라우드 우선 및 탈중앙화 조직을 위한 보안 분석의 결정적인 공백을 남깁니다.

2. 방법론: TRACE

TRACE(Threat Modelling for Distributed, Cloud-First, and Decentralized Organisations)는 이 간극을 메우기 위해 설계된 방법론입니다. TRACE는 위협 행위자, 역할, 자산, 핵심 불변량(critical invariants), 그리고 신뢰/권한 엣지(edges)를 증거와 연결된 첫 번째 클래스 모델링 객체로 취급합니다. 이는 **프로토콜(Protocols), 시스템(Systems), 조직(Organisations)**의 세 계층을 명시적으로 관통합니다.

2.1 핵심 모델 객체

TRACE는 모델의 기초가 되는 다섯 가지 원시 객체 유형을 정의합니다:

1. 위협 행위자(Threat Actors): 역량, 동기 또는 권한을 가진 엔티티 (외부 공격자, 내부자, 벤더, 침해된 사용자, 경제적 적대자).
2. 역할(Roles): 특권 또는 운영상의 위치 (창립자, 서명자, 유지 관리자, 배포자). 역할은 권한을 국지화합니다.
3. 자산(Assets): 보호가 필요한 가치, 제어권, 데이터 또는 연속성 (자금, 키, 프로덕션 제어, 거버넌스 권력).
4. 핵심 불변량(Critical Invariants): 반드시 참으로 유지되어야 하는 속성 (직무 분리, 승인 무결성, 지급 능력, 권한의 경계, 배포 무결성). 불변량은 위협 순위를 매기기 위한 의미론적 닻 역할을 합니다.
5. 엣지(Edges): 신뢰, 가치, 데이터 또는 제어가 도메인을 교차하는 지점 (신뢰 경계, CI/CD-to-deployment 경로, ID 제공업체-to-클라우드 링크). 엣지는 제로 트러스트 분석의 단위입니다.

핵심 차이점: TRACE는 권한(authority)(역할에 위치하며 엣지를 통해 행사됨)과 권한 부여(authorisation)(행위별 권한 확인)를 구분합니다.

2.2 세 가지 적용 기둥

이 방법론은 각각 특정 입력값과 강조점을 가진 세 가지 뚜렷한 계층에 걸쳐 적용됩니다:

• TRACE for Protocols: 공식적인 규칙 시스템(스마트 컨트랙트, 거버넌스 프로세스)에 집중합니다. 입력값에는 명세서, 백서, 경제 모델이 포함됩니다. 출력값에는 불변량 맵, 거버넌스 리스크 분석, 공모/합의 표면 분석이 포함됩니다.
• TRACE for Systems: 아키텍처와 인프라에 집중합니다. 입력값에는 클라우드 IAM 구조, CI/CD 흐름, IaC(Infrastructure-as-Code)가 포함됩니다. 출력값에는 신뢰 경계 인벤토리, 제로 트러스트 갭 맵, 공급망 리스크 맵이 포함됩니다.
• TRACE for Organisations: 운영 보안 및 인적 요인에 집중합니다. 입력값에는 인터뷰, 액세스 검토, 사고 대응 계획이 포함됩니다. 출력값에는 운영 위협 모델, 인적/프로세스 리스크 레지스터, 강화 로드맵이 포함됩니다.

2.3 순차적 게이트 워크플로우

TRACE는 약한 가정이 누적되는 것을 방지하기 위해 인간의 승인 게이트가 포함된 엄격한 순차적 워크플로우를 채택합니다:

1. 범위 및 소스 인벤토리 설정: 경계를 정의하고 증거를 수집합니다.
2. 소스 인입(Ingest Sources): 후보 구성 요소, 행위자 및 흐름을 추출합니다.
3. TRACE 모델 구축: 다섯 가지 객체 세트를 구축하고 추론된 가정을 표시합니다.
4. STRIDE 식별 및 순위 지정: 모델 전체에 STRIDE를 적용하고, 불변량 및 자산에 미치는 영향을 기준으로 위협의 순위를 매깁니다.
5. 공격 트리(Attack Trees) 구축: 상위 순위의 위협을 목표와 실행 조건으로 분해합니다.
6. 공모 및 조정 조사: 행위자 조합, 쿼럼(quorum) 가정, 거버넌스 탈취 경로를 분석합니다.
7. 로드맵 및 보고서 생성: 우선순위가 지정된 완화 계획을 생성합니다.

3. 주요 기여

본 논문은 세 가지 주요 기여를 합니다:

1. 구조적 비교: 10가지 차원(예: 관점, 리스크 순위, 공모 처리, 공급망, 인적 요인 등)에 걸쳐 9가지 널리 사용되는 위협 모델링 프레임워크에 대한 비교 조사를 수행하여, 기존의 어떤 방법도 불변량, 분산된 권한, 공모를 동시에 첫 번째 클래스 객체로 다루지 못함을 입증합니다.
2. 격차 분석(Gap Analysis): 기존 방법론이 왜 분산형, 클라우드 우선, 제로 트러스트 환경에서 실패하는지 규명하며, 특히 인가된 경로의 실패, 공모, 컨트롤 플레인 엣지에 대한 모델링 부족을 강조합니다.
3. TRACE 명세: 핵심 모델, 세 가지 적용 기둥, 순차적 워크플로우, 인간-AI 협업 체계를 포함한 완전한 방법론 명세를 제공합니다.

4. 결과 및 주장

본 논문은 실험적 실험 결과(예: TRACE와 STRIDE를 비교하는 통제된 연구)를 제시하는 대신, Web3 섹터의 Oak Security에서의 전문 실무를 통해 개발된 방법론을 제시합니다. 효능에 대한 주장은 이러한 실무에 근거합니다:

• 커버리지: TRACE는 불변량, 분산된 권한 및 공모 표면을 증거와 연결하도록 강제함으로써 기존 방법론의 "구조적 사각지대"를 해결합니다.
• 인간-AI 협업: 방법론은 추출 및 커버리지를 가속화하기 위해 대규모 언어 모델(LLM)을 활용하도록 설계되었으나, AI 출력을 오직 "후보 분석"으로만 취급하는 규율을 강제합니다. 시니어 검토자가 불변량, 심각도 및 공모의 신뢰성에 대한 최종 판단권을 보유합니다.
• 추적 가능성(Traceability): 모든 다운스트림 산출물(위협, 공격 트리, 완화책)은 반드시 특정 모델 객체와 소스 증거에 연결되어야 합니다. 추적성이 없는 주장은 제거되거나 미결 질문으로 표시됩니다.

5. 의의 및 한계점

의의:
TRACE는 경계 모델을 넘어선 조직을 위한 스택 불가지론적(stack-agnostic) 프레임워크를 제공합니다. 이는 기존 도구들을 대체하기보다는 (위협 추출을 위한 STRIDE, 깊이를 위한 공격 트리, 엣지 평가를 위한 제로 트러스트 등) 이를 구성하여, 다자간 제어 패브릭에 적합한 프리미티브(primitives) 위에 재정립합니다. 이는 특히 고가치 자산, 분산된 권한, 인적 운영이 밀접하게 결합된 Web3에서 매우 중요하지만, 본 논문은 이 문제가 모든 클라우드 우선 및 탈중앙화 조직에 일반적인 문제라고 주장합니다.

한계점:

• 검증: 본 방법론은 통제된 경험적 연구보다는 전문적 실무를 통해 검증되었습니다.
• 오버헤드: 첫 번째 클래스 객체 세트는 빠른 STRIDE 패스에 비해 모델링 오버헤드를 추가합니다.
• 데이터 의존성: 모델의 품질는 가용 소스의 품질에 의해 제한됩니다. "추론된 가정" 메커니즘이 격차를 완화하지만 완전히 제거하지는 못합니다.
• 주관성: 심각도 순위는 불변량에 기반을 두지만, 여전히 전문가의 판단에 의존하므로 서로 다른 분석가 간에 완전히 재현되지 않을 수 있습니다.
• AI 편향: 게이트형 워크플로우가 자동화 편향을 줄여주지만, 검토 단계에서 이를 완전히 배제할 수는 없습니다.

향후 과제:
저자들은 향ami 개발을 위한 세 가지 방향을 제시합니다: 경험적 평가(분석가 간 일치도 연구), 정형화(불변량 및 엣지에 대한 기계 검사 가능 스키마), 그리고 공모 임계값을 정량적으로 추론하기 위한 책임 있는 합의 이론(accountable-consensus theory)과의 긴밀한 결합입니다.