💻 computer science

Bending the Curve: Operational Cyber Epidemiology for Ransomware

이 논문은 SEIR 모델을 랜섬웨어 사고 관리에 적응시킨 운영적 사이버 역학 프레임워크를 제안하며, 이를 통해 다양한 사고 전반에 걸쳐 확산 역학을 줄이고 봉쇄 결정을 안내하기 위한 공통 언어와 재생산 지수와 같은 실시간 지표를 제공한다.

원저자: Stephen V Flowerday, Nikolay Lipskiy, Steven Furnell, Callum E Flowerday, John Hale

게시일 2026-08-03

📖 4 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Stephen V Flowerday, Nikolay Lipskiy, Steven Furnell, Callum E Flowerday, John Hale

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

컴퓨터 바이러스가 단순히 하드 드라이브에 조용히 앉아 스캐너에 발견되기를 기다리는 것이 아니라, 북적이는 학교의 은밀한 독감 바이러스처럼 행동하는 세상을 상상해 보십시오. 한 학생이 바이러스에 걸려 복도에서 재채기를 하자, 갑자기 식당 전체가 기침을 하기 시작합니다. 사이버 보안의 실제 세계에서도 랜섬웨어가 작동하는 방식은 정확히 이와 같습니다. 랜섬웨어는 단 한 대의 컴퓨터만 공격하는 것이 아니라, 훔친 비밀번호와 공유된 도구들을 이용해 누구도 막을 수 없을 만큼 빠르게 기계에서 기계로 옮겨 다닙니다. 오랫동안 보안 팀들은 이러한 공격을 단순히 '탐지 및 삭제' 게임, 즉 나쁜 놈을 찾아내어 쫓아내는 일로 취급하려 노력해 왔습니다. 하지만 이 논문의 저자들은 그러한 접근 방식이 마치 바이러스가 이미 환기구를 통해 퍼지고 있다는 사실을 무시한 채, 처음 재채기를 한 사람만을 치료하여 독감 유행을 막으려는 것과 같다고 제안합니다.

이 해결책을 이해하기 위해서는 공중 보건 분야의 세 가지 간단한 개념이 필요합니다. 첫째, '잠복기(incubation period)'가 있습니다. 이는 세균에 감염된 후 실제로 아프거나 타인에게 퍼뜨리기 전까지의 시간입니다. 컴퓨터의 경우, 이는 해커들이 이미 내부로 침입하여 혼란을 일으키기 전 조용히 도구를 설정하고 있는 '체류 시간(dwell time)'입니다. 둘째, '재생산 지수(reproduction number)'가 있습니다. 이는 "감염된 하나가 다른 것들과 접촉했을 때, 얼마나 많은 새로운 감염을 일으키는가?"를 묻는 세련된 방식입니다. 만약 답이 1보다 크면 문제는 커지고, 1보다 작으면 문제는 사멸합니다. 마지막으로 '집단 면역(herd immunity)'이라는 개념이 있습니다. 이는 충분한 사람들이 보호받거나(이 경우에는 충분한 컴퓨터가 패치되고 격리되어), 바이러스가 뛰어넘을 새로운 숙주를 찾을 수 없는 상태를 의미합니다. 이 논문은 다음과 같은 큰 질문을 던집니다. "우리는 이 오래된 보건 도구들을 현대의 컴퓨터 재난을 관리하는 데 사용할 수 있을까?"

Stephen V. Flowerday와 동료들이 이끄는 저자들은 '운영적 사이버 역학(Operational Cyber Epidemiology)'이라 불리는 랜섬웨어와 싸우는 새로운 방법을 제 제안합니다. 그들은 보안 팀이 단순히 악성 코드를 찾는 것을 넘어 질병 탐정처럼 행동해야 한다고 주장합니다. 그들은 사이버 공격의 확산을 고전적인 건강 모델인 SEIR(감수성, 노출, 감염, 제거) 모델에 매핑하는 프레임워크를 도입합니다. 이 디지털 버전에서 컴퓨터는 취약하면 '감수성(Susceptible)', 해커가 침입했지만 아직 퍼뜨리지는 않은 상태면 '노출(Exposed)', 활발하게 다른 기계로 옮겨 다니고 있으면 '감염(Infectious)', 그리고 격리되어 정화되었다면 '제거(Removed)' 상태가 됩니다.

논문의 주요 결과는 이러한 단계들을 추적함으로써 보안 팀이 더 똑똑하고 빠르게 결정을 내릴 수 있다는 것입니다. 저자들은 가장 결정적인 순간이 암호화가 시작될 때가 아니라, 해커들이 여전히 숨어 있는 '노출' 단계라고 주장합니다. 저자들은 공격이 이기고 있는지 지고 있는지를 확인하기 위해 간단한 수학적 기법을 사용하는 것을 제안합니다. 그들은 '유효 재생산 지수(Re)'라는 숫자를 계산합니다. 이 숫자가 1보다 높으면 공격이 성장하고 있는 것이므로 팀은 패닉에 빠져 더 많은 시스템을 격리해야 합니다. 만약 숫자가 1 아래로 떨어지면 공격이 둔화되고 있는 것이므로, 정화 작업에 집중할 수 있습니다. 논문은 네트워크를 개별 기기의 목록이 아닌 하나의 인구 집단으로 취급함으로써, 팀이 감염의 '곡선'이 위로 꺾이는 것을 막을 수 있음을 보여줍니다.

하지만 저자들은 이것이 마법의 탄환이 될 것이라고 약속하지 않도록 주의를 기울입니다. 그들은 이것이 모든 컴퓨터에 적용되는 완벽하고 정밀한 과학이 아니라는 점을 명시적으로 밝힙니다. 그들은 실제 컴퓨터 네트워크는 복잡하고 무질서하며, 어떤 기계는 '슈퍼 전파자'(모두와 대화하는 인기 있는 학생처럼) 역할을 하는 반면 다른 기계는 단순한 방관자에 불과하다는 점을 인정합니다. 그들이 사용하는 수학은 미래를 100% 정확하게 예측하는 수정구슬이 아니라, 리더들이 비상 브레이크를 밟아야 할 때를 결정하도록 돕는 '경험 법칙' 또는 대략적인 가이드입니다. 또한, 이 방법은 실제로 기계 간에 퍼지는 공격에 가장 적합하며, 해커가 퍼지지 않고 데이터만 훔치는 경우에는 '재생산 지수'가 적용되지 않는다는 점을 분명히 합니다.

논문은 자신들의 주장을 증명하기 위해 WannaCry, NotPetya, SolarWinds 침해 사고와 같은 실제 사례를 사용합니다. 그들은 WannaCry가 스스로 뛰어다닐 수 있기 때문에 산불처럼 퍼진 반면, NotPetya는 신뢰할 수 있는 소프트웨어 업데이트를 통해 퍼지는 '공급망(supply chain)' 트릭을 사용했음을 보여줍니다. 새로운 '역학' 렌즈를 적용함으로써, 그들은 서로 다른 유형의 공격에는 서로 다른 치료법이 필요함을 보여줍니다. 빠르게 퍼지는 공격에는 구멍을 빠르게 패치해야 합니다. 신뢰할 수 있는 계정을 통해 퍼지는 공격에는 누가 열쇠를 가지고 있는지 통제해야 합니다.

궁극적으로, 이 논문은 랜섬웨어 위기를 다루는 최선의 방법은 추측을 멈추고 측정을 시작하는 것이라고 제안합니다. 논문은 '필수 정보 요소(Essential Elements of Information)'라는 체크리스트를 제공합니다. 이는 매 시간 얼마나 많은 새로운 컴퓨터가 감염되고 있는지, 혹은 얼마나 많은 새로운 네트워크 세그먼트가 타격을 입고 있는지와 같은 간단한 것들입니다. 만약 이 수치들이 올라간다면, 팀은 즉시 더 많은 영역을 격리해야 한다는 것을 알게 됩니다. 만약 수치가 내려간다면, 팀은 자신들의 봉쇄 작업이 효과가 있다는 것을 알게 됩니다. 저자들은 보안 팀, 경영진, 심지어 비기술직 리더들이 '버그'가 아닌 '발병(outbreaks)'이라는 공통 언어를 사용함으로써 상황을 더 잘 이해하고 조직을 위한 더 빠르고 생명을 구하는 결정을 내릴 수 있다고 믿습니다. 이것은 모든 침입을 예방하는 것에 관한 것이 아니라, 침입이 발생했을 때 그것이 완전한 재앙으로 변하지 않도록 만드는 것에 관한 것입니다.

기술 요약: 곡선 꺾기: 랜섬웨어 대응을 위한 운영적 사이버 역학(Operational Cyber Epidemiology)

문제 정의

랜섬웨어는 흔히 이진적 탐지 문제로 취급되지만, 가장 높은 운영적 충격을 주는 사고들은 생물학적 전염병과 유사하게 행동한다. 단 하나의 거점이 아이덴티티 인프라, 관리 도구, 공유 서비스를 통해 확산되며, 이는 종종 보안 운영 센터(SOC)의 가시성 속도를 앞지른다. 현재의 대응 노력은 공유된 운영 언어의 부재로 인해 파편화된 의사결정 문제를 겪고 있으며, 이로 인해 중요한 정보가 위협 보고서와 도구별 대시보드에 분산되어 있다. 확산, 지연, 임계값 효과를 설명할 수 있는 통합된 모델 없이는 팀들이 사고 발생 시 다음과 같은 근본적인 질문에 답하는 데 어려움을 겪는다: "전개 양상이 악화되고 있는가?", "무엇이 확산을 주도하고 있는가?", "어떤 조치가 확산을 줄이는 데 가장 효과적일 것인가?" 또한, 기존의 대응 가이드는 특정 실무를 성장 및 운영 임계값에 대한 일관된 모델과 연결하는 데 실패하여, 자원 제약 상황에서 일관되지 않은 반응을 초래한다.

방법론

본 논문은 **운영적 사이버 역학 프레임워크(Operational Cyber Epidemiology Framework)**를 제안하며, 이는 SEIR(Susceptible–Exposed–Infectious–Removed) 모델을 랜섬웨어 사고 관리에 적응시킨 것이다. 본 방법론은 다음 세 가지 확립된 기둥에 근거한다:

역학 모델링(Epidemiological Modeling): 구획 모델(특히 SEIR)을 활용하여 전파 단계, 지연(잠복기), 임계값 동작을 나타낸다.
사이버 보안 사고 분석(Cybersecurity Incident Analysis): 주요 랜섬웨어 이벤트(WannaCry, NotPetya, SolarWinds, MGM/Caesars)의 공개 텔레메트리 및 사고 후 보고서를 활용하여 기술적 메커즘을 역학적 단계에 매핑한다.
공중 보건 비상 대비(PH-EPR): 사례 정의와 필수 정보 요소(EEI)를 표준화하기 위해 ISO 5477:2023(공중 보건 비상 대비 및 대응을 위한 정보 관리) 및 **UNDRR-ISC 재해 정보 프로필(2025)**을 준수한다.

이 접근 방식은 랜섬웨어를 단순한 기술적 실패가 아닌 사회기술적(sociotechnical) 사건으로 취급한다. 본 프레임워크는 전파 상태(Susceptible, Exposed, Infectious, Removed)와 관측 상태(탐지됨/탐지되지 않음)의 구분을 구체화한다. 또한 "노출 기간"(잠재적 침해/스테이징)과 "감염 기간"(활발한 측면 이동 전파)을 분리하여, 전파 역학을 추적하기 위한 최소한의 측정 가능한 지표(EEI)를 정의한다.

핵심 기여

1. 사이버 SEIR 온톨로지

본 논문은 역학적 구조와 랜섬웨어 운영 상태 간의 구체적인 매핑을 정의한다:

Susceptible (감수성/취약): 효과적으로 보호되지 않은 도달 가능한 시스템.
Exposed (노출): 거점이 확보되었으나(침해 존재), 해당 노드가 아직 확정적인 이차 침해를 생성하지 않은 상태. 이 상태는 공격자가 광범위한 암호화를 트리거하기 전 도구를 준비하는 결정적인 "잠복 시간(dwell time)"을 포착한다.
Infectious (감염): 노드가 능동적으로 침해를 전파하는 상태(예: 자격 증명 오용, 스캐닝 또는 원격 실행을 통한 전파).
Removed/Recovered (제거/회복): 시스템이 격리, 재구축 또는 복구되어 추가 확산을 방지하는 상태.

결정적으로, 본 프레임워크는 탐지 능력과 확산 역학을 구분하며, 시스템이 탐지되지 않더라도 감염 상태일 수 있음을 인정한다.

2. 표준화된 사례 정의 및 분류 체계

ISO 5477 및 UNDRR-ISC 코드를 채택하여 상호 운용 가능한 사례 정의를 수립한다:

Suspected (의심): 암호화가 확정되지는 않았으나 초기 징후(예: 자격 증명 덤핑, 스테이징)가 나타나는 상태.
Probable (유력): 실행 및 운영 중단은 확인되었으나, 협박이나 데이터 유출이 검증되지 않은 상태.
Confirmed (확정): 암호화와 함께 데이터 유출 또는 갈취가 검증된 상태.
Removed (제거): 격리되었으며 깨끗함이 검증된 상태.

이러한 정의는 교차 사고 비교 및 집계를 가능하게 하기 위해 UNDRR-ISC 재해 코드(예: Malware에 대한 TL0101, Denial of Service에 대한 TL0104)에 매핑된다.

3. 의사결정 보조 도구로서의 재생산 지수

본 프레임워크는 SOC를 위한 방향성 있는 실시간 의사결정 보조 도구로서 **기초 재생산 지수( $R_0$ )**와 **실효 재생산 지수( $R_e$ )**를 도입한다:

$R_0$ : 완전히 취약한 세그먼트에서의 기초적인 확산 잠재력.
$R_e$ : 보호 조치 및 대응 조치가 적용된 후의 확산 잠재력.
운영 목표: 확산이 지속 불가능하도록 $R_e < 1$ 로 유도하는 것.

간단한 휴리스틱을 제안한다: $R_e \approx R_0(1 - p)$ , 여기서 $p$ 는 환경이 효과적으로 보호되는 비율이다. 이를 통해 팀은 위기 상황에서 정밀한 파라미터 추정을 요구하지 않고도 현재의 통제 조치가 곡선을 꺾기에 충분한지 추정할 수 있다.

4. 필수 정보 요소(EEI) 및 플레이북

본 논문은 시간 민감한 의사결정을 지원하기 위해 다음과 같은 최소 측정 세트(EEI)를 도출한다:

노출 단계 지표: 로그인 실패, 신규 서비스 계정 생성, 비정상적인 원격 실행 버스트.
감염/봉쇄 지표: 시간당 신규 감염 호스트 수, 새로 영향을 받은 세그먼트, 자격 증명 덤핑 징후.
복구 지표: 백업-복구 처리량 및 재감염 신호.

이러한 지표들은 명시적인 행동 트리거(예: " $R_e > 1$ 이 두 번의 주기 동안 지속될 경우, 세그먼트 간 신뢰 관계를 격리하라")와 연결된다. 시각화를 위해 텔레메트리를 격리, 자격 증명 봉쇄, 복구 순서와 연결하는 개념적인 SOC 플레이북 카드가 제공된다.

결과 및 예시 적용

본 프레임워크는 네 가지 주요 사고에 대한 사후 분석을 통해 검증되었다:

WannaCry (2017): 패치 지연에 의해 주도된 자율적이고 웜(worm)과 같은 확산을 보여주었다. 프레임워크는 신속한 패치와 노출 감소가 $R_0$ 를 줄이는 주요 동력임을 강조한다.
NotPetya (2017): 공급망 시딩(seeding) 및 파괴적 행태를 보여주었다. 분석 결과, 신뢰할 수 있는 배포 채널과 관리 도구가 촉매제 역할을 하며, 이는 즉각적인 세그먼트 격리와 신뢰 철회가 필요함을 시사한다.
SolarWinds (2020): 공급망 침해로 인한 긴 "노출 기간"(수개월)을 보여주었다. 프레임워크는 복구 전 강력한 탐지와 규율 있는 제거(eradication)의 중요성을 강조한다.
MGM/Caesars (2023): 아이덴티티 및 사회 공학적 경로를 조명했다. 분석 결과, 헬프 데스크와 아이덴티티 제공자가 "슈퍼 전파자" 역할을 하므로, 특권 액세스 봉쇄 및 검증이 필수적임을 식별하였다.

본 논문은 이 프레임워크를 적용함으로써 팀이 텔레메트리를 조기 격리 및 자격 증명 봉쇄를 위한 조기 결정으로 전환하여, 반응적인 체크리스트 대응에서 벗어나 선제적인 곡선 꺾기 대응으로 나아갈 수 있음을 입증한다.

의의 및 주장

본 논문은 사이버 역학 분야를 개념적 비유 수준에서 표준에 기반한 운영 가능한 과학으로 발전시킨다고 주장한다. 주요 의의는 다음과 같다:

공유된 운영 언어: 기술적 텔레메트리를 봉쇄 결정과 연결하는 공통 어휘(SEIR 상태, $R_e$ , EEI)를 제공하여, 기술 팀과 사고 지휘부 간의 명확한 소통을 가능하게 한다.
제약 조건 하의 의사결정: $R_e$ 를 정밀한 예측치가 아닌 방향성 가이드로 취급함으로써, 가시성이 제한되고 자원이 제약된 상황에서도 신속한 우선순위 설정을 지원한다.
준비 태세 교리의 통합: (ISO 5477과 같이) 공중 보건 비상 관리 원칙을 사이버 위협에 적용하여, 문서 준수 중심에서 측정 가능한 역량(탐지 속도, 봉쇄 능력, 복구 처리량) 중심으로 초점을 전환한다.
반복 가능한 학습: 타임스탬프와 지표(예: 전파 시간, 인식 시간)를 표준화함으로써, 조직이 준비 태세를 벤치마킹하고 고립된 위기 관리를 넘어 집단 방어로 나아갈 수 있도록 사례 간 비교 가능한 교훈을 축적하게 한다.

저자들은 본 프레임워크가 공학적 엄밀성이나 위협 인텔리전스를 대체하는 것이 아니라, 휴리스틱 의사결정 보조 도구임을 명시한다. 이는 기존 보안 도구를 보완하여 랜섬웨어 발생 시 우선순위 설정 및 단계별 의사결정을 위한 구조화된 논리를 제공하도록 설계되었다.