Towards Model-based Run-time Cybersecurity: On Control-Flow Anomaly Detection, Attack Identification, and Hardware Monitoring

당신이 첨단 기술을 갖춘 성의 보안 요원이라고 상상해 보십시오. 당신의 임무는 단순히 정문으로 누가 들어오는지 확인하는 것이 아닙니다. 일단 안으로 들어온 사람들이 가구를 재배치하거나, 벽화를 덧칠하거나, 왕의 침실에 몰래 잠입하지 못하도록 막아야 합니다. 컴퓨터의 세계에서는 이를 **사이버 보안(cybersecurity)**이라고 부릅니다. 오랫동안 보안 요원들은 주로 정문(네트워크)을 지키며 나쁜 놈들이 침입하려는지를 감시했습니다. 하지만 현대의 해커들은 매우 영리합니다. 그들은 때때로 내부로 침입한 뒤, 평범하고 도움이 되는 프로그램인 척 위장하면서 컴퓨터가 생각하고 움직이는 방식을 바꾸려 시도합니다.

이런 교활한 침입자를 잡기 위해 과학자들은 **제어 흐름 모니터링(Control-Flow Monitoring)**이라는 방법을 사용합니다. 컴퓨터 프로그램을 케이크를 굽는 레시피라고 생각해 보십시오. '제어 흐름'은 단계의 순서입니다: 밀가루를 섞고, 달걀을 넣고, 굽고, 그다음 프로스팅을 입힙니다. 만약 레시피가 갑자기 "굽기" 직후에 "소금 추가"라고 말하거나, "섞기" 단계를 통째로 건너뛴다면 무언가 잘못된 것입니다. 보안 시스템은 이 레시피를 지켜보며 단계가 타당한지 확인합니다. 만약 단계가 맞지 않는다면, 그것은 **이상 징м(anomaly)**입니다. 하지만 여기서 까다로운 문제가 있습니다. 똑똑한 해커는 보안 요원을 속일 수 있습니다. 그들은 "소금 추가" 단계를 마치 정상적인 "주방 청소" 단계인 것처럼 보이는 부분 속에 숨길 수도 있고, 보안 요원의 클립보드에서 "소금 추가"라는 메모 자체를 지워버릴 수도 있습니다. 이것을 **위장(camouflage)**이라고 합니다. 보안 요원은 이상한 단계를 발견했지만, 메모가 사라졌거나 무해해 보이기 때문에 "아, 이건 그냥 좀 특이한 청소 루틴인가 보네"라고 생각하며 그냥 넘어가 버립니다.

독일 연구진들이 작성한 이 논문은 바로 그 문제를 다룹니다: 흔적을 숨기는 데 능숙한 해커를 어떻게 잡을 것인가? 저자들은 두 종류의 보안 요원을 결합하는 아주 영리한 새로운 방식을 제안합니다. 한 명은 컴퓨터 소프트웨어 내부에서 일하는 "소프트웨어 관찰자(software observer)"이고, 다른 한 명은 별도의 깨뜨릴 수 없는 하드웨어 박스에서 지켜보는 "하드웨어 관찰자(hardware observer)"입니다. 저자들은 소프트웨어 관찰자는 속을 수 있지만, 하드웨어 관찰자는 속이기가 훨씬 어렵다고 주장합니다. 두 가지를 모두 사용함으로써, 해커가 자신의 움직임을 위장하더라도 잡아낼 수 있다는 것입니다.

두 명의 보안 요원 이야기

연구진은 먼저 현재의 보안 방식이 어떻게 작동하는지 설명합니다. 보통 컴퓨터에는 프로그램이 갈 수 있는 모든 유효한 경로를 나타내는 지도인 **제어 흐상(Control-Flow Graph, CFG)**이 있습니다. 이는 모든 역과 선로를 보여주는 지하철 노선도와 같습니다. 만약 프로그램이 지도에 없는 역으로 점프하려고 하면 시스템이 경보를 울립니다. 왜 경보가 울렸는지 알아내기 위해 보안 팀은 **공격 트리(Attack Tree)**라는 것을 사용합니다. 나무 모양을 상상해 보십시오. 맨 위 가지는 발생한 나쁜 사건(예: "왕의 침실이 침범됨")입니다. 그 아래 가지들은 가능한 이유들입니다: "경비원이 졸았는가?", "누군가 자물쇠를 따고 들어왔는가?", 혹은 "도둑이 날아서 들어왔는가?"

저자들이 지적하는 문제는 공격 트리가 얻는 정보만큼만 똑똑하다는 것입니다. 만약 해커가 증거를 숨기는 데 성공한다면, 공격 트리는 "아, 경비원이 그냥 졸았구나"라고 결론 내릴 수도 있지만, 실제 답은 "도둑이 날아서 들어왔다"일 수 있습니다. 이것이 바로 위장 문제입니다. 해커는 소프트웨어의 로그나 센서를 조작하여, 보고서에서 "날아서 들어온" 부분이 사라지게 만듭니다.

하드웨어 영웅

이 문제를 해결하기 위해 논문은 이중 레이어 시스템을 제안합니다. 첫 번째 레이어는 컴퓨터 내부에 거주하는 소프트웨어 관찰자입니다. 이는 복도에 설치된 보안 카메라와 같습니다. 성능은 좋지만, 해커가 복도로 침입하면 카메라 렌즈를 가리거나 비디오 테이프를 바꿔치기할 수 있습니다.

두 번째 레이어는 하드웨어 관찰자입니다. 이것이 이 논문의 핵심 아이디어입니다. 복도 안에 카메라를 두는 대신, 성벽 밖에서 망원경을 통해 성을 지켜보는 별도의 투명 드론을 상상해 보십시오. 이 드론은 성의 물리적 기계 장치(프로세서)와 연결되어 있지만, 성의 소프트웨어 일부는 아닙니다. 해커가 성의 내부 시스템을 장악하더라도, 드론이 보는 것을 바꾸기 위해 외부의 드론에 도달하는 것은 쉽지 않습니다.

연구진은 이것이 어떻게 작동하는지 보여주기 위해 구체적인 시나리오를 설명합니다. 그들은 산업용 게이트웨이를 위한 인증 서비스(로그인 시스템)를 가정합니다.

1. 공격: 해커가 로그인 시스템의 약점을 찾아냅니다. 그들은 정상적인 "유지보수" 요청처럼 보이는 악성 페이로드를 몰래 집어넣습니다. 그들은 시스템을 속여 "다요소 인증(MFA)" 체크를 건너뛰고 비밀 세션을 생성하게 만듭니다.
2. 위장: 그 후 해커는 소프트웨어 자체의 로그를 다시 쓰는 특수한 기술을 사용합니다. 소프트웨어 관찰자는 "우리는 유지보수를 수행했고, 요청을 거부했으며, 그리고... 아, 세션이 생성되었지만 로그가 약간 지저분하다"라는 보고를 받습니다. 소프트웨어 관찰자는 "음, 아마 로깅 시스템에 버그가 있는 것 같네. 이건 낮은 수준의 문제야"라고 생각합니다. 공격 트리도 이에 동의하며 이를 사소한 설정 오류로 분류합니다.
3. 하드웨어의 진실: 한편, 하드웨어 관찰자는 프로세서의 실제 전기 신호를 지켜보고 있습니다. 그것은 실제 경로를 봅니다: 해커가 "유지보수" 블록에서 직접 "해킹" 블록으로 점프했고, MFA 체크를 완전히 건너뛰었으며, 로그를 조작했다는 것을 봅니다. 하드웨어 관찰자는 소프트웨어 관찰자가 놓친 불법적인 점프를 포착합니다.

진단이 바뀝니다

연구진이 하드웨어 관찰자의 데이터를 동일한 공격 트리에 입력하자, 진단 결과가 완전히 달라집니다. 트리는 더 이상 "버그가 있는 로그"를 보지 않습니다. 대신 "불법 점프", "보안 체크 누락", "로그 조작"을 봅니다. 갑자기 진단이 "낮은 심각도: 설정 오류"에서 "높은 심각도: 코드 주입 및 제어 흐름 탈취"로 바뀝니다.

논문은 두 가지를 결합함으로써 단순히 더 많은 공격을 잡는 것이 아니라, 공격을 더 잘 이해할 수 있음을 보여줍니다. 소프트웨어 경비원은 "무언가 이상하다"라고 말할 수 있지만, 하드웨어 경비원은 "이것이 정확히 무엇이며, 얼마나 위험한지"를 말해줍니다.

의미하는 바 (그리고 그렇지 않은 것)

저자들은 이것이 예비적인 아이디어라는 점을 주의 깊게 언급합니다. 그들은 이 시스템의 일부를 구축하고 시뮬레이션에서 테스트했지만, 아직 이를 실제 제품으로 완전히 통합하지는 않았습니다. 그들은 과제도 인정합니다. 예를 들어, 하드웨어 모니터는 마법이 아닙니다. 만약 트레이스 버퍼가 넘치거나(드론의 메모리가 가득 차거나), 해커가 물리적 하드웨어 자체를 공격한다면 시스템은 여전히 실패할 수 있습니다. 또한, 하드웨어 데이터를 읽는 데는 시간과 컴퓨팅 자원이 소모되므로, 모든 것을 항상 감시할 수는 없습니다.

대신 논문은 스마트한 전략을 제안합니다. 소프트웨어 경비원이 저렴하게 모든 것을 감시하게 합니다. 그러다 소프트웨어 경비원이 무언가 의심스러운 것을 발견하면, 그때 하드웨어 경비원을 깨워 더 자세하고 상세한 조사를 수행하게 하는 것입니다. 이렇게 하면 소프트웨어의 속도와 하드웨어의 신뢰성이라는 두 마리 토끼를 모두 잡을 수 있습니다.

결국, 이 논문은 사이버 보안 문제를 영원히 해결했다고 주장하는 것이 아닙니다. 완벽한 방패를 약속하는 것도 아닙니다. 하지만 이 논문은 문제에 접근하는 매우 유망한 새로운 방식을 제시합니다: 컴퓨터의 자체 성적표만을 믿지 마십시오. 독립적인 증인이 숙제를 검사하게 하십시오. 이 두 번째 독립적인 눈을 추가함으로써, 우리는 해커가 눈앞에서 자신의 속임수를 숨기는 것을 막을 수 있습니다.