디지털 세상에서 보안은 종종 단순한 아이디어에 의존합니다. 네트워크 내부 주위에 강력한 벽을 쌓고 수상한 것이 통과하지 못하게 하는 것입니다. 이것이 방화벽과 침입 탐지 시스템이 작동하는 방식입니다. 이들은 외곽 경계에 서서 외부에서 침입하려는 공격자를 감시합니다. 하지만 이 전략에는 사각지대가 있습니다. 일단 공격자가 외벽을 속여 통과하고 내부의 컴퓨터 한 대를 장악하고 나면, 그들은 최종 목표에 도달하기 위해 다시 벽을 뚫을 필요가 없습니다. 대신, 그들은 첫 번째로 탈취된 컴퓨터를 디딤돌이나 피벗(pivot)으로 사용하여 더 깊숙이 보호된 다른 컴퓨터들로 뛰어넘을 수 있습니다. 이때 내부 컴퓨터들 사이에서 움직이는 트래픽은 완벽하게 정상적이고 신뢰할 수 있는 것처럼 보이기 때문에, 경계 수비수들을 그대로 통과해 버립니다. 피보팅(pivoting)이라고 알려진 이 기술을 통해 공격자들은 네트워크를 통해 조용히 이동하며, 자신들을 막기 위해 설계된 경보를 전혀 울리지 않고 데이터를 훔치거나 악성 코드를 퍼뜨릴 수 있습니다.

문제는 이러한 움직임을 탐지하는 것이 매우 어렵다는 점입니다. 내부 컴퓨터들 사이를 흐르는 데이터는 종종 그 컴퓨터를 사용하는 사람들의 정당한 업무와 똑같이 보입니다. 이러한 공격자들을 잡기 위한 기존의 솔루션들은 어려운 절충안과 씨름해 왔습니다. 즉, 실시간으로 사용하기에는 너무 느리거나, 네트워크의 모든 컴퓨터가 협조해야 하는데 이는 현대의 유연한 환경에서는 종종 불가능하며, 혹은 너무 많은 오경보를 생성하여 보안 팀이 실제 위협을 놓치게 만든다는 것입니다. 이를 해결하기 위해 댈하우지 대학교와 버지니아 대학교의 연구진은 '스티치(Stitch)'라고 불리는 새로운 시스템을 개발했습니다. 스티치는 전체 네트워크를 중앙에서 감시하려 하는 대신, 개별 컴퓨터 자체에 직접 상주합니다. 스티치는 컴퓨터의 내부 프로세스가 네트워크 트래픽을 어떻게 처리하는지를 관찰하는 로컬 관찰자 역할을 하며, 한 대의 기기를 이용해 다른 기기와 통신하려는 공격자의 특정 시그니처를 찾아냅니다.

스티치의 핵심 통찰은 피벗을 잡아내려면 컴퓨터로 들어오는 것과 나가는 것 사이의 점들을 연결해야 하며, 어떤 소프트웨어 프로그램이 그 움직임을 책임지고 있는지 알아야 한다는 것입니다. 이전의 방법들은 종 often 데이터 패킷의 타이밍과 크기만을 보고, 두 데이터 스트림이 비슷한 시간에 비슷한 크기로 도착하고 떠난다면 서로 연결된 것이라고 추측했습니다. 이 접근 방식은 결함이 있는데, 정당한 일상적 트래픽을 공격으로 오인하여 빈번하게 많은 오경보를 발생시키기 때문입니다. 스티치는 이러한 추측을 피하기 위해 리눅스 운영 체제에 내장된 eBPF라는 특별한 기술을 사용합니다. 이 기술을 통해 시스템은 컴퓨터를 느리게 만들거나 네트워크의 다른 모든 장치로부터 허가를 받을 필요 없이, 운영 체제의 핵심인 커널(kernel) 안에 작고 맞춤화된 프로그램을 안전하게 삽착할 수 있습니다.

스티치는 데이터가 들어오는 순간부터 새로운 데이터가 외부로 나가는 순간까지 프로세스(단순히 실행 중인 프로그램)의 생애를 추적함으로써 작동합니다. 데이터 패킷이 컴퓨터에 도착하면, 스티치는 여기에 라벨을 붙이고 해당 데이터가 특정 프로그램으로 전달되는 과정을 추적합니다. 만약 그 프로그램이 데이터를 다른 곳으로 보내기 위해 새로운 연결을 연다면, 스티치는 그 새로운 나가는 연결이 원래 들어온 것과 연결되어 있는지 확인합니다. 스티치는 시스템 콜(system calls, 프로그램이 운영 체제에 요청을 보내는 것)을 관찰하여, 데이터를 받은 동일한 프로세스가 데이터를 보내는 프로세스인지 확인함으로써 이를 수행합니다. 만약 시스템이 어떤 프로세스가 한 곳으로부터 트래픽을 전달(relay)하고 있다는 것을 감지하면, 스티치는 해당 트래픽의 특성을 조사합니다. 들어오는 데이터와 나가는 데이터 사이의 시간 간격과 크기가 얼마나 유사한지를 살펴봅니다.

경보를 남발하지 않기 위해, 스티치는 또한 컴퓨터가 보통 어디로 데이터를 보내는지에 대한 기록을 유지합니다. 만약 컴퓨터가 데이터베이스를 확인하거나 사용자 계정을 관리하는 것과 같이 정당한 이유로 특정 서버와 자주 통신한다면, 스직은 이를 정상적인 행동으로 인식하도록 학습합니다. 스티치는 트래픽 패턴이 피벗처럼 보이고 방문 횟수가 적은 목적지로 향할 때만 경보를 울립니다. 프로세스 추적, 데이터 흐름 분석, 그리고 컴퓨터의 정상적인 습관 학습을 결합한 이 방식은 높은 정확도를 제공합니다. 시뮬레이션된 공격을 사용한 테스트에서, 스티치는 오직 트래픽의 타이밍과 크기에만 의존하는 기존의 최선책들과 비교했을 때 탐지 정확도를 약 31% 향상시켰습니다. 더 중요한 것은, 오경보율을 1,000분의 1 미만으로 줄였다는 점인데, 이는 무해한 트래픽을 위험한 것으로 잘못 표시하곤 했던 이전 시스템들에 비해 엄청난 개선입니다.

연구진은 시뮬레이션에 그치지 않았습니다. 그들은 수천 명의 학생, 교수, 직원이 사용하는 대규모 대학교 네트워크 내의 실제 서버들에 스티치를 설치했습니다. 그들은 공유 교수 서버와 공용 웹 서버에서 80일 이상 시스템을 가동했습니다. 이 기간 동안 시스템은 서버의 속도를 늦추거나 기존 네트워크 보안 설정을 변경하지 않고도 수백만 건의 네트워크 이벤트를 모니터링했습니다. 교수 서버에서 시스템은 연구진이 실시한 테스트 공격(데이터 이동을 위해 SSH 터널을 사용하는 방식)을 모두 성공적으로 식별해 냈습니다. 또한 데이터베이스 접근을 위한 포트 포워딩과 같은 정당한 관리 작업으로 인한 아주 적은 수의 오경보만을 생성했습니다. 공용 웹 서버의 경우, 시스템은 32일 동안 단 하나의 경보도 생성하지 않고 실행되었으며, 이는 일반적인 웹 트래픽과 잠재적인 피보팅 시도를 구별할 수 있음을 확인시켜 주었습니다.

결과는 스티치가 네트워크 인프라를 완전히 개편할 필요 없이 이러한 은밀한 공격에 대응할 수 있는 실질적인 방법을 제공한다는 것을 보여줍니다. 스티치는 각 컴퓨터에서 독립적으로 작동하므로, 네트워크의 다른 장치들이 다른 소프트웨어를 실행하고 있거나 네트워크 토폴로지가 자주 변경되더라도 상관없습니다. 이 시스템은 가볍게 설계되어 350MB 미만의 메모리를 사용하며 프로세서에 거의 추가 부하를 주지 않습니다. 과중한 트래픽 부하 상황에서도 공격을 포착하는 능력을 유지했습니다. 연구진은 시스템이 초당 수천 개의 새로운 네트워크 연결을 처리하면서도 여전히 데이터의 경로를 정확하게 추적할 수 있다는 것을 발견했습니다. 이러한 효율성은 현대의 네트워크가 역동적이고 분주하다는 점에서 매우 중요합니다. 보안 도구가 너무 무겁거나 느리다면 실제 환경에서 사용하기 부적합하기 때문입니다.

소프트웨어 프로세스와 네트워크 트래픽 사이의 관계에 집중함으로써, 스티치는 정당한 사용자가 업무를 수행하는 것과 공격자가 그 사용자의 컴퓨터를 브릿지로 사용하는 것을 구분하는 문제를 해결합니다. 스티치는 네트워크의 모든 장치의 협조를 요구하지 않으며, 패턴을 찾기 위해 방대한 양의 과거 데이터를 저장할 필요도 없습니다. 대신, 트래픽이 발생하는 즉시 그 맥락을 관찰합니다. 연구진은 이 방식이 이러한 피보팅 터널을 만드는 데 자주 사용되는 SSH, Nmap, Chisel과 같은 공격 도구들에 효과적이라는 것을 입증했습니다. 시스템은 일반적인 네트워크 활동 속에 숨겨진 이러한 공격들을 성공적으로 식별해 냈습니다.

이 연구는 또한 네트워크를 보호할 때 전체적인 그림을 보는 것의 중요성을 강조합니다. 경계에만 의존하는 것은 더 이상 충분하지 않으며, 트래픽 통계에만 의존하는 것은 오류가 발생하기 너무 쉽습니다. 시스템 프로세스 관찰과 네트워크 흐름 분석을 결합함으로써, 스티치는 컴퓨터 내부에서 무엇이 일어나고 있는지에 대한 더 완전한 뷰를 제공합니다. 연구진은 시스템의 소스 코드를 공개하여 다른 사람들이 이 작업을 테스트하고 발전시킬 수 있도록 할 계획입니다. 이러한 투명성은 더 넓은 보안 커뮤니티가 조직화된 집단에 의해 흔히 실행되는 정교하고 장기적인 공격인 '지능형 지속 위협(APT)'에 대한 방어력을 높이는 데 도움을 주기 위함입니다. 스티치의 성공은 호스트 기반의 실시간 탐지가 트래픽의 맥락을 이해하는 것이 네트워크 보안을 위한 실행 가능하고 필수적인 경로임을 시사합니다.

결론적으로, 이 논문은 현재의 보안 도구들이 가진 공백을 메우는, 정확하면서도 효율적인 시스템을 제시합니다. 이는 네트워크 전체의 동작 방식을 바꿀 필요 없이 실시간으로 피보팅 공격을 탐지할 수 있음을 증명합니다. 각 호스트에서 독립적으로 작동하는 능력 덕분에 스티치는 소규모 사무실 네트워크부터 대규모의 복잡한 대학교 인프라에 이르기까지 다양한 환경에 적응할 수 있습니다. 이 시스템은 이미 존재하는 데이터를 더 스마트하게 바라보는 방식이 효과적인 보안을 위해 반드시 더 복잡하거나 비싼 하드웨어를 요구하는 것이 아니라, 실질적인 데이타의 맥락을 파악하는 것임을 보여주는 사례입니다.