Mathematical Modelling of Cybersecuritythreat Dynamics Using a Compartmental approach

인터넷을 단순한 데이터의 구름이 아니라, 수백만 대의 컴퓨터가 살고 대화하며 정보를 거래하는 북적이는 보이지 않는 도시라고 상상해 보십시오. 사람들로 가득 찬 도시와 마찬가지로, 이 디지털 메트로폴리스도 병에 걸릴 수 있습니다. 컴퓨터 바이러스나 악성 소프트웨어(멀웨어)가 침입 경로를 찾아내면, 그것은 단순히 그 자리에 머물지 않습니다. 그것은 이웃을 감염시키고 그들을 새로운 질병의 매개체로 변모시키며 퍼져 나갑니다. 이것이 바로 디지털 도시를 안전하게 지키는 데 전념하는 분야인 사이버 보안의 세계입니다. 수년 동안 과학자들은 "구획 모델(compartmental models)"을 사용하여 이러한 발병을 예측하려고 노력해 왔습니다. 이 모델들은 기본적으로 컴퓨터를 건강한 상태, 숨어 있는 상태, 활발히 바이러스를 퍼뜨리는 상태, 그리고 치유되었거나 파괴된 상태의 서로 다른 그룹으로 분류하는 정교한 지도와 같습니다. 이러한 지도들이 유용하기는 하지만, 기존의 모델들은 컴퓨터가 감염되었지만 아직 공격을 시작하지 않은 "잠복기(latency)" 단계나, 조직적인 공격을 개시하도록 하이재킹된 컴퓨터의 특정한 역할과 같은 가장 교활한 부분들을 놓치는 경우가 많았습니다.

이번 새로운 연구에서 파키스탄, 가나, 아제르바이잔, 터키의 대학 연구진은 사이버 공격이 어떻게 이동하는지에 대한 더 상세한 6차선 고속도로 지도를 구축했습니다. 그들은 이 모델을 "SEAMRD"라고 부르는데, 이는 Susceptible(감수성), Exposed(노출), Malicious(악성), Attacker(공격자), Recovered(회복), Dead(사망)를 의미합니다. 이것을 여섯 가지의 뚜렷한 역할을 가진 디지털 술래잡기 게임이라고 생각하십시오. 컴퓨터는 Susceptible(건강하지만 취약한 상태)로 시작합니다. 표적이 되면 Exposed(감염되었으나 잠들어 있는, 마치 슬리퍼 에이전트와 같은 상태)가 됩니다. 그 후 Malicious(감염되어 바이러스를 퍼뜨리는 상태)로 깨어납니다. 일부는 더욱 공격적으로 Attacker(새로운 타격을 능동적으로 가하는 상태)로 깨어납니다. 좋은 소식은 일부가 Recovered(패치되어 안전해진 상태)가 된다는 것이며, 최악의 시나리오는 Dead(영구적으로 고장 나서 네트워크에서 제거된 상태)가 되는 것입니다. 연구진은 이 그룹들이 어떻게 상호작용하는지 시뮬레이션하기 위해 복잡한 수학을 사용했으며, 네트워크 전체를 장악할 가능성을 알려주는 "전파수(propagation number, $R_0$라고 불림)"를 계산했습니다. 그들의 시뮬레이션은 바이러스가 퍼지는 속도가 발병의 가장 큰 동력임을 시사하지만, 강력한 회복 시스템과 "인식"(더 나은 보안 업데이트와 같은)이 방패 역할을 하여 확산을 늦추고 잠재적으로 유행이 자리 잡기 전에 중단시킬 수 있다고 제안합니다.

디지털 도시와 그 6개의 구역

이 연구진이 무엇을 했는지 이해하기 위해, 그들의 디지털 도시를 함께 걸어보겠습니다. 현실 세계에서 감기에 걸리면, 몇 일 동안은 괜찮게 느껴지다가 누군가에게 재채기를 하기 시작할 수 있습니다. 컴퓨터 세계에서는 이를 "Exposed(노출)" 단계라고 부릅니다. 컴퓨터가 바이러스에 의해 타격을 입었지만, 아직 퍼뜨리고 있지는 않은 상태입니다. 기존 모델들은 이 단계를 생략하거나 이를 "아픈" 단계와 하나로 묶어버리곤 했습니다. 하지만 이 팀은 사이버 세계에서 잠자고 있는 바이러스와 활성화된 바이러스의 차이가 매우 크다는 점을 깨달았습니다.

그들은 네트워크의 모든 컴퓨터를 다음과 같은 여섯 가지 버킷으로 나누었습니다:

1. Susceptible (S): 이들은 건강한 컴퓨터로, 열려 있고 감염될 준비가 되어 있습니다. 이들은 "감염되지 않은" 인구입니다.
2. Exposed (E): 이 컴퓨터들은 바이러스에 의해 타격을 입었지만 "잠복" 또는 휴면 상태에 있습니다. 감염되었지만 아직 퍼뜨리고 있지는 않습니다. 마치 바이러스 파일이 다운로드되었지만 아직 실행되지는 않은 컴퓨터와 같습니다.
3. Malicious (M): 이제 바이러스가 깨어났습니다. 이 컴퓨터들은 감염되었으며 악성 코드를 다른 곳으로 적극적으로 퍼뜨리고 있습니다.
4. Attacker (A): 이것이 무서운 부분입니다. 감염된 컴퓨터 중 일부는 단순히 바이러스를 퍼뜨리는 것에 그치지 않고, 조직적이고 공격적인 공격을 수행하기 위해 이용되는 "좀비"가 됩니다. 연구진은 이들을 별도의, 매우 위험한 그룹으로 취급했습니다.
5. Recovered (R): 이들은 정화되고, 패치되었으며, 보안이 강화된 컴퓨터들입니다. 이들은 다시 게임에 복귀했으며, 현재의 바이러스로부터 안전합니다.
6. Dead (D): 때때로 바이러스는 너무 파괴적이어서 시스템을 영구적으로 다운시킵니다. 이 컴퓨터들은 "죽은" 상태이며, 네트워크에서 제거되어 더 이상 감염되거나 다른 곳을 감염시킬 수 없습니다.

광기 뒤에 숨겨진 수학

연구진은 단순히 이 그룹들이 어떻게 상호작용하는지 추측한 것이 아니라, 이 여섯 가지 상태 사이의 흐름을 설명하는 방정식 세트(비선형 미분 방정식 시스템)를 작성했습니다. 물이 한 탱크에서 다른 탱크로 흐르는 수조 시스템을 상상해 보십시오. 바이러스가 타격을 가하면 "Susceptible" 탱크에서 "Exposed" 탱크로 물이 빠져나갑니다. "Exposed" 탱크는 바이러스가 깨어나면 "Malicious" 탱크로 흘러 들어갑니다. "Malicious" 탱크는 "Attacker" 탱크, "Recovered" 탱크, 또는 "Dead" 탱크로 흘러갈 수 있습니다.

그들이 계산한 가장 중요한 것 중 하나는 $R_0$(기초 전파수)라고 불리는 것입니다. 간단히 말해, $R_0$는 다음과 같은 점수를 알려줍니다: "만약 한 대의 감염된 컴퓨터가 건강한 컴퓨터들로 이루어진 네트워크에 들어온다면, 평균적으로 몇 대의 새로운 컴퓨터를 감염시킬 것인가?"

• 만약 $R_0$가 1보다 작으면, 바이러스는 결국 사멸할 것입니다. 이는 연료가 부족하여 계속 탈 수 없는 불과 같습니다.
• 만약 $R_0$가 1보다 크면, 바이러스는 기하급수적으로 퍼져나가며 유행을 일으킬 것입니다.

팀은 자신들의 특정 SEAMRD 모델에 대한 이 점수를 계산하기 위해 "차세대 행렬(next-generation matrix)"이라는 방법을 사용했습니다. 그들은 전염율(바이러스가 한 컴퓨터에서 다른 컴퓨터로 얼마나 쉽게 옮겨가는지)이 가장 지배적인 요인임을 발견했습니다. 바이러스가 쉽게 퍼질수록 $R_0$는 급증합니다. 그러나 그들은 또한 "회복률"(우리가 얼마나 빨리 컴퓨터를 패치하고 고치는지)과 "인식률"(우리가 얼마나 빨리 공격을 탐지하고 차단하는지)을 높이는 것이 $R_0$를 낮출 수 있다는 것을 발견했습니다.

시스템의 안정성

연구진은 그다음 중요한 질문을 던졌습니다: "이 시스템은 안정적인가?" 수학적 용어로, 그들은 네트워크가 자연스럽게 건강한 상태로 돌아갈 것인지, 아니면 지속적인 감염 상태에 갇히게 될 것인지를 알고 싶었습니다.

그들은 두 가지 주요 사항을 증명했습니다:

1. "바이러스가 없는" 상태는 안정적입니다 (만약 $R_0 < 1$ 이라면): 전염율이 충분히 낮다면(즉, 바이러스가 그리 전염성이 높지 않거나 우리가 문제를 매우 잘 해결한다면), 네트워크는 자연스럽게 감염된 컴퓨터가 없는 상태로 안착할 것입니다. 그들은 어떤 방식으로 바이러스가 시작되더라도 $R_0$가 1 미만이라면 결국 사멸할 것임을 증명하기 위해 "리아푸노프 함수(Lyapunov function)"라는 수학적 도구를 사용했습니다.
2. "감염된" 상태는 안정적입니다 (만 if $R_0 > 1$ 이라면): 만약 바이러스가 너무 강력하여 $R_0$가 1보다 크다면, 네트워크는 바이러스가 항상 존재하는 상태로 안착할 것입니다. 시스템은 항상 일정 수의 감염된, 공격하는, 그리고 사망한 컴퓨터들이 존재하는 "악성 평형(Malicious Equilibrium)" 상태에 도달하게 됩니다.

무엇이 바이러스를 승리하게 하거나 패배하게 하는가?

공격을 막기 위해 우리가 조절할 수 있는 레버가 무엇인지 알아내기 위해, 팀은 "민감도 분석(sensitivity analysis)"을 수행했습니다. 이것은 기계의 노브(knob)를 조정하여 출력에 가장 큰 영향을 미치는 것이 무엇인지 테스트하는 것과 같습니다. 그들은 각 매개변수를 미세하게 조정하며 $R_0$ 점수가 어떻게 변하는지 살펴보았습니다.

결과는 명확했습니다:

• 전염율 ($\beta$): 이것이 거물입니다. 바이러스가 더 빨리 퍼질수록 감염은 폭발합니다. 이 매개변수는 $R_0$에 가장 긍정적인(높이는) 영향을 미칩니다.
• 회복률 ($\gamma$) 및 제거율 ($\delta$): 이들은 영웅들입니다. 우리가 컴퓨터를 더 빨리 고치거나(회복), 고장 난 컴퓨터를 네트워크에서 제거(제거)할 수 있다면, $R_0$ 점수는 현저히 떨어집니다.
• "공격자" 전환율 ($\pi_A$): "Malicious" 컴퓨터가 "Attacker"로 변하는 속도 또한 중요합니다. 감염된 컴퓨터들이 더 공격적으로 변할수록, 확산을 막기는 더 어려워집니다.

결론

이 연구는 우리가 모든 사이버 공격을 막을 수는 없지만, 확산은 통제할 수 있다고 결론짓습니다. 시뮬레이션 결과에 따르면, 만약 우리가 강력한 회복 시스템(컴퓨터를 빠르게 고치는 것)과 적절한 통제 메커니즘(바이러스가 퍼지는 것을 미리 차단하는 것)에 집중한다면, 감염 수를 줄일 수 있습니다.

연구진은 단순히 "그것이 좋은 아이디어다"라고 말한 것이 아닙니다. 그들은 전염율을 낮게 유지하고 회복률을 높게 유지할 수 있다면 네트워크가 안전하고 바이러스가 없는 상태로 돌아갈 수 있음을 엄격한 수학을 통해 증명했습니다. 그러나 바이러스가 너무 강력하다면($R_0 > 1$), 네트워크는 지속적인 전투 상태에 머물게 될 것입니다. 핵심은 모든 감염된 컴퓨터가 동일하지 않다는 점을 이해하는 것입니다. 어떤 것은 그저 잠들어 있고, 어떤 것은 퍼뜨리고 있으며, 어떤 것은 적극적으로 공격하고 있습니다. 방어 전략에서 이들을 다르게 취급함으로써, 우리는 더 탄력적인 디지털 도시를 구축할 수 있습니다.

결국, 이 논문은 더 스마트한 방어의 청사진입니다. 이는 우리가 사이버 공격의 서로 다른 단계들을 인식하고 적절한 속도로 대응함으로써, 잠재적인 디지털 아포칼립스를 관리 가능하고 통제 가능한 사건으로 바꿀 수 있다는 것을 알려줍니다. 수학은 이렇게 말합니다: 빠르게 패치하고 인식을 확산시킨다면, 바이러스는 패배할 것입니다.