Boundary-Based Stability Monitoring of DDoS-Induced Structural Stress in Networked Systems

디지털 공기 속에 흐르는 보이지 않는 긴장감

인터넷을 단순한 전선의 격자가 아니라, 정보가 북적이는 활기찬 보이지 않는 도시라고 상상해 보십시오. 당신이 문자를 보내거나, 영상을 스트리밍하거나, 웹페이지를 불러올 때마다, 당신은 이 도시의 교통량에 아주 작은 자동차 한 대를 추가하는 셈입니다. 보통 이 교통량은 자동차들이 일정한 속도와 간격을 유지하며 매끄럽게 흐릅니다. 하지만 때때로, 나쁜 의도를 가진 이들이 이 파티를 망치려 합니다. 그들은 수백만 대의 가짜 자동차를 동시에 보내 도로를 꽉 막아버려 실제 교통량이 움직일 수 없게 만듭니다. 이것이 바로 분산 서비스 거부 공격, 즉 DDoS 공격입니다.

오랫동안 보안 요원들(우리 네트워크를 보호하는 소프트웨어)은 눈에 띄는 급증 현상을 찾아내어 이러한 공격을 감지하려고 노력해 왔습니다. 마치 검문소에 갑자기 거대한 자동차 벽이 들이닥치는 것과 같은 현상을 말이죠. 그들은 "속도 제한"과 "용량 경보"를 설정합니다. 만약 교통량이 제한치를 넘어서면 경보가 울립니다. 하지만 문제는 여기에 있습니다. 때때로 나쁜 녀리들은 단순히 자동차를 쌓아 올리는 것에 그치지 않고, 자동차가 주행하는 방식을 미묘하게 바꿉니다. 그들은 이상한 패턴으로 운전하거나, 간격을 바꾸거나, 자동차를 약간 더 무겁게 만들 수도 있습니다. 이러한 미묘한 변화는 즉각적으로 속도 제한을 위반하지는 않지만, 도로 시스템에 기이하고 보이지 않는 스트레스를 줍니다. 우리가 오직 큰 충돌만을 본다면, 도로에 금이 가기 시작하는 순간을 놓칠 수도 있습니다. 이 논문은 도로가 실제로 부서지기 전에 그 보이지 않는 스트레스를 측정하는 방법을 찾는 것에 관한 것입니다.

---

붕괴 전의 균열을 느끼다

이 연구에서 저자 압둘라 M. 알마라시(Abdullah M. Almarashi)는 네트워크 트래픽을 관찰하는 새로운 방법을 제안합니다. 단순히 "이 트래픽이 나쁜가?" 혹은 "좋은가?"라고 묻는 대신, 이 논문은 "이 트래픽이 무너지기까지 얼마나 가까워졌는가?"라고 묻습니다.

건강한 네트워크를 완벽하게 균형을 잡고 있는 줄타기 곡예사라고 생각해 보십시오. 전통적인 보안 방식은 곡예사가 줄에서 떨어지는 것을 지켜보는 것과 같습니다. 그들은 재앙이 발생한 후에야 반응합니다. 알마라시의 새로운 방법은 줄타기 줄 자체에 센서를 부착하는 것과 같습니다. 그것은 곡예사가 여전히 줄 위에 있는 동안 줄이 얼마나 흔들리고, 늘어나고, 뒤틀리는지를 측정합니다. 그것은 추락을 기다리지 않습니다. 대신 곡예사가 가장자리로 얼마나 기울어져 있는지를 정확히 알려줍니다.

데이터의 "스트레스 테스트"

이 논문은 **안정성 영역(Stability Domain)**이라는 수학적 프레임워크를 소개합니다. 모든 "정상적인" 트래フィック이 머무는 지도상의 안전한 녹색 구역을 상상해 보십시오. 이것이 **양호한 참조 레짐(benign reference regime)**입니다. 공격이 시작되면, 트래픽은 단순히 녹색 구역 밖으로 점프하는 것이 아니라, 가장자리를 향해 서서히 표류합니다.

저자는 **안정성 함수(Stability Functional)**라는 특별한 도구를 구축했습니다. 이것을 "구조적 스트레스 미터"라고 생각하십시오. 이것은 트래픽을 관찰하여 크게 두 가지를 계산합니다:

1. 트래픽이 정상적이고 행복했던 곳으로부터 얼마나 멀어졌는가 (거리).
2. 트래픽이 얼마나 뒤틀리거나 왜곡되었는가 (모양).

이것들을 결합하여, 이 미터기는 시스템이 "붕괴 경계"에 얼마나 근접했는지를 알려주는 단일 숫자를 제공합니다. 숫자가 낮으면 당신은 녹색 구역에서 안전합니다. 숫자가 높아지면 가장자리에 접근하고 있는 것입니다. 만약 숫자가 특정 선을 넘으면, 시스템은 "붕괴 영역"에 진입한 것을 의미하며, 이는 공격이 이미 자리를 잡았음을 뜻합니다.

"왜곡 연산자(Distortion Operator)"의 마법

이 논문의 가장 멋진 부분 중 하나는 **왜곡 연산자(Distortion Operator)**라고 불리는 도구입니다. 당신이 사람들의 무리를 보고 있다고 상상해 보십시오. 보통 그들은 깔끔하고 예측 가능한 원 모양으로 서 있습니다. 공격자는 그들을 밀치려고 할 수 있지만, 단순히 원을 크게 만드는 대신, 어떤 사람은 머리로 서 있게 하고, 어떤 사람은 원을 그리며 뛰게 하고, 어떤 사람은 한 발로 서 있게 하는 식으로 모양을 바꿀 수 있습니다.

왜곡 연산자는 이러한 이상한 모양을 포착하는 매우 관찰력이 뛰어난 탐정과 같습니다. 그것은 단순히 머릿수를 세는 것이 아니라, 모양이 변했는지 확인합니다. 그것은 세 가지 특정 사항을 살펴봅니다:

• 위치(Location): 무리가 새로운 장소로 이동했는가?
• 분산(Variance): 무리가 너무 퍼졌는가, 아니면 너무 빽빽해졌는가?
• 규모(Scale): 무리가 갑자기 거대해졌는가, 혹은 아주 작아졌는가?

이 논문은 이러한 왜곡들을 모두 합치면 시스템이 얼마나 불안정한지에 대한 명확한 그림을 얻을 수 있다는 것을 수학적으로 증명합니다. 이것은 단순히 "트래픽이 많아지는 것"이 아니라, "이상한 트래픽"에 관한 것입니다.

"특징별(Feature-Wise)" 탐정 작업

이 논문의 또 다른 영리한 기술은 **특징별 기여도(Feature-Wise Contribution)**입니다. 스트레스 미터가 울릴 때, 그것은 단순히 "무언가 잘못되었다!"라고 말하는 데 그치지 않습니다. 그것은 손가락으로 가리키며 "이 트래픽의 이 특정 부분이 스트레스를 유발하고 있다!"라고 말합니다.

실제 환경 테스트에서 저자는 공격이 진행되는 동안 메시지가 도착하는 데 걸리는 시간(타이밍)이나 연결의 활성도와 같은 데이터의 특정 부분들이 가장 많이 왜곡된다는 것을 발견했습니다. 이것은 환자에게 "당신은 아픕니다"라고만 말하는 것이 아니라, "현재 심박수가 주요 문제입니다"라고 말하는 의사와 같습니다. 이는 보안 팀이 문제를 해결하기 위해 정확히 무엇을 살펴봐야 하는지 알 수 있게 도와줍니다.

숫자가 말해주는 것

저자는 단순히 상상만 한 것이 아니라, 이를 테스트했습니다.

• 시뮬레이션에서: 저자는 가짜 트래픽을 생성하고 여기에 서서히 "스트레스"를 추가했습니다. 그들은 트래픽을 더 혼란스럽게 만들수록 안정성 함수 수치가 꾸준히 상승한다는 것을 발견했습니다. 숫자는 무작위로 튀지 않았습니다. 마치 방이 뜨거워짐에 따라 올라가는 온도계처럼, 매끄럽고 예측 가능한 선을 그리며 성장했습니다. 이는 수학이 작동함을 증명했습니다.
• 실제 환경에서: 저자는 유명한 네트워크 트래픽 기록 모음인 CIC-IDS2017 데이터셋을 사용하여 시스템을 테스트했습니다.
  • 정상(양호한) 트래픽의 경우, 평균 스트레스 점수는 약 61.33이었습니다.
  • 공격 트래픽의 경우, 평균 스트레스 점수는 103.96으로 급증했습니다.
  • "왜곡"(이상한 모양)과 "스트레스 점수" 사이의 연결 고리는 0.998의 상관관계를 보이며 거의 완벽했습니다. 이는 현실 세계의 복잡한 상황에서도 수학적 모델이 유효함을 의미합니다.

이 논문이 "아닌" 것

이 논문이 하지 않는 일을 아는 것도 중요합니다. 이 논문은 공격을 즉각적으로 막아내는 마법의 방패를 주장하는 것이 아닙니다. 또한 트래픽이 너무 높을 때 소리치는 기존의 경보를 대체하는 것도 아닙니다. 대신, 이것은 조기 경보 시스템을 제안합니다. 트래크의 구조를 관찰함으로써, 시스템이 실제로 무너지기 훨씬 전부터 시스템이 지치고 스트레스를 받고 있음을 볼 수 있다고 제안합니다.

저자는 "정상" 트래픽이 잘 이해되어 있을 때 이 방식이 가장 효과적이라고 주의를 기울입니다. 만약 네트워크가 시간이 흐름에 따라 자연스럽게 행동을 바꾼다면(매년 커지는 도시처럼), 시스템은 재조율이 필요할 수 있습니다. 또한, 이 연구는 이미 수집된 데이터(오프라인)를 대상으로 수행되었습니다. 따라서 수학적 모델은 실시간 사용을 위한 준비가 되어 있지만, 이 논문 자체는 실시간 도구를 만들기 위한 청사진이지 도구 그 자체는 아닙니다.

핵심 요약

이 논문은 우리에게 새로운 안경을 제공합니다. 단순히 "트래픽이 너무 많다"고 보는 대신, 이제는 "균형을 잃어가고 있는 트래픽"을 볼 수 있게 되었습니다. 안정성 영역의 가장자리로부터의 거리를 측정함으로써, 우리는 시스템이 부서지기 전에 경고를 받을 수 있습니다. 이것은 DDoS 공격의 무섭고 갑작스러운 충돌을, 우리가 관찰하고 이해하며, 가능하다면 너무 늦기 전에 멈출 수 있는 점진적이고 측정 가능한 슬라이드로 변화시킵니다. 이는 충돌에 반응하는 것에서 벗어나, 자동차가 충돌하기도 전에 도로에 생기는 금을 느끼는 것으로의 전환입니다.