When Network Topology Supports Graph-Based Intrusion Detection: A Pre-Deployment Validity Framework

매일같이 디지털 세계는 데이터의 끊임없고 보이지 않는 흐름으로 웅성거립니다. 컴퓨터는 서버와 대화하고, 휴대폰은 라우터에 연결되며, 장치들은 거대하고 변화무쌍한 웹 속에서 정보를 교환합니다. 수십 년 동안 보안 전문가들은 메시지의 내용, 즉 파일의 크기, 연결 속도, 또는 전송되는 특정 명령 등을 살펴봄으로써 이 군중 속의 악의적인 행위자를 찾아내려 노력해 왔습니다. 하지만 더 새롭고 야심 찬 접근 방식이 등장했습니다. 이 방법은 단순히 무엇이 말해지고 있는지를 듣는 대신, 누가 누구와 대화하는지를 지도화합니다. 이는 네트워크를 모든 컴퓨터가 한 사람이고 모든 연결이 하나의 악수와 같은 사회적 지도로 취급합니다. 이론은 공격자가 일반 사용자와 다르게 행동한다는 것입니다. 그들은 너무 많은 사람과 악수를 하거나, 기묘하고 긴밀한 집단을 형성합니다. 이러한 연결의 형태를 연구함으로써, 보안 시스템은 침입자가 해를 끼치기 전에 그들을 포착하기를 희망합니다.

하지만 이 접근 방식에는 지금까지 거의 검토되지 않은 숨겨진 가정이 존재합니다. 이 방법은 지도 자체가 유용하다는 것을 가정합니다. 즉, 네트워크의 구조가 악의적인 행위자를 선량한 사용자로부터 자연스럽게 분리하여, 안개 속의 등대처럼 그들을 돋보이게 할 것이라고 가정합니다. 하지만 만약 그 지도가 그저 흐릿한 잔상에 불과하다면 어떨까요? 만약 그 "등대"가 단지 자신의 직무를 수행하기 위해 수천 명과 대화해야 하는 정상적인 서버라면 어떨까요? 만약 공격을 받고 있을 때나 그렇지 않을 때나 근본적인 네트워크의 모습이 동일하다면, 아무리 정교한 소프트웨어라도 침입자를 찾아낼 수 없습니다. 구조 자체가 탐색이 찾고자 하는 신호를 포함하고 있지 않기 때문입니다.

이것이 바로 헬완 대학교(Helwan University)의 연구팀이 답을 찾고자 했던 정확한 질문입니다. 그들은 더 나은 탐지기를 만들거나 더 빠른 컴퓨터를 구축하지 않았습니다. 대신, 누군가 이를 사용하려 하기 전에 지도 자체를 점검할 수 있는 진단 도구를 만들었습니다. 그들은 다음과 같은 질문을 던졌습니다: 어떤 조건에서 연결을 통해 공격자를 찾는다는 아이디어가 실제로 네트워크의 형태를 뒷받침하는가? 그들의 연구는 그 답이 예상보다 훨씬 더 복잡하다는 것을 보여주었습니다. 그들은 네트워크가 매우 복잡하고 불균형해 보일지라도 여전히 침입자를 찾는 데 무용할 수 있다는 것을 발견했습니다. 반대로, 거의 평평하고 균일해 보이는 네트워크가 보는 방법을 안다면 때로는 명확하고 탐지 가능한 신호를 숨기고 있을 수도 있다는 것도 발견했습니다.

연구진은 실험실 설정부터 수천 개의 장치를 포함하는 사물인터넷 네트워크와 거대한 산업 시스템에 이르기까지 다섯 가지 다른 유형의 네트워크 환경에서 자신들의 아이디어를 테스트했습니다. 그들은 각 네트워크를 고유한 풍경으로 취급했습니다. 어떤 풍경에서는 가장 "인기 있는" 컴퓨터들, 즉 연결이 가장 많은 컴퓨터들이 실제로 공격자였습니다. 다른 풍경에서는 가장 많이 연결된 컴퓨터들이 모두에게 대화해야 하는 자연스러운 게이트웨이나 파일 서버와 같이 완벽하게 무고한 존재였습니다. 연구팀은 단순히 연결이 불균형하다는 사실만으로는 성공을 보장하기에 충분하지 않다는 것을 발견했습니다. 네트워크가 높은 수준의 불평등을 가지고 있어 몇몇 컴퓨터는 수천 개의 연결을 갖고 대부분은 단 하나만을 가질지라도, 여전히 공격자를 드러내는 데 실패할 수 있습니다. 이는 "인기 있는" 컴퓨터들이 일상적인 업무를 수행하는 정상적인 인프라로서 침입자의 미묘한 신호를 덮어버릴 때 발생합니다.

이를 해결하기 위해 연구팀은 2단계 점검 과정을 개발했습니다. 첫째, 그들은 네트워크에 어떤 뚜렷한 형태나 패턴이 있는지 살펴보았습니다. 그들은 이를 "구조적 차별성(structural differentiability)"이라고 불렀습니다. 만약 모든 컴퓨터가 대략 비슷한 수의 다른 대상과 대화하는 완전히 평평한 네트워크라면, 연결을 기반으로 공격자를 찾는 것은 의미가 없습니다. 지도가 너무 균일하여 아무런 단서도 제공할 수 없기 때문입니다. 하지만 네트워크가 불균형하더라도 그것은 첫 번째 관문에 불과했습니다. 두 번째이자 더 결정적인 점검은 가장 많이 연결된 컴퓨터들이 실제로 나쁜 존재인가를 확인하는 것이었습니다. 그들은 이를 "돌출 격리(prominence isolation)"라고 불렀습니다. 그들은 가장 활발한 컴퓨터들이 문제가 있음을 시사하는 방식으로 나머지 군중으로부터 격리되어 있는지, 아니면 그저 시스템의 바쁜 정상적인 허브인지를 알아내야 했습니다.

그들의 테스트 결과는 놀랍고 직관에 어긋났습니다. 그들은 두 개의 거대한 데이터셋을 비교했습니다. 하나는 224,000개가 넘는 장치를 보유한 복잡한 기업 네트워크에서 온 것이었습니다. 이 네트워크는 소수의 컴퓨터가 수천 개의 연결을 가진 매우 불균형한 모습이었습니다. 모든 표준적인 척도로 볼 때, 이는 연결 기반 탐지를 사용하기에 완벽한 장소처럼 보였습니다. 그러나 연구진이 그들의 방법을 적용했을 때, 그것은 완전히 실패했습니다. 가장 많이 연결된 컴퓨터들은 모두 정상적인 서버였습니다. 침입자들은 소음 속에서 구별할 수 없는 상태로 중간 그룹 속에 숨어 있었습니다. 지도는 "정상적인" 활동으로 너무 붐벼서 악의적인 행위자들이 돋보일 수 없었습니다.

대조적으로, 그들은 대규모 사물인터넷 장치 컬렉션에서 가져온 다른 네트워크를 살펴보았습니다. 이 네트워크는 훨씬 더 평평해 보였습니다. 대부분의 장치는 단 하나의 다른 대상과만 대화했습니다. 사실, 네트워크의 형태를 측정하는 표준적인 방식은 이것이 너무 균일하여 유용하지 않다고 시사했습니다. 하지만 연구진은 숨겨진 패턴의 단절을 발견했습니다. 대부분의 장치는 하나의 연결을 가졌지만, 아주 적은 수의 장치는 수천 개의 연결을 가졌습니다. 이것은 매끄러운 인기 곡선이 아니라 날카로운 절벽이었습니다. 정상적인 장치들은 평평한 평원을 형성했고, 공격자들은 먼 곳의 봉우리에 서 있었습니다. 정상과 비정상 사이의 간격이 매우 넓었기 때문에, 연구진은 침입자를 식별하기 위해 다른 종류의 측정 도구를 사용할 수 있었습니다. 그들은 표준적인 규칙을 무시하고 그 날카로운 단절을 찾음으로써 공격자를 거의 91%의 정확도로 식별할 수 있다는 것을 발견했습니다. 바쁜 서버들로 붐비는 다른 네트워크에서는 그들이 할 수 있는 최선이 정확도 0%였습니다.

이러한 차이는 보안 팀이 도구를 생각하는 방식을 변화시킵니다. 연구진은 그래프 기반 탐지 시스템을 가져와서 어떤 네트워크에나 그냥 끼워 넣을 수는 없다는 것을 보여주었습니다. 만약 네트워크의 구조가 정상적이고 트래픽이 많은 인프라에 의해 지배된다면, 소프트웨어가 아무리 정교하더라도 그 시스템은 실패할 가능성이 높습니다. 실패는 모델의 문제가 아니라 환경의 문제입니다. 지도가 그 추론을 뒷받침하지 못하는 것입니다. 연구팀은 또한 명절 대목처럼 모두를 바쁘게 만드는 일시적인 트래픽 급증으로 인해 지도가 깨져 보이는 세 번째 시나리오를 식별했습니다. 이러한 경우, 시스템은 하루 동안은 실패할 수 있지만 다음 날 회복될 수 있으며, 이는 문제가 네트워크의 영구적인 결함이 아니라 일시적인 사건임을 시사합니다.

연구진은 또한 하루에 수백만 건의 요청을 받는 실제 운영 중인 웹사이트에서 자신들의 아이디어를 테스트했습니다. 그들은 한 달 동안 네트워크의 형태가 어떻게 변하는지 관찰했습니다. 그들은 연결을 기반으로 침입자를 포착하는 능력이 시간이 지남에 따라 변화한다는 것을 발견했습니다. 첫 며칠 동안은 가장 활발한 방문자들이 종종 나쁜 존재들이었습니다. 하지만 한 달이 지나면서, 사이트를 반복해서 방문하는 정상적인 사용자들이 연결을 축적하기 시작했습니다. 이는 선과 악의 경계를 흐릿하게 만들었습니다. 공격자의 "돌출성"은 늘어나는 정상 사용자들의 군중에 의해 희석되었습니다. 이는 이 방법의 타당성이 네트워크의 고정된 속성이 아니라, 시간과 관찰에 따라 변하는 상태라는 것을 증명했습니다.

이 연구의 궁극적인 기여는 보안에 대한 새로운 사고방식입니다. 복잡한 그래프 기반 탐지 시스템에 돈과 노력을 들이기 전에, 조직은 먼저 간단한 진단을 실행해야 합니다. 그들은 자신의 네트워크가 이 방법을 작동시키기에 적합한 형태를 갖추고 있는지 확인해야 합니다. 만약 가장 많이 연결된 컴퓨터들이 단지 자신의 일을 하고 있는 정상적인 서버들이라면, 연결을 살펴보는 것은 도움이 되지 않습니다. 만약 네트워크가 너무 평평하다면, 찾을 신호가 없습니다. 하지만 다른 것들과 구별되는 날카롭고 고립된 활동의 봉우리가 있다면, 이 방법은 믿을 수 없을 정도로 강력할 수 있습니다. 연구진은 보안 팀이 공격자가 누구인지 미리 알 필요 없이, 오직 누가 누구와 대화하는지에 대한 가공되지 않은 데이터만을 사용하여 이 점검을 수행할 수 있는 명확하고 단계적인 가이드를 제공했습니다.

이 접근 방식은 초점을 더 나은 모델을 만드는 것에서 환경을 이해하는 것으로 옮깁니다. 이는 침입 탐지의 가장 중요한 단계가 알고리즘이 아니라 지형에 대한 평가라는 것을 시사합니다. 건초더미에서 바늘을 찾도록 설계된 도구는, 그 건초더미가 사실 바늘 더미라면 실패할 것입니다. 네트워크가 구조적으로 적합한지 아닌지를 구분함으로써, 이 연구는 네트워크 자체의 본질에 의해 실패할 운명인 방법들에 자원을 낭비하는 것을 방지합니다. 그것은 조용한 실용적 진실을 제시합니다: 당신은 그 안의 이방인을 찾으려 하기 전에, 당신의 세계가 어떤 모양인지 먼저 알아야 합니다.