Attack-Type-Aware Dynamic Bayesian Defense: A Three-Level Non-Zero-Sum Game for Brute-Force and SQL Injection Attacks

디지털 세계에서 보안은 침입하려는 자와 그들을 막으려는 자 사이의 끊임없는 협상입니다. 앞문과 뒷창문이 있는 건물을 상상해 보십시오. 도둑은 반복적이고 강력한 타격으로 문을 걷어차려 할 수도 있고, 혹은 가짜 열쇠를 우편함 구멍을 통해 밀어 넣어 자물쇠를 속이려 할 수도 있습니다. 이 두 가지는 매우 다른 종류의 문제이며, 서로 다른 대응을 필요로 합니다. 문을 걷어차는 것에는 무겁고 즉각적인 장벽이 필요하지만, 우편함 구멍을 이용한 수법에는 열쇠 자체에 대한 세심한 검사가 필요합니다. 만약 건물 관리자가 두 가지 위협 모두에 대해 똑같이 과도하게 강압적인 방식으로 대응한다면, 에너지를 낭비하게 되고 실수로 정당한 거주자들을 차단할 수도 있습니다. 만약 너무 가볍게 대응한다면, 건물은 뚫리게 될 것입니다. 현대 사이버 방어의 핵심 과제는 현재 어떤 종류의 문제가 발생하고 있는지 정확히 파악하고, 시스템을 원활하게 운영하면서도 위협을 막아낼 수 있을 만큼 충분히 강력하면서도 적절한 수준의 대응을 선택하는 것입니다.

카슈미르, 말레이시아, 인도네시아의 대학교 연구진인 마크수드 후세인 와니(Maqsood Hussain Wani)와 그의 동료들은 이러한 결정을 내리는 새로운 방법을 개발했습니다. 그들은 ATA-DBD(Attack-Type-Aware Dynamic Bayesian Defense, 공격 유형 인지 동적 베이지안 방어)라고 불리는 시스템을 만들었습니다. 모든 컴퓨터 공격을 하나의 모호한 위협으로 취급하는 대신, 이 시스템은 두 가지 구체적인 디지털 침입 유형을 구별하는 법을 배웁니다. 즉, 문을 반복해서 걷어차는 것과 같은 브루트 포스(brute-force) 공격과, 우편함 구멍을 통해 가짜 열쇠를 밀어 넣는 것과 같은 SQL 인젝션(SQL injection) 공격을 구분하는 것입니다. 연구팀은 스마트하고 적응력이 뛰어난 경비원 역할을 하는 수학적 모델을 구축했습니다. 이 경비원은 단순히 현재 보이는 것에만 반응하는 것이 아니라, 과거에 일어났던 일들을 지속적으로 기록하고, 새로운 단서가 들어옴에 따라 자신의 믿음을 업데이트하며, 가장 적절한 수준의 방어를 선택합니다. 목표는 나쁜 행위자들을 막아내면서도 자원을 낭비하거나 일반 사용자를 방해하지 않는 완벽한 균형을 찾는 것입니다.

연구진은 공격이 시간에 따라 발생하는 디지털 환경을 시뮬레이션하여 이 아이디어를 테스트했습니다. 그들은 "항상 문을 잠가라" 또는 "항상 열어두라"와 같이 고정된 규칙을 사용하는 기존 방식들과 비교했습니다. 또한, 서로 다른 대응책을 혼합하려고 시도했던 이전에 발표된 전략과도 비교했습니다. 시뮬레이션은 세 가지 경제적 시나리오(디지털 자산이 중간 정도의 가치를 지닌 경우, 자산 가치가 방어 비용보다 낮은 경우, 그리고 자산 가치가 매우 높은 경우)를 포함하여 만 번의 활동 주기를 거쳤습니다. 모든 시나리오에서 새로운 시스템은 기존의 고정된 전략들보다 뛰어난 성능을 보였습니다. 이 시스템은 더 적은 에너지를 사용하면서도 더 자주 시스템을 안전하게 유지했습니다. 예를 들어, 자산 가치가 중간 정도인 시나리오에서 새 시스템은 가용 에너지의 80% 이상을 유지하면서도 99.15%의 확률로 시스템을 안전하게 지켜냈습니다. 반면, 기존의 혼합 전략은 약 78%의 안전율만을 달성했으며 훨씬 더 많은 에너지를 소모했습니다.

이 시스템이 차별화되는 점은 불확실성을 처리하는 방식입니다. 현실 세계에서 보안 시스템이 공격자가 무엇을 하고 있는지 100% 확실하게 아는 경우는 드뭅니다. 새 모델은 베이지안 업데이트(Bayesian updating)라는 과정을 사용하는데, 이는 새로운 증거가 들어옴에 따라 추측을 정교화하는 방법입니다. 소리를 듣고 처음에는 그저 바람 소리라고 생각할 수도 있는 경비원을 상상해 보십시오. 하지만 그 소리에 이어 쿵 하는 무거운 충격음이 들린다면, 경비원은 자신의 믿음을 업데이트하고 침입에 대비합니다. 만약 소리가 멈춘다면, 경비원은 긴장을 풉니다. ATA-DBD 시스템은 이 과정을 지속적으로 수행합니다. 시스템은 현재 브루트 포스 공격 중인지, SQL 인젝션 공격 중인지, 혹은 공격이 없는 상태인지에 대한 '믿음'을 유지합니다. 새로운 데이터가 들어올 때마다 시스템은 이러한 확률을 조정합니다. 증거가 공격이 강해지고 있음을 시사하면, 시스템은 자동으로 방어 수준을 높입니다. 증거가 사라지면 방어 수준을 낮춥니다. 이를 통해 시스템은 꼭 필요할 때만 공격적으로 대응하여, 정말로 필요한 순간을 위해 자원을 아낄 수 있습니다.

연구진은 또한 모든 공격을 동일하게 취급하는 것이 근본적인 실수라는 것을 발견했습니다. 그들은 브루트 포스와 SQL 인젝션 공격에 대해 단일한 일반적 방어 전략이 제대로 작동할 수 없음을 수학적으로 증证明했는데, 이는 두 위협이 대응책에 대해 서로 다르게 반응하기 때문입니다. 브루트 포스 공격을 막는 데 완벽한 방어는 SQL 인젝션에는 무용지물일 수 있고, 그 반대도 마찬가지입니다. 이러한 위협들을 분리하고 각각의 성공과 실패를 위한 고유한 규칙을 부여함으로써, 새 시스템은 훨씬 더 날카로운 결정을 내릴 수 있었습니다. 테스트에서 시스템은 공격 유형과 적절한 대응 수준을 높은 정확도로 식돌해냈으며, 시스템의 올바른 상태를 탐지하는 데 있어 98.51%의 상태 정확도와 0.939의 매크로-F1 점수(macro-F1 score)를 달성했습니다.

이 연구는 공공 공격 스케줄 데이터셋을 사용하여 현실적인 사건의 타임라인을 생성함으로써 전적으로 컴퓨터 시뮬레이션을 통해 수행되었습니다. 연구진은 이를 실제 네트워크에서 테스트하지 않았으므로, 결과는 혼란스러운 실제 환경이 아닌 통제된 시뮬레이션 조건 하에서의 성능을 보여줍니다. 그러나 그 결과는 시뮬레이션 내에서 견고합니다. 시스템은 공격이 발생하지 않을 때 방어를 잘못 활성화하는 현상, 즉 "오경보(false alarms)"를 통제된 캘린더 테스트에서 단 1.07%로 줄였습니다. 또한 공격이 시작된 후 대응하는 데 걸리는 시간을 최소화하여, 시뮬레이션 타임라인에서 평균 0.08 윈도우(각 윈도우는 5분 간격을 나타냄)의 지연만을 기록했습니다.

가장 놀라운 결과 중 หนึ่ง은 이 시스템이 자신의 생각을 바꾸는 데 드는 비용을 어떻게 처리했는가 하는 점입니다. 저방어 모드에서 고방어 모드로 전환하는 데는 적은 양의 에너지가 들며 서비스에 일시적인 지장을 줄 수 있습니다. 새 시스템은 불필요한 전환을 피하는 법을 배웠습니다. 시스템은 변화의 비용을 정당화할 만큼 증거가 강력할 때만 방어 수준을 변경했습니다. 현재의 순간에 최선의 결정을 내리면서 동시에 변화의 비용까지 고려하는 이러한 "근시안적(myopic)" 접근 방식은 매우 효과적인 것으로 입증되었습니다. 이는 시스템이 단순한 보안 시스템에서 흔히 발생하는 사소한 트래픽 변동에 과잉 반응하는 것을 방지했습니다.

연구진은 또한 입력되는 데이터가 노이즈가 많거나 불분명할 때 시스템이 얼마나 잘 버티는지 테스트했습니다. 현실 세계에서 센서는 완벽하지 않으며 데이터는 지저분할 수 있습니다. 연구진이 시뮬레이션에 상당한 노이즈를 도입했음에도 불구하고, 시스템은 높은 수준의 성능을 유지했습니다. 서로 다른 유형의 공격을 구별하고 대응을 조정하는 능력은 여전히 강력하게 유지되었으며, 이는 해당 방식이 탄력적임을 보여줍니다. 시스템은 불확실성 속에서도 무너지지 않고 오히려 적응하며, 고정된 전략들보다 더 나은 결정을 계속 내렸습니다.

궁극적으로 이 연구는 디지털 방어가 어떻게 설계되어야 하는지에 대한 새로운 청사진을 제시합니다. 이는 정적인, 일률적인 보안 벽이라는 개념에서 벗어나, 다양한 위협의 뉘앙스를 이해하는 동적이고 지능적인 시스템을 향해 나아갑니다. 브루트 포스 공격과 SQL 인젝션을 별개의 문제이자 별개의 해결책을 가진 문제로 다룸으로써, 시스템은 고정된 규칙이 도달할 수 없는 효율성을 달성합니다. 결과는 미래의 보안 시스템이 지속적인 고수준 경계라는 막대한 비용 없이도 귀중한 디지털 자산을 더 안전하고 효율적으로 보호할 수 있음을 시사합니다. 비록 이 연구가 시뮬레이션에 국한되어 있지만, 이는 자신들이 직면한 위협만큼이나 스마트하고 적응력 있는 방어를 구축하기 위한 명확하고 수학적으로 근거 있는 경로를 제공합니다.