A Two-Population Delayed Evolutionary Game with Bayesian Learning for Cyber Defense

사이버 보안의 높은 이해관계가 걸린 세계에서 시간은 가장 가치 있는 통화이지만, 동시에 가장 포착하기 어려운 것이기도 합니다. 방어자들은 침입을 탐지하고 피해가 발생하기 전에 대응해야 한다는 끊임없는 압박 속에서 움직이지만, 현대적 사이버 공격의 실체는 좌절스러운 지연(lag)으로 정의됩니다. 정교하고 지속적인 집단으로서 활동하는 공격자들은 네트워크 내부에서 몇 달 동안 느리고 조용하게 숨어 있을 수 있습니다. 반면, 방어자들의 시스템은 종종 허위 경보로 가득 차고, 그들이 걸러내야 하는 방대한 데이터의 양에 압도당하곤 합니다. 이는 공격이 발생한 시점과 방어자가 마침내 상황을 이해하고 이를 막기 위해 행동할 수 있는 시점 사이에 위험한 간극을 만듭니다. 수십 년 동안 컴퓨터 과학자들은 이 쫓고 쫓기는 게임을 수학적으로 모델링하려고 시도해 왔으나, 많은 모델은 양측이 마치 시간이 존재하지 않는 것처럼 즉각적으로 반응할 수 있다고 가정했습니다. 이러한 가정은 정보가 보안 팀을 통해 실제로 어떻게 전달되는지, 그리고 공격자가 며칠 또는 몇 주에 걸쳐 어떻게 전술을 적응시키는지와 같은 복잡하고 느린 현실을 간과했습니다.

시나 케이하니안(Sina Keyhanian)의 새로운 연구는 더 현실적인 사이버 갈등 모델을 구축함으로써 이러한 단순화된 관점에 도전합니다. 즉각적인 반응을 가정하는 대신, 이 연구는 이 전투를 두 인구 집단 사이의 느리게 움직이는 진화적 투쟁으로 다룹니다. 여기서 방어자는 위협을 능동적으로 사냥할 것인지 아니면 시스템을 수동적으로 모니터링할 것인지를 결정해야 하며, 공격자는 공격적이고 빠르게 움직이는 전술을 취할 것인지 아니면 은밀하고 느리게 타오르는 전술을 취할 것인지를 선택합니다. 모델의 핵심은 정보의 지연에 초점을 맞춥니다. 방어자는 공격자를 직접 보지 못하며, 단지 늦게 도착하고 종종 노이즈가 섞인 경보의 흐름만을 봅니다. 이를 이해하기 위해 방어자들은 일종의 스마트한 평균화 과정인 수학적 필터를 사용합니다. 이 연구는 이 시스템에 두 가지 특정 유형의 지연을 도입합니다: 침입을 탐지하는 데 걸리는 시간과, 일단 발견된 문제를 해결하는 데 걸리는 시간입니다. 이러한 지연을 고려한 복잡한 시뮬레이션을 실행한 결과, 연구진은 시스템이 기존에 생각했던 것과는 매우 다르게 작동한다는 것을 발견했습니다.

가장 중요한 발견은 방어자가 대응하기 위해 기다려도 되는 정확한 임계점(tipping point)이 존재한다는 것입니다. 만약 공격 탐지 지연이 특정 한계치 아래로 유지된다면, 방어자와 공격자는 예측 가능한 균형 상태에 도착합니다. 그러나 지연이 그 임계치를 넘어서면, 시스템은 단순히 약간 나빠지는 것에 그치지 않고 격렬하게 요동치기 시작합니다. 구식 정보에 반응하는 방어자들은 공격적인 사냥에 과도하게 몰두하게 되며, 이는 허위 경보로 시스템을 가득 채우고 피로를 유발합니다. 이로 인해 방어자들은 뒤로 물러나게 되고, 그 틈을 본 공격자들은 새로운 공격의 파도를 일으킵니다. 이 순환은 해결되지 않는 침해와 긴박한 대응의 반복적인 패턴을 만들어냅니다. 연구는 이러한 불안정성이 무작위적인 결함이 아니라, 지연 시간이 방어자가 학습하는 속도에 비해 너무 길어질 때 발생하는 수학적 필연성임을 입증합니다.

결정적으로, 이 연구는 단순히 공격을 더 빨리 탐지하는 것만으로는 항상 충분하지 않다는 것을 보여줍니다. 연구진은 공격자가 매우 적응력이 높고 방어자가 데이터로부터 배우는 속도가 느리다면, 탐지 속도를 아무리 높여도 시스템이 혼돈으로 무너지는 것을 막을 수 없다는 것을 발견했습니다. 방어자가 정보를 처리하고 적에 대한 믿음을 업데이트할 수 있는 최소한의 속도가 존재합니다. 만약 이 속도가 기준 미달이라면, 초기 침해를 얼마나 빨리 포착하느냐와 상관없이 방어는 실패할 운명입니다. 이는 더 나은 센서나 더 빠른 경보 시스템에 투자하는 것이 전투의 절반일 뿐이며, 빠르게 배우고 적응하는 능력 또한 똑같이 중요하다는 것을 시사합니다. 또한 이 모델은 두 가지 유형의 지연 사이의 놀라운 상호작용을 밝혀냈습니다. 탐지 지연과 문제 해결 지연이 단순히 합쳐져서 상황을 악화시킬 것이라고 예상할 수 있지만, 연구에 따르면 문제 해결의 지연이 어느 정도 존재하면 오히려 시스템을 안정시키는 데 도움이 되어, 붕괴 없이 조금 더 긴 탐지 지연을 허용할 수 있다는 것을 보여주었습니다.

연구진은 이러한 결과가 단지 이론에 그치지 않도록 실제 데이터로 모델을 테스트했습니다. 그들은 분석가들이 경보를 분류하고 등급을 매긴 기록이 포함된 마이크로소프트(Microsoft)의 대규모 데이터셋으로부터 30만 건 이상의 보안 사고를 분석했습니다. 또한 IT 서비스 데스크의 로그를 조사하여 문제를 해결하는 데 실제로 얼마나 걸리는지 파악했습니다. 데이터는 단일 조직이 공격자의 행동에 대해 배우는 속도가 하루에 약 0.07회, 즉 전략을 완전히 조정하는 데 약 2주가 소요됨을 확인했습니다. 그러나 여러 조직이 데이터를 공유할 경우, 이 학습 속도는 하루에 약 3회로 급증하며, 이는 방어자가 불안정해지기 전에 견딜 수 있는 시간을 크게 연장해 줍니다. 이러한 개선에도 불구하고, 연구는 데이터를 공유하더라도 전형적인 공격자 체류 시간(종종 약 14일)이 시스템이 안전하게 처리할 수 있는 시간보다 여전히 길다는 것을 발견했습니다.

연구는 또한 문제 해결, 즉 복구(remediation)에 걸리는 시간을 살펴보았습니다. 실제 사고 해결 로그를 분석한 결과, 많은 문제가 빠르게 해결되지만, 일부 복잡한 문제는 해결하는 데 몇 주 또는 몇 달이 걸리기도 한다는 것을 발견했습니다. 이러한 느린 해결의 "롱 테일(long tail)" 현상이 진정으로 방어의 안정성을 위협하는 요소입니다. 시스템은 평균 해결 시간이 길어질 때가 아니라, 이러한 드물고 어려운 사례들이 쌓여 백로그(backlog)를 형성할 때 가장 취약해집니다. 연구는 보안 팀이 자신의 성과를 '평균 대응 시간'과 같은 단일 목표로 보아서는 안 되며, 학습 속도, 탐지 속도, 복구 속도라는 세 가지 상호 연결된 요소의 공동 예산으로 보아야 한다고 결론짓습니다. 이 중 어느 하나라도 다른 요소들보다 너무 뒤처지면 전체 방어 메커니즘은 실패의 순환에 빠질 위험이 있습니다. 이 연구는 현대의 사이버 환경에서 학습의 속도가 반응의 속도만큼이나 중요하다는 명확한 수학적 경고를 제공하며, 균형 잡힌 접근 방식 없이는 시스템의 자연스러운 지연이 결국 반복적이고 피할 수 없는 침해로 이어질 것임을 보여줍니다.