Journal Archive

BAS란 여러 단계의 공격 시나리오를 자동으로 시뮬레이션하는 기법을 의미한다. BAS는 실제 환경에 대하여 공격자가 실제로 적용할 수 있을 것으로 추측되는 공격을 모델링한다[6][7]. BAS는 기존의 시뮬레이터와 다르게 공격 시나리오를 자동으로 수행하며, 실제 환경의 구성을 위해 에이전트를 기반으로 공격을 수행한다. 이러한 BAS 기술은 자산 및 서비스의 안정성, 시뮬레이션의 정확성, 전 과정의 요구시간 및 성능을 성능 지표로써 검토할 수 있다[8][9]. 이같은 접근방식은 시나리오에 대한 지속적 지원 가능 여부와 오픈 플랫폼으로 전문가의 참여가 핵심 요소로서 요구된다[10].

사이버 킬체인의 개념은 군수업체 록히드 마틴에서 2009년 발행한 APT 방어에 관련된 백서에서 사용되었으며, 첨단 공격을 파악하기 위한 기준과 기존 인프라 보안장치를 활용한 대응방안에 관해 설명하였다[11]-[14]. 사이버 킬체인은 "공격자의 위협과 공격 의도, 역량, 원칙, 운영 패턴 등을 이해한다면 전통적인 취약점 중심의 프로세스와 시스템으로도 조직의 회복 탄력성을 확보할 수 있다"라 정의되며, 공격자의 공격 대응과 빠른 회복을 위한 공격 구성요소 파악 및 지속적 활동의 법적 책임을 적용하여 공격의 성공 가능성을 낮추는 데 목적을 둔다[15]-[17].

사이버 킬 체인은 정찰(Reconnaissance), 무기화 (Weaponization), 전달(Delivery), 악용(Exploitation)과 설치(Installation), 명령과 제어(Command & Control), 탈출(Exfiltration)의 과정으로 이뤄진다.

공격의 예측은 발생 가능한 공격을 예방할 수 있기에 공격 발생 시 피해를 최소화하여 제삼자의 의도적 침입을 방지한다는 점에 있어 딥러닝과 머신러닝을 적용한 다양한 공격 예측 연구가 진행되고 있다[18]-[20].

Sagar(2017)는 세계 경제의 약 445억 달러가 공격의 방지를 위해 소요됨을 지적하며 기존의 사이버 위협 인텔리전스(CTI, Cyber Threat Intelligence)가 사후 대책을 통한 문제의 해결 방법을 공격자들이 모이는 커뮤니티의 위협을 이해하여 사전 예방이 가능한 CTI 개발을 강조하며 대규모 해커 커뮤니티의 방대한 악성 코드의 수집 및 분석을 통해 위협을 사전에 탐지하는 프레임워크를 제안하였다[21].

Yong(2020)은 취약점의 발견되는 수가 급격하게 증가하는 반면 악용되는 취약점은 발견되는 수에 비례하지 않음을 지적하며 기존의 텍스트 처리 기법에서 텍스트간 관계 파악이 어려운 문제를 해결하기 위해 fastText와 LightGBM 알고리즘을 조합한 fastEmbed라는 예측 모델을 제안하여 기존의 텍스트 처리 기법에서 평균적으로 6.283%의 개선된 결과를 제시하며 익스플로잇 공격 예측 모델을 제안하였다[22].

데이터 수집 모듈은 보고서, 특허, 논문 등과 같은 형태가 고정되어있는 정형 데이터와 SNS, 동영상, 이미지와 같은 형태가 정해지지 않은 비정형 데이터를 수집하며, 수집된 데이터 필터링을 통한 주요한 핵심 키워드를 찾는 것에 목적을 둔다.

데이터 수집 모듈은 하나의 문서에서 다수 언급되나 타 문서에서는 언급이 적은 키워드에 대해 높은 가중치를 적용하여 하나의 문서에서 주요한 키워드를 추출할 수 있는 TF-IDF(Term Frequency-Inverse Document Frequency)는 식 (1)을 통하여 한 문서 내에서 주요키워드를 추출하며 식 (2)를 이용하여 전체 문서에서의 해당 키워드의 중요성을 판별한다. 식 (3)은 문서 내 자주 활용되며 타 문서에서 적게 사용되는 키워드를 추출하여 한 문서에서의 상대적 중요도가 높은 단어를 추출하게 된다.

하나의 문서에서 연속되는 n개의 문자 단위로 가중치를 연산하는 N-gram Extraction는 식 (4)와 같이 구성될 수 있는데, 이는 상대적인 사용 빈도를 집계하는 수식으로 일정 길이를 가진 문자열 단위로 사용 횟수를 구하고 이를 기반으로 중요도를 모든 문자열의 합으로 나눠 문서 내 중요성을 파악할 수 있다.

문서와 단어 간 상대적 중요성을 연산하여 문서의 요약과 키워드를 추출하는데 활용하는 TextRank은 페이지에 대한 접근에 대해 링크를 통해 접근하는 C와 임의적인 접근을 진행하는 1-C에 대해 마디 m으로의 backlink 출발점 B_m과 각 마디 n의 링크 개수인 N_n을 사용하여 식 (5)와 같이 적용할 수 있다.

취약점 데이터베이스 모듈은 데이터 수집 모듈에서 추출된 키워드를 중심으로 취약점 및 공격 전략을 분석하여 실제 환경과 유사한 환경에서 공격 전략의 성공 가능성을 분석하는 것을 목적으로 한다.

취약점 데이터베이스 모듈은 키워드와 특정 공격 전략의 연관성을 검증하기 위해 Naive Bayes Classifier를 적용한다. 이때, 적용 과정은 식 (6)과 같이 진행되는데 데이터셋의 특징 집합이 독립적이고 동등하다는 가정하에서 특징간 조건부확률 곱으로 이뤄진 분류기를 활용하여 입력된 값의 분류에 대해 확률 연산을 진행할 수 있다. P는 발생할 수 있는 확률을 의미하며, P(Y|X)는 우도(Likelihood probability), P(A∩B)는 사후확률(Posterior probability)을 의미한다.

기존의 취약점 데이터베이스에 포함되어있지 않은 공격의 발생 가능성은 SVM(Support Vector Machine)을 활용하며 초평면 기반의 이차원 좌표식 커널 함수 적용을 통해 입력된 데이터와 타 데이터간의 관계성을 확인하여 새로운 공격에 대한 특징값을 파악할 수 있도록 한다.

공격전략 시뮬레이션 모듈은 공격자가 사용할 수 있는 공격 전략 기반의 시뮬레이션을 구하는 모듈로 본 절에선 공격자에 의해 활용될 수 있는 일반적인 분석툴을 분석한다. 표 2는 각 분야에서 적용되는 공격용 툴을 분석한 것이다.

공격 예측 모듈은 취약점 데이터베이스 모듈의 분석 자료를 기반으로 공격을 예측하는 것을 목적으로 하며 예측 범주 설정을 위해 노드(Node)와 엣지(Edge)로 구성된 네트워크 분석 기법을 적용한다.

네트워크 분석 기법으로서 적용될 수 있는 기법은 조건과 기준에 적합한 데이터 순위를 나열하기 위한 Ranking 기법과 단어간 순환구조를 파악하기 위한 군집화(Clustering) 기법을 적용한다.

Ranking 기법은 각 데이터에 대해 기준과 조건을 적용하여 데이터간 순위를 도출하여 상대적 중요도 측정을 위해 활용된다. 상대적 중요도의 측정하는데에는 특정 노드가 임의의 다른 노드와 얼마나 인접한가를 나타내는 인접 중앙성(Closeness), 모든 노드쌍의 최단거리를 구하였을 때 특정 노드를 통과하는 경로의 개수를 의미하는 사이중앙성(Betweenness), 타 노드에 연결된 정도를 의미하는 연결정도중앙성(Degree)의 3가지 척도를 사용하여 상대적 중요성을 판별한다.

다음으로 적용되는 군집화 기법은 K-means 알고리즘으로 데이터를 일정한 그룹으로 구분함으로써 키워드와 공격 전략간의 순환구조를 분석하고 특정 공격군과의 유사성을 검토하여 적절한 방어전략을 제안하기 위해 적용된다. K-means 알고리즘은 식 (7)을 활용하여 각 데이터와 각 클러스터간의 유클리드 거리를 계산하여 가장 가까운 클러스터에 데이터를 배당하며 식 (8)을 활용하여 클러스터에 존재하는 데이터의 무게중심값을 재설정하여 군집화를 진행한다.

마지막으로 군집화된 데이터의 공격을 시계열을 통해 분석함으로서 향후 발생할 수 있는 공격 가능성을 예측하기 위해 시계열 네트워크 분석을 진행한다. 이때 사용하는 시계열 네트워크 분석 모델은 ARIMA(Auto Regression Integrated Moving Average) 모델로 안정적이지 않은 시계열 변수에도 적용할 수 있다. ARIMA 모델은 시계열 관측치는 과거 관측치에 의해 예측될 수 있으며, 어떠한 시점에 대해 관측치의 오차간의 연관성이 설명될 때 자기 회귀에 대한 지연 데이터와 가중치 p, 이동 평균에 대한 오차 q를 통해 d라는 순서의 예측치를 구할 수 있다. 이는 ARIMA(p, d, q) 모델이라 하며 식 (9)와 같이 적용될 수 있다.