보안 지표(Security Metrics)는 시스템의 보안 수준을 평가하고 보안 목표를 실현하기 위해 활용됩니다. 보안 분석에는 다양한 보안 지표가 존재하지만, 네트워크 도달 가능성(reachability) 정보에 기반한 체계적인 분류 체계는 그동안 부족했습니다. 이러한 문제를 해결하기 위해, 기존의 보안 지표들을 네트워크 도달 가능성 정보를 중심으로 체계적으로 분류하는 방법이 제안되었습니다.
보안 지표는 크게 호스트 기반(host-based) 지표와 네트워크 기반(network-based) 지표 두 가지로 나눌 수 있습니다. 호스트 기반 지표는 확률 값을 사용하는지 여부에 따라 구분되며, 네트워크 기반 지표는 경로 정보를 활용하는지에 따라 경로 기반과 비경로 기반으로 나뉩니다.
호스트 기반 보안 지표(Host-based Security Metrics)
호스트 수준 지표는 네트워크 내 개별 호스트의 보안 수준을 정량화하는 데 사용됩니다. 이러한 지표는 확률 값을 포함하지 않는 지표와 확률 값을 포함하는 지표, 두 가지 유형으로 분류할 수 있습니다. 이렇게 나누는 이유는 다음과 같습니다.
- 공격에 대한 확률 값을 산출하는 것이 현실적으로 불가능한 경우가 있습니다.
- 일부 분석 및 최적화 작업은 확률 값의 할당 여부와 관계없이 수행할 수 있습니다.
확률 값이 없는 지표(Metrics without Probability Values)
확률 값을 사용하지 않는 지표들은 공격의 영향도(attack impact), 공격 비용(attack cost), 근본 필수 측정값(fundamental essential measure), 최소 컷(mincut) 분석, 침해 평균 시간(MTTC), 복구 평균 시간(MTTR) 등이 대표적입니다. 이러한 지표는 확률 계산 없이도 호스트의 보안 상태를 평가할 수 있게 해줍니다.
확률 값을 포함하는 지표(Metrics with Probability Values)
반면, 확률을 활용하는 보안 지표에는 확률 보안 지표(probability security metric), CVSS(Common Vulnerability Scoring System) 지표 등이 있습니다. 참고로 공격 그래프(Attack Graph, AG)는 공격자가 목표 취약점에 도달할 수 있는 다양한 경로를 정의하는 비순환 유향 그래프(directed acyclic graph)입니다.
네트워크 기반 보안 지표(Network-based Security Metrics)
네트워크 기반 지표는 네트워크 자체의 메커니즘을 활용하여 전체 네트워크의 보안 속성을 종합적으로 평가합니다. 이 범주의 지표 역시 경로 기반(path based)과 비경로 기반(non-path based) 두 가지 유형으로 분류됩니다.
비경로 기반 지표(Non-path based Metrics)
비경로 기반 지표에서는 개별 경로의 구조나 속성을 직접 다루지 않고, 네트워크 구조를 기준으로 네트워크의 보안 수준을 정량화합니다. 대표적인 예로 NCP(Network Compromise Percentage) 지표가 있습니다.
NCP 지표는 공격자가 장악할 수 있는 네트워크 자산의 비율을 나타내며, 이 지표의 목표는 해당 비율을 최소화하는 것입니다. 또 다른 예로는 공격자가 네트워크 진입점으로 활용할 수 있는 취약점 집합을 들 수 있습니다. 예를 들어, 특정 호스트에서 실행 중인 웹 서비스는 공격자가 침투를 시도하는 첫 번째 표적이 될 수 있습니다.
WA(Weakest Adversary) 지표 역시 네트워크의 보안성을 평가하는 데 사용되는 네트워크 기반 지표입니다. WA 지표에서는 강력한 속성 집합에 취약한 네트워크 구성이, 약한 원래 공격자 속성 집합에 취약한 네트워크 구성보다 더 안전하다고 간주하여 평가합니다.
경로 기반 지표(Path based Metrics)
경로 기반 지표는 네트워크의 도달 가능성 데이터를 활용하여 네트워크의 보안 수준을 정량화합니다. 여기서 도달 가능성 데이터란 호스트 간의 연결 가능 여부, 호스트 X에서 호스트 Y까지의 최단 경로 등을 의미합니다. 이러한 지표는 공격자가 실제로 이동할 수 있는 경로를 고려하기 때문에 더욱 현실적인 보안 평가를 가능하게 합니다.